Questions sur une infection par le trojan VBS:Agent-AXN

[jean123xp]

Bonjour,

J'utilise Windows XP SP2 et il a été infecte par vbs agent axn (mise en quarantaine par avast) à cause d'une clé USB. Je me pose plusieurs questions:

1-comment savoir si le système est infecte? (avast ne m'a plus rien signalé depuis et une analyse minutieuse d'avast et de MBAM n'a rien trouvé, et tout est apparemment normal dans ZAlarm )
2-est ce qu'un formatage +réinstal de la partition C:\ systeme résoudrais le problème ? (j'ai 3 partitions secondaires)
3-sinon est il possible de sauvegarder certains fichiers en gravant un cd ou un dvd?
4-j'ai utilisé mon imprimante branchée en usb la mémoire tampon peut-elle être infectée?
5-comment désinfecter éventuellement un PC non connecté internet?

Je précise que la clé fautive est partie à la poubelle, que je n'ai branché aucune autre clé ni HDD ext depuis, ni saisi un mot de passe ( protégés par Keepass ) hormis celui d’accès à ce forum. Je suis nouveau sur ce forum et m'excuse par avance si je ne suis pas au bon endroit

merci
jean123xp

[angelique]

la clef usb devait etre infecté et avast a intercepté l'infection.

creer un nouveau dossier en c:\ nommé HJT
telecharger HijackThis.exe dans ce nouveau dossier crée::
http://freefr.dl.sourceforge.net/projec ... ckThis.exe

- Génère un rapport en suivant ces indications :
- Exécute le(clic droit | en tant qu'administrateur si ton OS est Vista) et clique sur Do a scan and save log file.
- Le rapport s'ouvre sur le Bloc-Note
- Colle le rapport ici, pour cela :
- Menu Edition / Selectionner Tout
- Menu Edition / copier
- Ici dans un nouveau message : clic droit / coller

[jean123xp]

voila le rapport de hijackthis

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 09:36:19, on 11/03/2014
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

FIREFOX: 10.0.1 (fr)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\AVAST Software\Avast\AvastSvc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Creative\Shared Files\CTAudSvc.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\AVAST Software\Avast\AvastUI.exe
C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe
C:\WINDOWS\system32\CTXFIHLP.EXE
C:\Program Files\Rainlendar2\Rainlendar2.exe
D:\fox_mail\Foxmail.exe
C:\WINDOWS\system32\wscript.exe
C:\Program Files\easy timer\EasyTimer.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\SYSTEM32\CTXFISPI.EXE
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Mozilla Firefox\plugin-container.exe
C:\Program Files\Mozilla Firefox\plugin-container.exe
C:\WINDOWS\Explorer.EXE
C:\hjt\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/ie
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.fr
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.fr/ie
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.fr/keyword/%s
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.google.fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ZoneAlarm Installer] "C:\Program Files\CheckPoint\Install\Launcher.exe" "C:\Program Files\CheckPoint\Install\Install.exe" /r /c "C:\Program Files\CheckPoint\Install\Install.xml"
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [AvastUI.exe] "C:\Program Files\AVAST Software\Avast\AvastUI.exe" /nogui
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE
O4 - HKLM\..\Run: [AlcxMonitor] ALCXMNTR.EXE
O4 - HKLM\..\RunOnce: [20131224] C:\Program Files\AVAST Software\Avast\setup\emupdate\4227bdc0-42e6-45a6-8cb8-5ed2cc5960ed.exe /check
O4 - HKCU\..\Run: [Rainlendar2] C:\Program Files\Rainlendar2\Rainlendar2.exe
O4 - HKCU\..\Run: [Foxmail] D:\fox_mail\Foxmail.exe -min
O4 - HKCU\..\Run: [iTunesHelper] wscript.exe //B "C:\DOCUME~1\internet\LOCALS~1\Temp\iTunesHelper.vbe"
O4 - HKUS\S-1-5-18\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User 'Default user')
O4 - S-1-5-18 Startup: Easy Timer.lnk = C:\Program Files\easy timer\EasyTimer.exe (User 'SYSTEM')
O4 - S-1-5-18 Startup: iTunesHelper.vbe (User 'SYSTEM')
O4 - .DEFAULT Startup: Easy Timer.lnk = C:\Program Files\easy timer\EasyTimer.exe (User 'Default user')
O4 - .DEFAULT Startup: iTunesHelper.vbe (User 'Default user')
O4 - Startup: Easy Timer.lnk = C:\Program Files\easy timer\EasyTimer.exe
O4 - Startup: iTunesHelper.vbe
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (Installation Support) - C:\Program Files\Yahoo!\Common\Yinsthelper.dll
O22 - SharedTaskScheduler: Pré-chargeur Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe (file missing)
O23 - Service: avast! Antivirus - AVAST Software - C:\Program Files\AVAST Software\Avast\AvastSvc.exe
O23 - Service: Creative Audio Engine Licensing Service - Creative Labs - C:\Program Files\Fichiers communs\Creative Labs Shared\Service\CTAELicensing.exe
O23 - Service: Creative Audio Service (CTAudSvcService) - Creative Technology Ltd - C:\Program Files\Creative\Shared Files\CTAudSvc.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: Journal des événements (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: HDDHealth - Unknown owner - C:\Program Files\HDD Health\HDDHealthService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Plug-and-Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Check Point Software Technologies LTD - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O23 - Service: Cliché instantané de volume (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe

