Application w22BYaX.exe ?

Résolu
dukduk -  
Bonjour,

Savez-vous à quoi correspond l'application w22BYaX.exe ? Elle apparait dans le task manager. La recherche Google ne donne aucune réponse...

Merci et bonne journée

16 réponses

  1.  Destrio5 Modérateur
    "D:\Program Files\x86"

    --> Il y a quoi dans ce dossier ?

    "O43 - CFD: 12/02/2010 - 20:04:54 - [0,001] --H-D D:\Documents and Settings\vincent\Local Settings\Application Data\DPyxAGv4z5Nb162"

    --> Supprime ce dossier manuellement ou avec ZHPFix.

    "Avira AntiVir Personal"

    --> C'est écrit Avira Free Antivirus avec la dernière version.
    1. dukduk2
      ok, dossier supprimé.
      Un coup de CCleaner derrière.

      J'ai déja Avira sinon.

      Merci beaucoup pour votre aide et votre forum d'utilité publique! ;)
      1. Destrio5 Modérateur
        Supprime le dossier "arquivos de programas".

        http://www.01net.com/operations/avira/

        Si pendant l'installation, il te propose une barre d'outils, décoche.
        3. Destrio5 Modérateur
          As-tu remarqué des changements après cette manip' ?

          Je voudrais un nouveau rapport ZHPDiag.
          1. dukduk2
            Rapport de ZHPFix 1.2.06 par Nicolas Coolman, Update du 17/05/2012
            Fichier d'export Registre : D:\ZHP\ZHPExportRegistry-16-06-2012-11-49-45.txt
            Run by vincent at 16/06/2012 11:49:45
            Windows XP Professional Service Pack 3 (Build 2600)
            Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
            Web site : http://nicolascoolman.skyrock.com/

            ========== Clé(s) du Registre ==========
            SUPPRIME Key*: HKLM\Software\SeekappSrch
            SUPPRIME CLSID MPSK: {011cf5e1-4a33-11de-9222-00173392e3a5}
            SUPPRIME CLSID MPSK: {157dbf23-c3e2-11de-933b-00173392e3a5}
            SUPPRIME CLSID MPSK: {5f5e024e-2431-11de-a9d6-806d6172696f}
            SUPPRIME Key*: StartupReg: SpybotSD TeaTimer

            ========== Valeur(s) du Registre ==========
            SUPPRIME RunValue: KernelFaultCheck
            SUPPRIME RunValue: QuickTime Task
            SUPPRIME RunValue: QamjgkM
            SUPPRIME RunValue: ruqMNdabjO
            SUPPRIME RunValue: WymcnfW
            ABSENT RunValue: QamjgkM
            ABSENT RunValue: ruqMNdabjO
            ProxyFix : Configuration proxy supprimée avec succès
            SUPPRIME ProxyServer Value
            SUPPRIME ProxyEnable Value
            SUPPRIME EnableHttp1_1 Value
            SUPPRIME ProxyHttp1.1 Value
            SUPPRIME ProxyOverride Value

            ========== Elément(s) de donnée du Registre ==========
            SUPPRIME Explorer Association Data Application: http://www.filefacts.net/redirect.php?lang=%04x&ext=%s

            ========== Dossier(s) ==========
            SUPPRIME Flash Cookies:
            SUPPRIME Temporaires Windows:

            ========== Fichier(s) ==========
            SUPPRIME File: c:\arquivos de programas\adhxfxx\ttthjcj\qamjgkm.exe
            SUPPRIME File: d:\documents and settings\all users\u78flkbnufvh\xasej0qee4ziav3q\uzky2gfgyhlnxc\bwmaap4t4sg7\egdyounfgmawuac\wjircrf9simje2\w22byax.exe
            SUPPRIME File: c:\arquivos de programas\emitcnx\koaifnw\wymcnfw.exe
            ABSENT File: c:\arquivos de programas\adhxfxx\ttthjcj\qamjgkm.exe
            ABSENT File: d:\documents and settings\all users\u78flkbnufvh\xasej0qee4ziav3q\uzky2gfgyhlnxc\bwmaap4t4sg7\egdyounfgmawuac\wjircrf9simje2\w22byax.exe
            ABSENT File: d:\program files\spybot - search & destroy\teatimer.exe
            SUPPRIME Flash Cookies:
            SUPPRIME Temporaires Windows:

