Dossier 9680.exe / VBS.Agent - VBS/CoinMiner

Résolu/Fermé

Mack4 Messages postés 61 Date d'inscription vendredi 17 mai 2013 Statut Membre Dernière intervention 29 avril 2015 - Modifié par Mack4 le 12/04/2015 à 15:23
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 - 14 avril 2015 à 17:20

bonjour, j'ai vu un dans mon gestionnaire des tâches cette chose 9680.exe mais je m'en souviens pas d'avoir installer quelque chose avec ce nom j'aimerais savoir votre avis .
ps: je ne suis pas sur mais je pense être un virus j'aimerais bien savoir si qq'1 d'autre à le même souci !

A voir également:

Dossier 9680.exe / VBS.Agent - VBS/CoinMiner
Dossier appdata - Guide
.Exe - Télécharger - Divers Utilitaires
Mettre un mot de passe sur un dossier - Guide
Vbs windows - Accueil - Optimisation
Dossier rar - Guide

3 réponses

Réponse 1 / 3

Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 660
12 avril 2015 à 15:53

ok l'exe c'est un adware donc pas hyper grave.
Le .vbe - c'est bien un trojan miner

Voici la correction à effectuer avec FRST.
Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/#fix

Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK.
Copie/colle dedans ce qui suit :

Startup: C:\Users\pablo_000\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\9680.lnk
ShortcutTarget: 9680.lnk -> C:\ProgramData\{b84f7900-2e1f-f046-b84f-f79002e1e400}\9680.exe ()
ProxyEnable: [.DEFAULT] => Internet Explorer proxy is enabled.
ProxyServer: [.DEFAULT] => http=127.0.0.1:60253;https=127.0.0.1:60253 [Attention - Possible Proxy Malicieux]
2014-11-01 19:35 - 2014-11-01 19:35 - 1551792 _____ (HDPlus-3.1TotalV01.11) C:\Users\pablo_000\AppData\Roaming\DLOJNX.exe
2014-11-01 19:32 - 2014-11-01 19:32 - 2043800 _____ (tab) C:\Users\pablo_000\AppData\Roaming\NRWQ.exe
2014-11-01 19:32 - 2014-11-01 19:32 - 1551768 _____ (tab) C:\Users\pablo_000\AppData\Roaming\VGHLWT.exe
2014-11-01 19:35 - 2014-11-01 19:35 - 2043824 _____ (HDPlus-3.1TotalV01.11) C:\Users\pablo_000\AppData\Roaming\YASOY.exe
2014-09-25 20:55 - 2014-09-25 20:55 - 2342912 _____ (STROY BZ (6605)) C:\Users\pablo_000\AppData\Local\setup.exe
Task: {796A2466-271F-45E8-BECB-CF20B4BEA33A} - System32\Tasks\Origin => C:\Users\pablo_000\AppData\Roaming\Origin\update.vbe [2014-08-23] () <==== ATTENTION

Une fois, le texte coller dans le bloc-note.
Menu Fichier puis Enregistrer sous.
A gauche, place toi sur le bureau.
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.

Relance FRST et clic sur le bouton Fix
Selon comment un redémarrage est nécessaire (pas obligatoire).
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur

puis réinitialise tes navigateurs:
==================================
Réinitialise tes navigateurs et ou manuellement reparamètre tes navigateurs WEB (page de démarrage, moteur de recherche etc) mais aussi supprimer/désactiver les extensions inutiles/parasites :

Firefox : https://www.malekal.com/reparer-firefox/?t=36057&start=
Google Chrome : https://www.malekal.com/reparer-google-chrome/?t=35837&start=
Internet Explorer et modules complémentaires / moteurs de recherche : https://forum.malekal.com/viewtopic.php?t=41399&start=

Mack4 Messages postés 61 Date d'inscription vendredi 17 mai 2013 Statut Membre Dernière intervention 29 avril 2015 1
Modifié par Mack4 le 12/04/2015 à 16:04

ok merci encore une fois je pars pr la manip je ressent pas grand chose niveau rame pcq mon pc il est assez solide donc c'est chaud de lui faire ramer mais je me méfie des virus !

