Trojan Horse Downloader.Agent.BF ?? !

Jeff -  
Bonjour,

jai un souci de Trojan on dirait bien. Je suis sous XP.
Seul AVG le detecte (passé avast, spybot, a², tauscan, ad aware, ca à l'air transparent pour eux ...)

Quelqu'un a t il deja rencontré ce Trojan, et si oui a t il reussi à l'eradiquer ?

AVG me trouve des fichiers infectés sous windows et system32,
tels que zvvlc.dll, javazr.exe, mfczx.exe, netgx32.exe, ou sous ..32\appee32.exe , mszr.exe, syslo.exe, winqk32.exe

AVG les trouve, oui, mais ne s'en debarasse pas. J'avais tout "healed", javais pu delete un exe en memoire que AVG pouvait pas faire (puisque en cours d utilisation), mais voilà, on dirait que c revenu, ptet un generateur de merdouilles caché..

La je craque, je ne sais plus trop quoi faire, si qq1 pouvait m'aider, ca serait super
merci)

19 réponses

Résumé de la discussion

Une infection Trojan sur Windows XP est décrite; AVG la détecte sur certains fichiers comme zvvlc.dll, javazr.exe et mfczx.exe, et la recrudescence survient après chaque redémarrage. Des solutions proposées incluent la désactivation de la restauration système, la suppression d’entrées dans le registre (CLSIDs) et l’emploi d’outils externes tels que Buster ou Kaspersky pour un nettoyage profond. D’autres intervenants renvoient vers des guides et discussions anglophones (Wilders Security, par exemple) et préconisent des procédures pour supprimer les entrées malveillantes et les processus incriminés. Enfin, certains rapportent avoir supprimé les traces avec succès après des scans multiples ou l’intervention d’un antivirus secondaire, tandis que d’autres notent des réinfections selon l’emplacement et les démarrages.

Bobot (l’IA à votre service)
  1. jess15
    salut redemarre en mode sans echec (redemarage +tapotte sans cesse sur f8 ou f5 )
    ensuite lance ton anti virus normalement il poura les suprimer si c pas le cas alors il faut que tu les suprime toi meme cmme ceci

    demarrer/rechercher et tape les fichier infecter comme ceci : zvvlc.dll, javazr.exe, mfczx.exe, netgx32.exe ....ect
    tu les suprime et tu vide ta corbeille

    si ta le xp n'oublie pas de desactiver ta restauration apres

    @++++++++++++++++++
    0
    1. Jeff
      mais ces exe et dll n'ont rien à voir avec le systeme ?
      (javoue ne pas connaitre en detail ce qui fait tourner windaube)

      pas de risque d'effacer un truc important ?
      bon sinon, merci, je tente ca.)
      0
      1. jess15
        salut non y'a aucun risque c pas des fichier system tu peu les suprimer
        @++++++++++++++
        0
        1. Jeff
          bon, me revoilà...
          supprimer + passer AVG pour corriger derriere, ca a marché.
          Le pb, que je navais pas vu au demarrage, c que j'ai un Trojan Winshow.AH, avec zvvlc.dll infectée.
          AVG heale bien la DLL, et tout les fichiers infectés à la suite par Trojan agent.BF... mais au reboot , ca revient, la zvvlc.DLL est regénérée et le crique reprend.

          Alors une méchante DLL cachée ou genre qui mettrait le bronx au demarrage? je met le log Hijack pour voir.

          C:\WINDOWS\System32\smss.exe
          C:\WINDOWS\system32\winlogon.exe
          C:\WINDOWS\system32\services.exe
          C:\WINDOWS\system32\lsass.exe
          C:\WINDOWS\System32\Ati2evxx.exe
          C:\WINDOWS\system32\svchost.exe
          C:\WINDOWS\System32\svchost.exe
          C:\WINDOWS\system32\spoolsv.exe
          g:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
          g:\Program Files\Alwil Software\Avast4\ashServ.exe
          G:\grisoft\AVG6\avgserv.exe
          C:\WINDOWS\system32\Ati2evxx.exe
          C:\WINDOWS\Explorer.EXE
          C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
          C:\WINDOWS\System32\svchost.exe
          C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
          C:\Program Files\Analog Devices\SoundMAX\smax4.exe
          C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
          C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe
          C:\Program Files\Fichiers communs\Logitech\QCDriver3\LVCOMS.EXE
          C:\Program Files\Logitech\ImageStudio\LogiTray.exe
          C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
          G:\grisoft\AVG6\avgcc32.exe
          C:\WINDOWS\system32\javapp.exe
          G:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
          G:\PROGRA~1\Agnitum\TAUSCA~1.7\taumon.exe
          C:\Program Files\Logitech\Profiler\lwemon.exe
          C:\Program Files\MSN Messenger\MsnMsgr.Exe
          C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE
          C:\Program Files\Logitech\ImageStudio\LowLight.exe
          C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
          G:\grisoft\AVG6\avgw.exe
          C:\Documents and Settings\x\Bureau\HijackThis.exe