            ========== Tache planifiée ==========
            SUPPRIME Task: RealUpgradeLogonTaskS-1-5-21-1801674531-1229272821-2146553785-1004
            SUPPRIME Task: RealUpgradeScheduledTaskS-1-5-21-1801674531-1229272821-2146553785-1004

            ========== Restauration Système ==========
            Point de restauration du système créé avec succès

            ========== Récapitulatif ==========
            5 : Clé(s) du Registre
            13 : Valeur(s) du Registre
            1 : Elément(s) de donnée du Registre
            2 : Dossier(s)
            8 : Fichier(s)
            2 : Tache planifiée
            1 : Restauration Système

            End of clean in 00mn 10s

            ========== Chemin de fichier rapport ==========
            D:\ZHP\ZHPFix[R1].txt - 16/06/2012 11:49:45 [2607]
            1. Destrio5 Modérateur
              --> Copie tout le texte présent en gras ci-dessous (Sélectionne-le, clique droit dessus et choisis "Copier").

              SysRestore
              [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] Application: Modified
              O4 - HKLM\..\Run: [KernelFaultCheck] Clé orpheline
              OPT:O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- D:\Program Files\QuickTime\qttask.exe
              O4 - HKCU\..\Run: [QamjgkM] . (.PhedexbFileDescription - Thumbnail Surface Application.) -- C:\Arquivos de programas\AdhxfxX\TtthjcJ\QamjgkM.exe
              O4 - HKCU\..\Run: [ruqMNdabjO] . (...) -- D:\Documents and Settings\All Users\u78fLkbnuFVH\xaSEJ0qEE4zIAv3q\uzky2gfGYhLnxc\BWmAaP4T4sG7\EgdYOUnfGmaWUAc\wjIrCRF9sImje2\w22BYaX.exe
              O4 - HKUS\S-1-5-18\..\Run: [WymcnfW] . (.PhedexbFileDescription - Thumbnail Surface Application.) -- C:\Arquivos de programas\EmitcnX\KoaifnW\WymcnfW.exe
              O4 - HKUS\S-1-5-18\..\Run: [WymcnfW] . (.PhedexbFileDescription - Thumbnail Surface Application.) -- C:\Arquivos de programas\EmitcnX\KoaifnW\WymcnfW.exe
              O4 - HKUS\S-1-5-21-1801674531-1229272821-2146553785-1004\..\Run: [QamjgkM] . (.PhedexbFileDescription - Thumbnail Surface Application.) -- C:\Arquivos de programas\AdhxfxX\TtthjcJ\QamjgkM.exe
              O4 - HKUS\S-1-5-21-1801674531-1229272821-2146553785-1004\..\Run: [ruqMNdabjO] . (...) -- D:\Documents and Settings\All Users\u78fLkbnuFVH\xaSEJ0qEE4zIAv3q\uzky2gfGYhLnxc\BWmAaP4T4sG7\EgdYOUnfGmaWUAc\wjIrCRF9sImje2\w22BYaX.exe
              [MD5.00000000000000000000000000000000] [APT] [RealUpgradeLogonTaskS-1-5-21-1801674531-1229272821-2146553785-1004] (...) -- D:\Program Files\Real\RealUpgrade\realupgrade.exe (.not file.)
              [MD5.00000000000000000000000000000000] [APT] [RealUpgradeScheduledTaskS-1-5-21-1801674531-1229272821-2146553785-1004] (...) -- D:\Program Files\Real\RealUpgrade\realupgrade.exe (.not file.)
              [HKLM\Software\SeekappSrch]
              O43 - CFD: 15/06/2012 - 19:53:54 - [29,104] -SH-D D:\Documents and Settings\All Users\u78fLkbnuFVH
              O43 - CFD: 14/07/2011 - 12:44:06 - [0,002] ----D D:\Documents and Settings\vincent\Application Data\Media Get LLC
              O43 - CFD: 10/12/2009 - 03:19:06 - [0] --HAD D:\Documents and Settings\vincent\Local Settings\Application Data\a1vM2WOmZ
              O43 - CFD: 14/07/2011 - 12:43:11 - [1,485] ----D D:\Documents and Settings\vincent\Local Settings\Application Data\Media Get LLC
              O43 - CFD: 14/07/2011 - 12:44:16 - [0,000] ----D D:\Documents and Settings\vincent\Local Settings\Application Data\MediaGet2
              O43 - CFD: 18/11/2010 - 09:36:16 - [0,004] --H-D D:\Documents and Settings\vincent\Local Settings\Application Data\QZooaw6zZr3Msm
              O51 - MPSK:{011cf5e1-4a33-11de-9222-00173392e3a5}\AutoRun\command - Clé orpheline
              O51 - MPSK:{157dbf23-c3e2-11de-933b-00173392e3a5}\AutoRun\command - Clé orpheline
              O51 - MPSK:{5f5e024e-2431-11de-a9d6-806d6172696f}\AutoRun\command - Clé orpheline
              O53 - SMSR:HKLM\...\startupreg\SpybotSD TeaTimer [Key] . (...) -- D:\Program Files\Spybot - Search & Destroy\TeaTimer.exe (.not file.)
              C:\Arquivos de programas\EmitcnX
              C:\Arquivos de programas\AdhxfxX
              ProxyFix
              EmptyCLSID
              EmptyFlash
              EmptyTemp