Mack4 Messages postés 61 Date d'inscription vendredi 17 mai 2013 Statut Membre Dernière intervention 29 avril 2015 1
12 avril 2015 à 16:01

ok ben je te montre quand même le dossier fixlog au cas où j'ai mal fait quelque chose :
Fix result of Farbar Recovery Tool (FRST written by Farbar) (x64) Version: 11-04-2015
Ran by pablo_000 at 2015-04-12 16:00:51 Run:1
Running from C:\Users\pablo_000\Desktop
Loaded Profiles: pablo_000 (Available profiles: pablo_000 & Administrateur)
Boot Mode: Normal
==============================================

Content of fixlist:

Startup: C:\Users\pablo_000\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\9680.lnk
ShortcutTarget: 9680.lnk -> C:\ProgramData\{b84f7900-2e1f-f046-b84f-f79002e1e400}\9680.exe ()
ProxyEnable: [.DEFAULT] => Internet Explorer proxy is enabled.
ProxyServer: [.DEFAULT] => http=127.0.0.1:60253;https=127.0.0.1:60253 [Attention - Possible Proxy Malicieux]
2014-11-01 19:35 - 2014-11-01 19:35 - 1551792 _____ (HDPlus-3.1TotalV01.11) C:\Users\pablo_000\AppData\Roaming\DLOJNX.exe
2014-11-01 19:32 - 2014-11-01 19:32 - 2043800 _____ (tab) C:\Users\pablo_000\AppData\Roaming\NRWQ.exe
2014-11-01 19:32 - 2014-11-01 19:32 - 1551768 _____ (tab) C:\Users\pablo_000\AppData\Roaming\VGHLWT.exe
2014-11-01 19:35 - 2014-11-01 19:35 - 2043824 _____ (HDPlus-3.1TotalV01.11) C:\Users\pablo_000\AppData\Roaming\YASOY.exe
2014-09-25 20:55 - 2014-09-25 20:55 - 2342912 _____ (STROY BZ (6605)) C:\Users\pablo_000\AppData\Local\setup.exe
Task: {796A2466-271F-45E8-BECB-CF20B4BEA33A} - System32\Tasks\Origin => C:\Users\pablo_000\AppData\Roaming\Origin\update.vbe [2014-08-23] () <==== ATTENTION

C:\Users\pablo_000\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\9680.lnk => Moved successfully.
C:\ProgramData\{b84f7900-2e1f-f046-b84f-f79002e1e400}\9680.exe => Moved successfully.
HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable => value deleted successfully.
HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyServer => value deleted successfully.
C:\Users\pablo_000\AppData\Roaming\DLOJNX.exe => Moved successfully.
C:\Users\pablo_000\AppData\Roaming\NRWQ.exe => Moved successfully.
C:\Users\pablo_000\AppData\Roaming\VGHLWT.exe => Moved successfully.
C:\Users\pablo_000\AppData\Roaming\YASOY.exe => Moved successfully.
C:\Users\pablo_000\AppData\Local\setup.exe => Moved successfully.
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{796A2466-271F-45E8-BECB-CF20B4BEA33A}" => Key deleted successfully.
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{796A2466-271F-45E8-BECB-CF20B4BEA33A}" => Key deleted successfully.
C:\Windows\System32\Tasks\Origin => Moved successfully.
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Origin" => Key deleted successfully.