--
End of file - 6504 bytes

[angelique]

Relance HijackThis do a system scan only , coche uniquement les lignes ci dessous et clic Fixchecked:

O4 - HKLM\..\Run: [AlcxMonitor] ALCXMNTR.EXE
O4 - HKCU\..\Run: [iTunesHelper] wscript.exe //B "C:\DOCUME~1\internet\LOCALS~1\Temp\iTunesHelper.vbe"
O4 - S-1-5-18 Startup: iTunesHelper.vbe (User 'SYSTEM')
O4 - .DEFAULT Startup: iTunesHelper.vbe (User 'Default user')
O4 - Startup: iTunesHelper.vbe


> clic Fixchecked et redemarre windows

> refait un nouveau rapport HijackThis

[jean123xp]

voila le nouveau rapport apparemment ça n'a pas marché j'ai fait la manip indiquée en cession utilisateur et aussi administrateur (cable reseau debranché)

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 14:05:06, on 11/03/2014
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

FIREFOX: 10.0.1 (fr)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\AVAST Software\Avast\AvastSvc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Creative\Shared Files\CTAudSvc.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\AVAST Software\Avast\AvastUI.exe
C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe
C:\WINDOWS\system32\CTXFIHLP.EXE
C:\Program Files\Rainlendar2\Rainlendar2.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\SYSTEM32\CTXFISPI.EXE
D:\fox_mail\Foxmail.exe
C:\WINDOWS\system32\wscript.exe
C:\Program Files\easy timer\EasyTimer.exe
C:\WINDOWS\system32\wuauclt.exe
C:\hjt\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/ie
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.fr
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.fr/ie
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.fr/keyword/%s
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.google.fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ZoneAlarm Installer] "C:\Program Files\CheckPoint\Install\Launcher.exe" "C:\Program Files\CheckPoint\Install\Install.exe" /r /c "C:\Program Files\CheckPoint\Install\Install.xml"
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [AvastUI.exe] "C:\Program Files\AVAST Software\Avast\AvastUI.exe" /nogui
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE
O4 - HKCU\..\Run: [Rainlendar2] C:\Program Files\Rainlendar2\Rainlendar2.exe
O4 - HKCU\..\Run: [Foxmail] D:\fox_mail\Foxmail.exe -min
O4 - HKCU\..\Run: [iTunesHelper] wscript.exe //B "C:\DOCUME~1\internet\LOCALS~1\Temp\iTunesHelper.vbe"
O4 - HKUS\S-1-5-18\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User 'Default user')
O4 - S-1-5-18 Startup: Easy Timer.lnk = C:\Program Files\easy timer\EasyTimer.exe (User 'SYSTEM')
O4 - S-1-5-18 Startup: iTunesHelper.vbe (User 'SYSTEM')
O4 - .DEFAULT Startup: Easy Timer.lnk = C:\Program Files\easy timer\EasyTimer.exe (User 'Default user')
O4 - .DEFAULT Startup: iTunesHelper.vbe (User 'Default user')