              --> Puis lance ZHPFix depuis le raccourci situé sur ton Bureau.
              (Sous Vista/Win7, il faut cliquer droit sur le raccourci de ZHPFix et choisir Exécuter en tant qu'administrateur)

              --> Une fois ZHPFix ouvert, clique sur le bouton "H" (Coller les lignes Helper).

              --> Dans l'encadré principal, tu verras donc les lignes que tu as copié précédemment apparaître. Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

              --> Clique sur "GO" pour lancer le nettoyage. Laisse l'outil travailler et ne touche à rien.

              --> Une fois terminé, copie-colle le rapport dans ton prochain message.
              2. dukduk2
                https://www.virustotal.com/gui/file/9c314c08447b585831ea81fa0e08c0856d7c7137eaf7d93234529051ec1a9b49

                https://www.virustotal.com/gui/file/9c314c08447b585831ea81fa0e08c0856d7c7137eaf7d93234529051ec1a9b49

                je ne retrouve pas celui-ci:
                D:\Documents and Settings\All Users\u78fLkbnuFVH\xaSEJ0qEE4zIAv3q\uzky2gfGYhLnxc\BWmAaP4T4sG7\EgdYOUnfGmaWUAc\wjIrCRF9sImje2\w22BYaX.exe"

                sinon j'ai reçu ce message sur mon mail, mais il n'apparait pas ici!
                (et je ne connais pas OTL)

                ok,

                == == == == == == == == == == == == == == == == == == == == == ==

                Si la protection en temps réel de Malwarebytes Anti-Malware est activée (version PRO ou période d'essai de la version gratuite). Il faut absolument la désactiver temporairement par clic-droit "Quitter" sur son icône prés de l'heure avant de faire la correction OTL.

                == == == == == == == == == == == == == == == == == == == == == ==

                Avis aux utilisateurs de l'antivirus Avast! , ne pas exécuter OTL dans la sandbox.

                == == == == == == == == == == == == == == == == == == == == == ==

                1. Relance OTL

                ? Dans la partie "Personnalisation", copie/colle les instructions hébergées ici
                ? Clique sur le bouton Correction.
                ? Patiente pendant le travail de l'outil, il doit ensuite redémarrer le PC.
                ? Accepte en cliquant sur OK.
                ? Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément.

                Tu peux le retrouver le fichier à la racine du disque dans ce dossier : C:\_OTL\MovedFiles

                2. Lance un examen rapide avec Malwarebytes qui est déjà installé sur ton pc (effectue sa mise à jour avant), supprime ce qu'il trouve.

                3. Héberge les rapports et poste les liens.

                A +

                --
                «La raison et la logique ne peuvent rien contre l'entêtement et la sottise.»
                3. Destrio5 Modérateur
                  "les noms de répertoire sont en espagnol??!"

                  --> Je dirais plutôt du portugais. Il y a quoi dans ce dossier "Arquivos de programas" ?