End of Fixlog 16:00:52

Réponse 2 / 3

Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 660
12 avril 2015 à 15:28

Salut,

Commence par ceci :

Suis le tutorial AdwCleaner https://www.malekal.com/adwcleaner-supprimer-virus-adwares-pup/?t=33839&start= ( d'Xplode )
Télécharge le sur ton bureau ou dossier de téléchargement.
Lance AdwCleaner, clique sur [Scanner].
L'analyse peux durer plusieurs minutes, patiente.
Une fois le scan terminé, ne décoche rien, clique sur [Nettoyer]

Une fois le nettoyage terminé, un rapport s'ouvrira. Copie/colle le contenu du rapport dans ta prochaine réponse par un copier/coller.
Si cela ne fonctionne pas, utilise le site http://pjjoint.malekal.com pour héberger le rapport, donne le lien du rapport dans un nouveau message.

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

puis :

Suis ce tutoriel FRST: https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/
(et bien prendre le temps de lire afin d'appliquer correctement - tout y est expliqué).
Télécharge et lance le scan FRST, cela va générer trois rapports FRST :

FRST.txt
Shortcut.txt
Additionnal.txt

Envoie, comme expliqué, ces trois rapports sur le site http://pjjoint.malekal.com et en retour donne les trois liens pjjoint qui mènent à ses rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

Mack4 Messages postés 61 Date d'inscription vendredi 17 mai 2013 Statut Membre Dernière intervention 29 avril 2015 1
12 avril 2015 à 15:32

voici mon bloc note adwcleaner :
# AdwCleaner v4.201 - Rapport créé le 12/04/2015 à 15:26:57
# Mis à jour le 08/04/2015 par Xplode
# Base de données : 2015-04-08.1 [Serveur]
# Système d'exploitation : Windows 8.1 Enterprise (x64)
# Nom d'utilisateur : pablo_000 - PABLO-PC
# Exécuté depuis : D:\Téléchargements\adwcleaner_4.201.exe
# Option : Nettoyer

- - - - [ Services ] *****
      - [ Fichiers / Dossiers ] *****

Dossier Supprimé : C:\Users\pablo_000\AppData\Local\Google\Chrome\User Data\Default\Extensions\imcbnnnoghiihopefblgehihofbfbmei
Fichier Supprimé : C:\Users\pablo_000\AppData\Local\Google\Chrome\User Data\Default\databases\chrome-extension_ljefoakgfhcoeobgicjgejglnpfpemgb_0
Fichier Supprimé : C:\Users\pablo_000\AppData\Local\Google\Chrome\User Data\Default\Local Extension Settings\ljefoakgfhcoeobgicjgejglnpfpemgb
Fichier Supprimé : C:\Windows\SysWOW64\hfnapi.dll
Fichier Supprimé : C:\Users\pablo_000\AppData\Local\Google\Chrome\User Data\Default\Local Storage\hxxp_st.chatango.com_0.localstorage
Fichier Supprimé : C:\Users\pablo_000\AppData\Local\Google\Chrome\User Data\Default\Local Storage\hxxp_st.chatango.com_0.localstorage-journal

- - - - [ Tâches planifiées ] *****
      - [ Raccourcis ] *****
      - [ Registre ] *****

Clé Supprimée : HKLM\SOFTWARE\Classes\PCSU.Registry
Clé Supprimée : HKLM\SOFTWARE\Classes\PCSU.SysUtils
Clé Supprimée : HKLM\SOFTWARE\Classes\PCSU.SysUtils.1
Clé Supprimée : HKLM\SOFTWARE\Classes\PCSU.Registry.1
Clé Supprimée : HKLM\SOFTWARE\76467442-a64f-4b00-966f-016bab7b7a46
Clé Supprimée : HKLM\SOFTWARE\e8e2b3b8-041d-4c0e-81e0-80cb6ae16c7f
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{4D076AB4-7562-427A-B5D2-BD96E19DEE56}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{826D7151-8D99-434B-8540-082B8C2AE556}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8FFE}
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{11549FE4-7C5A-4C17-9FC3-56FC5162A994}
Clé Supprimée : [x64] HKLM\SOFTWARE\Classes\Interface\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}
Clé Supprimée : [x64] HKLM\SOFTWARE\Classes\Interface\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8FFE}
Clé Supprimée : HKCU\Software\Myfree Codec
Clé Supprimée : HKLM\SOFTWARE\Myfree Codec
Clé Supprimée : [x64] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\464AA55239C100F32AF2D438EDDC0F47
Clé Supprimée : [x64] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\5652BA3D5FB98AE31B337BF0AF939856
Clé Supprimée : [x64] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\86EB95E1AFCBABE3DB9ECCC669B99494
Donnée Supprimée : HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings [ProxyServer] - hxxp=127.0.0.1:60253;hxxps=127.0.0.1:60253
Donnée Supprimée : HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings [ProxyEnable] - 1
Donnée Supprimée : HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings [ProxyOverride] - <-loopback>