O4 - Startup: Easy Timer.lnk = C:\Program Files\easy timer\EasyTimer.exe
O4 - Startup: iTunesHelper.vbe
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (Installation Support) - C:\Program Files\Yahoo!\Common\Yinsthelper.dll
O22 - SharedTaskScheduler: Pré-chargeur Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe (file missing)
O23 - Service: avast! Antivirus - AVAST Software - C:\Program Files\AVAST Software\Avast\AvastSvc.exe
O23 - Service: Creative Audio Engine Licensing Service - Creative Labs - C:\Program Files\Fichiers communs\Creative Labs Shared\Service\CTAELicensing.exe
O23 - Service: Creative Audio Service (CTAudSvcService) - Creative Technology Ltd - C:\Program Files\Creative\Shared Files\CTAudSvc.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: Journal des événements (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: HDDHealth - Unknown owner - C:\Program Files\HDD Health\HDDHealthService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Plug-and-Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Check Point Software Technologies LTD - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O23 - Service: Cliché instantané de volume (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe

--
End of file - 6175 bytes

[angelique]

Fait usbfix dans ce cas , onglet suppression > http://www.usbfix.net/

[jean123xp]

je viens de faire usb fix, plusieurs fois, en mode adm, il detecte encore 4 fichiers infectes mais n'arrive pas a les supprimer. HJT liste encore 2 itunes vbe sans pouvoir les supprimer
dernier scan usb fix
############################## | UsbFix V 7.166 | [Recherche]

Utilisateur: dark vador (Administrateur) # XPSP2-ED05BD6BE
Mis à jour le 26/02/2014 par El Desaparecido - Team SosVirus
Lancé à 17:02:30 | 11/03/2014

Site Web : http://www.usbfix.net/
Changelog : http://www.usbfix.net/maj/
Support : http://www.sosvirus.net/
Upload Malware : http://www.sosvirus.net/upload_malware.php
Contact : http://www.usbfix.net/contact/

PC: ASUSTek Computer INC. (P4R800-VM)
CPU: Intel(R) Pentium(R) 4 CPU 2.60GHz
CPU: Intel(R) Pentium(R) 4 CPU 2.60GHz
RAM -> [Total : 1983 Mo| Free : 1540 Mo]
Bios: American Megatrends Inc.
Boot: Normal boot

OS: Microsoft Windows XP Professionnel (5.1.2600 32-Bit) Service Pack 2
WB: Windows Internet Explorer : 6.0.2900.2180
WB: Mozilla Firefox : 10.0.1

SC: Security Center [(!) Disabled]
WU: Windows Update [Enabled]

FW: Windows FireWall [Enabled]
AS: Malwarebytes' Anti-Malware : 1.70.0009

C:\ (%systemdrive%) -> Disque fixe # 30 Go (13 Go libre(s) - 43%) [systeme] # NTFS
D:\ -> Disque fixe # 10 Go (6 Go libre(s) - 55%) [documents] # NTFS
E:\ -> Disque fixe # 60 Go (14 Go libre(s) - 24%) [media] # NTFS
F:\ -> Disque fixe # 15 Go (15 Go libre(s) - 99%) [temp] # NTFS
G:\ -> CD-ROM
H:\ -> CD-ROM