          R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr
          R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.fr
          R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr
          R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.fr
          R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr
          R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr
          R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.fr
          R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.wanadoo.fr
          R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.google.fr
          R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOCUME~1\x\LOCALS~1\Temp\sp.html
          R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
          R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
          O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
          O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
          O2 - BHO: (no name) - {C7B33F7A-073C-9061-F6F7-482F69867311} - C:\WINDOWS\d3wd32.dll
          O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
          O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
          O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
          O4 - HKLM\..\Run: [SoundMAX] "C:\Program Files\Analog Devices\SoundMAX\smax4.exe" /tray
          O4 - HKLM\..\Run: [PtiuPbmd] Rundll32.exe ptipbm.dll,SetWriteBack
          O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
          O4 - HKLM\..\Run: [SetCacheMode] Rundll32.exe ptipbmf.dll,SetWriteCacheMode
          O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
          O4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Fichiers communs\Logitech\QCDriver3\LVCOMS.EXE
          O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\ImageStudio\ISStart.exe
          O4 - HKLM\..\Run: [LogitechImageStudioTray] C:\Program Files\Logitech\ImageStudio\LogiTray.exe
          O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
          O4 - HKLM\..\Run: [AVG_CC] G:\grisoft\AVG6\avgcc32.exe /startup
          O4 - HKLM\..\Run: [javapp.exe] C:\WINDOWS\system32\javapp.exe
          O4 - HKLM\..\Run: [avast!] g:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
          O4 - HKLM\..\Run: [Tau Monitor] G:\PROGRA~1\Agnitum\TAUSCA~1.7\taumon.exe
          O4 - HKCU\..\Run: [Start WingMan Profiler] "C:\Program Files\Logitech\Profiler\lwemon.exe" /noui
          O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
          O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"
          O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
          O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
          O8 - Extra context menu item: Backward &Links - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
          O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
          O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://G:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
          O8 - Extra context menu item: Si&milar Pages - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
          O9 - Extra 'Tools' menuitem: Console Java (Sun) (HKLM)
          O9 - Extra button: Créer un Favori de l'appareil mobile (HKLM)
          O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... (HKLM)
          O9 - Extra button: Messenger (HKLM)
          O9 - Extra 'Tools' menuitem: Messenger (HKLM)
          O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_1_0_0_41.cab
          O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} - http://bin.mcafee.com/molbin/shared/mcinsctl/en-us/4,0,0,76/mcinsctl.cab
          O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/047ac7cbc66fadc41023/netzip/RdxIE601_fr.cab
          O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
          O16 - DPF: {90C9629E-CD32-11D3-BBFB-00105A1F0D68} (InstallShield International Setup Player) - http://www.installengine.com/engine/isetup.cab
          O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
          O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
          O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/vso/en-us/tools/mcfscan/1,5,0,4330/mcfscan.cab

          Voilou, si qq1 a une idée )
          0
          2. Jeff
            En fait, je heal tout avec AVG. Je lance un page web, et la ZVVLC.DLL me saute aussitot à la figure avec le resident de AVG comme virus Winshow.AN

            ca je sais pas ce que c'est ou si c'est bad ptet:

            {C7B33F7A-073C-9061-F6F7-482F69867311} Browser Helper Objects C:\WINDOWS\d3wd32.dll No
            R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOCUME~1\x\LOCALS~1\Temp\sp.html
            R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank

            une idée plz ?
            0
            1. jess15
              oui ta raison fix c'est lignes :))

              {C7B33F7A-073C-9061-F6F7-482F69867311} Browser Helper Objects C:\WINDOWS\d3wd32.dll No
              R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOCUME~1\x\LOCALS~1\Temp\sp.html
              R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
              @+++++++++
              0
          3. Jeff
            et ca avec startuprun aussi

            sysai32.exe Registry -> Machine RunOnce C:\WINDOWS\sysai32.exe No HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce

            d3vg32.exe Registry -> Machine RunOnce C:\WINDOWS\d3vg32.exe No HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
            0
            1. jess15
              moi aussi c'est 2 executable me parraisse suspecte essay de les enlever .si ta le xp je te conseille de cree un point de restauration comme ca si tu te trompe tu poura faire une restauration ;)))
              @++++++++++
              0
          4. Jeff
            merci pr la reponse Jess, je fais ca.