- - - - [ Navigateurs ] *****

-\\ Internet Explorer v11.0.9600.17416

-\\ Mozilla Firefox v36.0.4 (x86 fr)

-\\ Google Chrome v41.0.2272.118

[C:\Users\pablo_000\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences] - Supprimée [Extension] : pelmeidfhdlhlbjimpabfcbnnojbboma
[C:\Users\pablo_000\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences] - Supprimée [Extension] : pfkfdlcdbajamklbneflfbcmfgddmpae
[C:\Users\pablo_000\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences] - Supprimée [Extension] : ljefoakgfhcoeobgicjgejglnpfpemgb
[C:\Users\pablo_000\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences] - Supprimée [Extension] : imcbnnnoghiihopefblgehihofbfbmei
[C:\Users\pablo_000\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences] - Supprimée [Startup_URLs] : hxxp://www.trovi.com/?gd=&ctid=CT3330789&octid=EB_ORIGINAL_CTID&ISID=M5939ED85-6B4D-4C57-A0FC-B00C9AA7D6EC&SearchSource=55&CUI=&UM=6&UP=SPEBA81938-7237-4BA5-8C3F-9FC1AAEB5C6F&SSPV=

AdwCleaner[R0].txt - [4790 octets] - [23/08/2014 01:52:34]
AdwCleaner[R10].txt - [4500 octets] - [22/12/2014 16:23:04]
AdwCleaner[R11].txt - [2796 octets] - [04/02/2015 22:43:12]
AdwCleaner[R12].txt - [3651 octets] - [26/02/2015 17:01:42]
AdwCleaner[R13].txt - [6010 octets] - [12/04/2015 15:26:12]
AdwCleaner[R1].txt - [12290 octets] - [23/08/2014 23:27:01]
AdwCleaner[R2].txt - [7522 octets] - [30/09/2014 16:27:23]
AdwCleaner[R3].txt - [47716 octets] - [01/11/2014 19:38:14]
AdwCleaner[R4].txt - [1890 octets] - [01/11/2014 21:38:41]
AdwCleaner[R5].txt - [2268 octets] - [01/11/2014 23:28:54]
AdwCleaner[R6].txt - [2328 octets] - [01/11/2014 23:30:00]
AdwCleaner[R7].txt - [2448 octets] - [05/11/2014 13:43:13]
AdwCleaner[R8].txt - [2099 octets] - [13/11/2014 18:59:02]
AdwCleaner[R9].txt - [2178 octets] - [16/12/2014 20:29:48]
AdwCleaner[S0].txt - [4129 octets] - [23/08/2014 01:53:00]
AdwCleaner[S10].txt - [5154 octets] - [12/04/2015 15:26:57]
AdwCleaner[S1].txt - [10635 octets] - [23/08/2014 23:27:25]
AdwCleaner[S2].txt - [5658 octets] - [30/09/2014 16:28:09]
AdwCleaner[S3].txt - [45323 octets] - [01/11/2014 19:38:48]
AdwCleaner[S4].txt - [2395 octets] - [01/11/2014 23:36:57]
AdwCleaner[S5].txt - [2515 octets] - [05/11/2014 13:43:46]
AdwCleaner[S6].txt - [2162 octets] - [13/11/2014 18:59:34]
AdwCleaner[S7].txt - [4582 octets] - [22/12/2014 16:26:47]
AdwCleaner[S8].txt - [2863 octets] - [04/02/2015 22:43:51]
AdwCleaner[S9].txt - [3706 octets] - [26/02/2015 17:03:03]