################## | Processus Actif |

C:\WINDOWS\System32\smss.exe (ID: 504 |ParentID: 4)
C:\WINDOWS\system32\csrss.exe (ID: 560 |ParentID: 504)
C:\WINDOWS\system32\winlogon.exe (ID: 584 |ParentID: 504)
C:\WINDOWS\system32\services.exe (ID: 628 |ParentID: 584)
C:\WINDOWS\system32\lsass.exe (ID: 640 |ParentID: 584)
C:\WINDOWS\system32\Ati2evxx.exe (ID: 812 |ParentID: 628)
C:\WINDOWS\system32\svchost.exe (ID: 828 |ParentID: 628)
C:\WINDOWS\system32\svchost.exe (ID: 900 |ParentID: 628)
C:\WINDOWS\System32\svchost.exe (ID: 940 |ParentID: 628)
C:\WINDOWS\system32\svchost.exe (ID: 1016 |ParentID: 628)
C:\WINDOWS\system32\ZoneLabs\vsmon.exe (ID: 1080 |ParentID: 628)
C:\Program Files\AVAST Software\Avast\AvastSvc.exe (ID: 1356 |ParentID: 628)
C:\WINDOWS\system32\spoolsv.exe (ID: 1460 |ParentID: 628)
C:\Program Files\Creative\Shared Files\CTAudSvc.exe (ID: 1508 |ParentID: 628)
C:\Program Files\Java\jre6\bin\jqs.exe (ID: 1548 |ParentID: 628)
C:\WINDOWS\system32\svchost.exe (ID: 1596 |ParentID: 628)
C:\WINDOWS\system32\wdfmgr.exe (ID: 1652 |ParentID: 628)
C:\WINDOWS\system32\svchost.exe (ID: 132 |ParentID: 628)
C:\WINDOWS\System32\alg.exe (ID: 220 |ParentID: 628)
C:\WINDOWS\system32\Ati2evxx.exe (ID: 1676 |ParentID: 584)
C:\WINDOWS\Explorer.EXE (ID: 2104 |ParentID: 1380)
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe (ID: 2216 |ParentID: 2104)
C:\Program Files\AVAST Software\Avast\AvastUI.exe (ID: 2224 |ParentID: 2104)
C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe (ID: 2232 |ParentID: 2104)
C:\WINDOWS\system32\CTXFIHLP.EXE (ID: 2240 |ParentID: 2104)
C:\WINDOWS\SYSTEM32\CTXFISPI.EXE (ID: 2316 |ParentID: 828)
D:\fox_mail\Foxmail.exe (ID: 2604 |ParentID: 2104)
C:\Program Files\HDD Health\hddhealth.exe (ID: 2680 |ParentID: 2104)
C:\Program Files\Creative\Shared Files\CTSched.exe (ID: 2688 |ParentID: 2104)
C:\WINDOWS\system32\RunDll32.exe (ID: 2704 |ParentID: 2104)
C:\WINDOWS\system32\wuauclt.exe (ID: 2712 |ParentID: 940)
C:\Program Files\AVAST Software\Avast\AvastEmUpdate.exe (ID: 3540 |ParentID: 940)
C:\WINDOWS\system32\wbem\wmiprvse.exe (ID: 3636 |ParentID: 828)