                  --> Relance AdwCleaner et choisis "Désinstallation".

                  --> Je voudrais un nouveau rapport ZHPDiag.
                  1. dukduk2
                    les noms de répertoire sont en espagnol??!

                    --> A part ce fichier w22BYaX.exe, tu n'as rien remarqué d'autre ?

                    si, récemment Antivir a détecté quelques trojan, éliminés sur le champ.

                    # AdwCleaner v1.609 - Logfile created 06/16/2012 at 10:10:05
                    # Updated 10/06/2012 by Xplode
                    # Operating system : Microsoft Windows XP Service Pack 3 (32 bits)
                    # User : vincent - SIB-B63808CE51B
                    # Running from : D:\Documents and Settings\vincent\My Documents\Téléchargements\adwcleaner.exe
                    # Option [Delete]

                    ***** [Services] *****

                    ***** [Files / Folders] *****

                    Folder Deleted : D:\Program Files\Mozilla Firefox\Extensions\quickstores@quickstores.de
                    Folder Deleted : D:\WINDOWS\assembly\GAC_MSIL\QuickStoresToolbar
                    Deleted on reboot : D:\WINDOWS\system32\prncnfgd
                    File Deleted : D:\Documents and Settings\vincent\errorlog.tmp
                    File Deleted : D:\Documents and Settings\vincent\F_ajour.jar
                    File Deleted : D:\Documents and Settings\vincent\Start Menu\QuickStores.url
                    File Deleted : D:\Program Files\Mozilla Firefox\searchplugins\babylon.xml

                    ***** [Registry] *****

                    Key Deleted : HKCU\Software\Softonic
                    Key Deleted : HKLM\SOFTWARE\Classes\AppID\escort.DLL
                    Key Deleted : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\0563B8630D62D75ABBC8AB1E4BDFB5A899B24D43
                    Key Deleted : HKLM\SOFTWARE\Google\Chrome\Extensions\dhkplhfnhceodhffomolpfigojocbpcb
                    Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\chat-land.org
                    Value Deleted : HKCU\Software\Microsoft\Internet Explorer\New Windows\Allow [*.chat-land.org]

                    ***** [Registre - GUID] *****

                    Key Deleted : HKLM\SOFTWARE\Classes\AppID\{BDB69379-802F-4EAF-B541-F8DE92DD98DB}
                    Key Deleted : HKLM\SOFTWARE\Classes\TypeLib\{09C554C3-109B-483C-A06B-F14172F1A947}
                    Key Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\{E2E2DD38-D088-4134-82B7-F2BA38496583}
                    Key Deleted : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{1F096B29-E9DA-4D64-8D63-936BE7762CC5}
                    Key Deleted : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{3BD44F0E-0596-4008-AEE0-45D47E3A8F0E}
                    Key Deleted : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{557C21FE-7274-410D-853E-9ED4471BF193}
                    Key Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{EEE7E0A3-AE64-4DC8-84D1-F5D7BAF2DB0C}
                    Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{201F27D4-3704-41D6-89C1-AA35E39143ED}
                    Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E2E2DD38-D088-4134-82B7-F2BA38496583}
                    Value Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{10EDB994-47F8-43F7-AE96-F2EA63E9F90F}]

                    ***** [Internet Browsers] *****

                    -\\ Internet Explorer v7.0.5730.13

                    Replaced : [HKCU\Software\Microsoft\Internet Explorer\Main - Start Page] = hxxp://search.babylon.com/?babsrc=HP_ss&mntrId=56d41459000000000000001c252e8ba1&tlver=1.4.23.10&affID=19591 --> hxxp://www.google.com
                    Replaced : [HKCU\Software\Microsoft\Internet Explorer\Main - Default_Secondary_Page_URL] = hxxp://www.cherche.us --> hxxp://www.google.com
                    Replaced : [HKCU\Software\Microsoft\Internet Explorer\Main - SearchMigratedDefaultName] = cherche.us --> hxxp://www.google.com
                    Replaced : [HKCU\Software\Microsoft\Internet Explorer\Main - SearchMigratedDefaultURL] = hxxp://www.cherche.us/Result.php?cx=partner-pub-0420647136319153%3A5n6ugpjrdrh&cof=GIMP%3ACCCCCC%3BT%3A000000%3BALC%3A551a8b%3BGFNT%3AB7B7B7%3BLC%3A2200cc%3BBGC%3AFFFFFF%3BVLC%3A551a8b%3BGALT%3A008B45%3BFORID%3A10%3BDIV%3A%23FFFFF0%3B&q={searchTerms} --> hxxp://www.google.com
                    Replaced : [HKLM\SOFTWARE\Microsoft\Internet Explorer\Search - SearchAssistant] = hxxp://search.babylon.com/?babsrc=SP_ss&q={searchTerms}&mntrId=56d41459000000000000001c252e8ba1&tlver=1.4.23.10&affID=19591 --> hxxp://www.google.com