########## EOF - C:\AdwCleaner\AdwCleaner[S10].txt - [5757 octets] ##########

Mack4 Messages postés 61 Date d'inscription vendredi 17 mai 2013 Statut Membre Dernière intervention 29 avril 2015 1
12 avril 2015 à 15:38

pour le deuxieme logiciel :
https://pjjoint.malekal.com/files.php?read=20150412_z7y6g14j13u6 (addition)
https://pjjoint.malekal.com/files.php?read=FRST_20150412_b13f6g15y11b8 (frst)

Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 660
12 avril 2015 à 15:42

C'est un trojan Bitcoin, l'ordinateur doit ramer.

Tu pourrais me faire parvenir ce fichier :
C:\ProgramData\{b84f7900-2e1f-f046-b84f-f79002e1e400}\9680.exe

Soit par upload.malekal.com
soit par email en le zippant spamhere-@wanadoo.fr

et aussi donner le contenu de C:\Users\pablo_000\AppData\Roaming\Origin\update.vbe
via http://pjjoint.malekal.com (ou par mail aussi);

Mack4 Messages postés 61 Date d'inscription vendredi 17 mai 2013 Statut Membre Dernière intervention 29 avril 2015 1
12 avril 2015 à 15:43

bien sur j'arrive !

Mack4 Messages postés 61 Date d'inscription vendredi 17 mai 2013 Statut Membre Dernière intervention 29 avril 2015 1
12 avril 2015 à 15:50

c'est bon normalement ,merci mec tu m'aide pas mal :)

Réponse 3 / 3

Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 660
12 avril 2015 à 16:39

Tu as mis en résolu, donc j'imagine que le problème est réglé =)

Avast! détecte le malware, donc je te conseille de l'installer et d'activer les détections LPIs : https://www.malekal.com/tutoriel-antivirus-avast/

Pour prévenir les sites malicieux, tu peux installer Blockulicious : https://forum.malekal.com/viewtopic.php?t=46656&start=

Pour ne plus te faire avoir.
A lire - Programmes parasites / PUPs : https://www.malekal.com/adwares-pup-protection/

Eventuellement, il peut-être conseillé de désactiver les scripts VBS / WSH, comme expliqué sur le dossier : Malware VBS/WSH

Le reste de la sécurité : http://forum.malekal.com/comment-securiser-son-ordinateur.html

Mack4 Messages postés 61 Date d'inscription vendredi 17 mai 2013 Statut Membre Dernière intervention 29 avril 2015 1
14 avril 2015 à 15:53

oui dsl pour le retour mais j'ai un souci encore plus gros svchost bouffe mon processeur ça m'inquiète :/

Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 660
14 avril 2015 à 15:59

c'est à dire ? combien de % ?
C'est suite à l'installation d'Avast! ?

Mack4 Messages postés 61 Date d'inscription vendredi 17 mai 2013 Statut Membre Dernière intervention 29 avril 2015 1 > Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020
14 avril 2015 à 16:04

nn j'ai pas encore installer avast, mais ça peut atteindre les 50% sans que je fasse quoi ce soit sur mon pc pareille pour la ram ! je pourrais prendre des captures d'écran dans le pire des cas ça serait bcp plus clair .

Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 660
14 avril 2015 à 17:20

Installe Avast!, fais un scan avec déjà.

Discussions similaires

Extraire le contenu de plusieurs fichiers

comment donner les droits sur fichier partage