################## | Regedit Run |

04 - HKCU\..\Run : [Foxmail] D:\fox_mail\Foxmail.exe
04 - HKCU\..\Run : [hddhealth] C:\Program Files\HDD Health\hddhealth.exe -wl
04 - HKCU\..\Run : [CreativeTaskScheduler] "C:\Program Files\Creative\Shared Files\CTSched.exe" /logon
04 - HKLM\..\Run : [ATIModeChange] Ati2mdxx.exe
04 - HKLM\..\Run : [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
04 - HKLM\..\Run : [ZoneAlarm Installer] "C:\Program Files\CheckPoint\Install\Launcher.exe" "C:\Program Files\CheckPoint\Install\Install.exe" /r /c "C:\Program Files\CheckPoint\Install\Install.xml"
04 - HKLM\..\Run : [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
04 - HKLM\..\Run : [AvastUI.exe] "C:\Program Files\AVAST Software\Avast\AvastUI.exe" /nogui
04 - HKLM\..\Run : [SunJavaUpdateSched] "C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe"
04 - HKLM\..\Run : [CTxfiHlp] CTXFIHLP.EXE
04 - HKLM\Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\..\Run : []
04 - HKLM\Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\..\RunOnce : []
04 - HKU\S-1-5-21-1482476501-1844823847-1801674531-1003\..\Run : [Foxmail] D:\fox_mail\Foxmail.exe
04 - HKU\S-1-5-21-1482476501-1844823847-1801674531-1003\..\Run : [hddhealth] C:\Program Files\HDD Health\hddhealth.exe -wl
04 - HKU\S-1-5-21-1482476501-1844823847-1801674531-1003\..\Run : [CreativeTaskScheduler] "C:\Program Files\Creative\Shared Files\CTSched.exe" /logon
04 - HKU\S-1-5-19\..\RunOnce : [Config] %systemroot%\system32\run.cmd
04 - HKU\S-1-5-19\..\RunOnce : [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll"
04 - HKU\S-1-5-19\..\RunOnce : [tscuninstall] %systemroot%\system32\tscupgrd.exe
04 - HKU\S-1-5-20\..\RunOnce : [Config] %systemroot%\system32\run.cmd
04 - HKU\S-1-5-20\..\RunOnce : [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll"
04 - HKU\S-1-5-20\..\RunOnce : [tscuninstall] %systemroot%\system32\tscupgrd.exe
04 - HKU\S-1-5-18\..\RunOnce : [Config] %systemroot%\system32\run.cmd
04 - HKU\S-1-5-18\..\RunOnce : [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll"
04 - HKU\S-1-5-18\..\RunOnce : [tscuninstall] %systemroot%\system32\tscupgrd.exe

################## | Recherche générique |

Présent! C:\Recycler\S-1-5-21-1482476501-1844823847-1801674531-1003
Présent! D:\Recycler\S-1-5-21-1482476501-1844823847-1801674531-1003
Présent! E:\Recycler\S-1-5-21-1482476501-1844823847-1801674531-1003
Présent! F:\Recycler\S-1-5-21-1482476501-1844823847-1801674531-1003

################## | Registre |


################## | E.O.F | http://www.usbfix.net/ - http://www.sosvirus.net |

dernier scan HJT
Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 16:59:26, on 11/03/2014
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