                    -\\ Mozilla Firefox v13.0 (fr)

                    Profile name : default
                    File : D:\Documents and Settings\vincent\Application Data\Mozilla\Firefox\Profiles\bso8lsow.default\prefs.js

                    Deleted : user_pref("extensions.BabylonToolbar.bbDpng", 14);
                    Deleted : user_pref("extensions.BabylonToolbar.firstRun", false);
                    Deleted : user_pref("extensions.BabylonToolbar.lastDP", 14);
                    Deleted : user_pref("keyword.URL", "hxxp://search.babylon.com/?babsrc=toolbar2&q=");
                    Deleted : user_pref("quickstores.toolbar.affid", "2017");
                    Deleted : user_pref("quickstores.toolbar.guid", "{931B52F4-3798-F84C-94F8-8DC758C2558B}");

                    Profile name : default
                    File : D:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\q8zu3vek.default\prefs.js

                    [OK] File is clean.

                    -\\ Google Chrome v19.0.1084.56

                    File : D:\Documents and Settings\vincent\Local Settings\Application Data\Google\Chrome\User Data\Default\Preferences

                    Deleted : "homepage": "hxxp://search.babylon.com/?babsrc=HP_ss&mntrId=56d41459000000000000001c252e8ba1&t[...]
                    Deleted : "homepage": "hxxp://search.babylon.com/?babsrc=HP_ss&mntrId=56d41459000000000000001c252e8ba1&tlve[...]

                    *************************

                    AdwCleaner[S1].txt - [4809 octets] - [16/06/2012 10:10:05]

                    ########## EOF - D:\AdwCleaner[S1].txt - [4937 octets] ##########
                    1. Destrio5 Modérateur
                      "C:\Arquivos de programas\AdhxfxX\TtthjcJ\QamjgkM.exe
                      C:\Arquivos de programas\EmitcnX\KoaifnW\WymcnfW.exe
                      D:\Documents and Settings\All Users\u78fLkbnuFVH\xaSEJ0qEE4zIAv3q\uzky2gfGYhLnxc\BWmAaP4T4sG7\EgdYOUnfGmaWUAc\wjIrCRF9sImje2\w22BYaX.exe"

                      --> A part ce fichier w22BYaX.exe, tu n'as rien remarqué d'autre ?

                      Fais ceci :

                      --> Télécharge et lance AdwCleaner (de Xplode), choisis l'option "Suppression" et poste le rapport :
                      http://general-changelog-team.fr/fr/downloads/viewdownload/20-outils-de-xplode/2-adwcleaner
                      2. Destrio5 Modérateur
                        Bonjour,

                        Peut-être une infection.

                        --> Télécharge ZHPDiag (de Nicolas Coolman).

                        --> Double-clique sur le fichier d'installation. Installe ZHPDiag avec les paramètres par défaut (N'oublie pas de cocher "Créer une icône sur le Bureau").

                        --> Lance ZHPDiag en double-cliquant sur le raccourci présent sur ton Bureau.
                        (Sous Vista/Win7, il faut cliquer droit sur le raccourci de ZHPDiag et choisir Exécuter en tant qu'administrateur)

                        --> Clique sur la loupe (Lancer le diagnostic) puis laisse l'outil scanner.

                        --> Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier (le rapport de l'analyse) sur ton Bureau.

                        --> Pour me transmettre le rapport, utilise le site http://pjjoint.malekal.com/ car le rapport ZHPDiag est plutôt long. Copie-colle le lien donné par le site ici.