            apr contre, les 2 exe ont l'air louche ..
            0
            1. Jeff
              jai fix la DLL avec HJT, je lance un IE, et boom, nouvelle DLL winshow.AN saktx.dll gniiiii ....
              0
              3. jess15
                salut peu etre que ta pas bien suivie les procedure
                as tu desactiver ta restauration (si ta le xp)

                @+++++++++++++
                0
                1. jess15
                  re salut did si ta besoin d'aide pour la traduction n'hesite pas
                  @++++++++++
                  0
              4. maminova
                va sur secuser.com et scanne, tu devrais pouvoir accèder à l'élimination .
                0
                1. did
                  J'ai fait tout ça, j'ai désactivé la restauration, mais ce fichu troyen revient à chaque fois sous un nom différent...
                  Pourtant c'est bien un TROJ_AGENT.Z2

                  A suivre
                  0
                  1. Jeff
                    merci pr les coups de main.
                    Je n'ai à priori plus rien (apres moults reboots, multi tests, lanceemnts de X applis).

                    Voici une URL qui m'a bien aidé, en complement de ce que j'ai trouvé ici:
                    http://www.wilderssecurity.com/showthread.php?t=38363
                    Tres bon site aussi.

                    Voilou, ++ :)
                    0
                    1. jess15
                      salut ravi que ton probleme sois regler ;))
                      @+++++++++
                      0
                  2. did
                    Pour la traduction de ce passge j'hésite un peu en effet...

                    Removing Other Malware Entries from the Registry

                    1/Still in the Registry Editor, Click Edit>Find…then type the full path and file name of the file detected earlier.
                    2/Delete the registry key that corresponds to the CLSID of this malware. For example, if the following entry is found, delete its registry key:
                    HKEY_CLASSES_ROOT>CLSID>{FC963150-92B0-0B86-
                    B2D9-1238DEFF6F6C}>LocalServer32
                    Default = "C:\Winnt\System32\winiq.exe"
                    The affected key is as follows:
                    HKEY_CLASSES_ROOT>CLSID>{FC963150-92B0-0B86-B2D9-1238DEFF6F6C}
                    3/Close Registry Editor.
                    0
                    1. jess15
                      salut did d'apres ce que j'ai compris pour trouver les autre entrées du virus qui se trouve dans le registre:
                      il faut ouvrir le registre ensuite tu va dans editer/rechercher.../ ensuite tu tape le chemin complet et le nom du ficher infecter par le virus

                      ensuite tu suprime la clée qui correspond au CLSID du virus par exemple si tu trouve cette clée tu la suprime

                      HKEY_CLASSES_ROOT>CLSID>{FC963150-92B0-0B86-
                      B2D9-1238DEFF6F6C}>LocalServer32
                      Default = "C:\Winnt\System32\winiq.exe"

                      avant de suprimer koi ke se sois je te conseille de creé un point de restauration ;))
                      bonne chance
                      @+++++++++
                      0
                    2. did
                      @jess15Merci
                      En fait j'ai rescanné avec kapersky et il a réussi a tout supprimer, là où les suppressions à la main avaient échoué.
                      à plus
                      0
                  3. Josh
                    I went to this site & downloaded this program & restarted in safe mode & then scaned with it & I have had no problems since! I had that NASTY "Downloader.agent.BF" trojan also! Try it & see if it helps! Hope it does! I also hope that everyone can read this since it is in english! Good luck!

                    Josh

                    P.S. Here is the downlaod link:
                    http://tools.zerosrealm.com/AboutBuster.zip
                    0
                    1. José
                      From Portugal,

                      Thank you Josh!!! Your hint solved my problem with Agent BF!

                      Best Regards

                      José
                      0
                  4. carole
                    J'ai le meme probleme depuis une semaine impossible de m'en débarasser j'ai le trojen agent.bf & Winshow.an & c'est avg seulement qui me dit c'a j'ai installer norten antivirus 2004 mais lui ne le détecte pas j'essaie de désinstaller avg mais impossible il disent qu'un fichier manquan shell.dll alors je crois que le trojan est avec avg & home search
                    0
                    2. jess15
                      faut remercier Josh
                      thank you josh !!
                      @+++++++++
                      0

                      Discussions similaires

                      Aide pour un virus
                      cerise92700

                      41 réponses
                      Trojan impossible à supprimer!
                      Gridouu

                      12 réponses
                      Comment supprimer le virus Trojan
                      vitsou

                      18 réponses
                      trojan Generic Downloader.h
                      David Lacroix

                      22 réponses