FIREFOX: 10.0.1 (fr)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\AVAST Software\Avast\AvastSvc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Creative\Shared Files\CTAudSvc.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\AVAST Software\Avast\AvastUI.exe
C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe
C:\WINDOWS\system32\CTXFIHLP.EXE
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\SYSTEM32\CTXFISPI.EXE
D:\fox_mail\Foxmail.exe
C:\Program Files\HDD Health\hddhealth.exe
C:\Program Files\Creative\Shared Files\CTSched.exe
C:\WINDOWS\system32\RunDll32.exe
C:\WINDOWS\system32\wuauclt.exe
C:\hjt\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/ie
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.fr
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.fr/ie
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.fr/keyword/%s
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ZoneAlarm Installer] "C:\Program Files\CheckPoint\Install\Launcher.exe" "C:\Program Files\CheckPoint\Install\Install.exe" /r /c "C:\Program Files\CheckPoint\Install\Install.xml"
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [AvastUI.exe] "C:\Program Files\AVAST Software\Avast\AvastUI.exe" /nogui
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE
O4 - HKCU\..\Run: [Foxmail] D:\fox_mail\Foxmail.exe
O4 - HKCU\..\Run: [hddhealth] C:\Program Files\HDD Health\hddhealth.exe -wl
O4 - HKCU\..\Run: [CreativeTaskScheduler] "C:\Program Files\Creative\Shared Files\CTSched.exe" /logon
O4 - HKUS\S-1-5-19\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User 'Default user')
O4 - S-1-5-18 Startup: Easy Timer.lnk = C:\Program Files\easy timer\EasyTimer.exe (User 'SYSTEM')
O4 - S-1-5-18 Startup: iTunesHelper.vbe (User 'SYSTEM')
O4 - .DEFAULT Startup: Easy Timer.lnk = C:\Program Files\easy timer\EasyTimer.exe (User 'Default user')
O4 - .DEFAULT Startup: iTunesHelper.vbe (User 'Default user')
O4 - Startup: Alertes de surveillance de l'encre - HP Photosmart 5510d series.lnk = ?
O4 - Startup: Yahoo! Widgets.lnk = C:\Program Files\Yahoo!\Widgets\YahooWidgets.exe
O8 - Extra context menu item: ÔÚFoxmailÖÐÌí¼Ó¸ÃRSSƵµÀ/ƵµÀ×é - res://C:\WINDOWS\system32\rsslink.dll/201
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (Installation Support) - C:\Program Files\Yahoo!\Common\Yinsthelper.dll
O22 - SharedTaskScheduler: Pré-chargeur Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe (file missing)
O23 - Service: avast! Antivirus - AVAST Software - C:\Program Files\AVAST Software\Avast\AvastSvc.exe
O23 - Service: Creative Audio Engine Licensing Service - Creative Labs - C:\Program Files\Fichiers communs\Creative Labs Shared\Service\CTAELicensing.exe
O23 - Service: Creative Audio Service (CTAudSvcService) - Creative Technology Ltd - C:\Program Files\Creative\Shared Files\CTAudSvc.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: Journal des événements (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: HDDHealth - Unknown owner - C:\Program Files\HDD Health\HDDHealthService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Plug-and-Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Check Point Software Technologies LTD - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O23 - Service: Cliché instantané de volume (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe

--
End of file - 6460 bytes

on se connait pas mais c'est sympa de t'occuper de mon probleme

[angelique]

t'as fait suppression avec UsbFix ?

1. Télécharge sur ton Bureau pas ailleurs FRST.EXE:
   
   
   
   La page de téléchargement : http://www.bleepingcomputer.com/downloa ... scan-tool/
   Le téléchargement se fait à partir des boutons bleus Download – choisissez la version 32 ou 64 bits selon l’architecture de votre système.
   (Au pire si vous êtes en 64 bits et que vous prenez la version 32 bits, vous aurez un message disant que cette version ne peux fonctionner – cela n’endommage pas le système).
   
   !! Placez le programme sur le bureau et pas ailleurs!!
2. Execute FRST.EXE, accepte le disclaimer , Cochez tous les options et cliquez sur le bouton Scan.
   Le scan se lance, les éléments scannés apparaissent en haut.
3. Une fois le scan terminé, une popup vous le signale et deux rapports sont générés : FRST.txt et Addition.txt ( Ces deux rapports se trouvent sur le bureau avec le programme FRST. )
   
   
   Utilise le site http://pjjoint.malekal.com/ pour envoyer ton rapport, et poste le lien dans ta prochaine réponse pour analyse.
   
   

[jean123xp]

ok voici les 2 rapports
FRST.txt : http://pjjoint.malekal.com/files.php?id ... 11x11t5v10
addition.txt : http://pjjoint.malekal.com/files.php?id ... 0i6j8p15f5

[angelique]

1. Télécharge à coté de FRST.EXE , PAS AILLEURS !!!!! le fichier fixlist.txt en pièce jointe en bas du message.
2. Relance FRST et clic sur le bouton fix
   Un redémarrage peut être nécessaire (pas obligatoire).
   Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

[jean123xp]

je n'ai pas eu de fichier txt mais le fichier fixlist a changé. J'ai lancé HJT et aparemment ça a marche, plus de itunes vbe

fixlist.txt apres lancement de FRST.exe:

Fix result of Farbar Recovery Tool (FRST written by Farbar) (x86) Version: 11-03-2014
Ran by dark vador at 2014-03-12 18:55:07 Run:1
Running from C:\Documents and Settings\internet\Bureau
Boot Mode: Normal

==============================================

Content of fixlist:
*****************
start
HKU\S-1-5-21-1482476501-1844823847-1801674531-1004\...\Run: [iTunesHelper] - wscript.exe //B "C:\DOCUME~1\internet\LOCALS~1\Temp\iTunesHelper.vbe" <===== ATTENTION
Startup: C:\Documents and Settings\internet\Menu Démarrer\Programmes\Démarrage\iTunesHelper.vbe ()
C:\Recycler
D:\Recycler
E:\Recycler
F:\Recycler

*****************

HKU\S-1-5-21-1482476501-1844823847-1801674531-1004\Software\Microsoft\Windows\CurrentVersion\Run\\iTunesHelper => Value deleted successfully.
C:\Documents and Settings\internet\Menu Démarrer\Programmes\Démarrage\iTunesHelper.vbe not found.

[angelique]

bon bah ç'est OK alors

tu peux supp c:\FRST , frst.exe, rapports et fixlist.txt


Il est important de surfer avec un navigateur non propriétaire, pour encore une fois des questions de fiabilité, de sécurité et pour que celui ci ne transmette pas directement un ensemble de données que vous utilisez/visualisez (comme c’est le cas de Chrome avec Google). Il est fortement recommandé d’utiliser Firefox, pour ces raisons et pour son aspect modulable, fonctionnant avec des modules comme Ad-block ( comme son nom l’indique, bloquer les publicités ), NoScript pour gérer flash ( voir 3 - Le format SWF (Flash) et les risques liés à son utilisation - http://www.cert.ssi.gouv.fr/site/CERTFR ... index.html - ), JavaScript, et\ou Iframe pourries sur sites compromis potentiellement générateur d'infections ( - http://forum.malekal.com/les-exploits-s ... t3563.html - )!!


Pour ne plus te faire avoir.
A lire - Programmes parasites / PUPs : https://www.malekal.com/adwares-pup-protection/

Donc FireFox + Adblock + Noscript

• Firefox: http://www.mozilla.org/fr/firefox/new/ < https://download.mozilla.org/?product=f ... in&lang=fr > ou setup d'installation hors ligne > http://www.mozilla.org/en-US/firefox/all/

• Adblock: https://addons.mozilla.org/en-US/firefo ... lock-plus/

Mettre "actif" d'un clic les modules ci dessous qui apparraissent apres installation de ADBlock



List FR + EasyList << à mettre à jour regulièrement ainsi que les autres





NOTE POUR Adblock :
Certains sites abusent des publicités, dont leurs pages peuvent en être inondées (cela ralentit la navigation etc). Mais notez que les publicités sont parfois le seul revenus des sites WEB.
Filtrer toutes les publicités peuvent, par exemple, pénaliser ces sites, c’est notamment le cas de malekal.com
Si vous pensez que certains sites le méritent, vous pouvez les ajouter en liste blanche.



• Noscript: https://addons.mozilla.org/en-US/firefo ... /noscript/

Lire sécuriser FireFox:: https://www.malekal.com/securiser-le-na ... firefox-2/

[jean123xp]

J'utilise mozilla et adblock depuis quelques annees et c'est vrai que je n'ai jamais eu de probleme de securite jusqu'a maintenant. Le probleme c'est les cles USB de mes ados de fils et là pas moyen de leur faire comprendre les risques sans se faire traiter de parano. Autre chose le PC de mon fils (infecte par la meme cle) n'est pas relie au web est ce possible de sauvegarder ses fichiers importants creation musicale (wav,pst,mp3), infographie (tiff,jpeg) sur CD gravé puis de formater et reinstaller ou est ce que l'infection se propagera par le cd ?
encore merci

[angelique]

Tu peux toujours créer un nouveau sujet en y joignant les rapports obtenus.

sinon non l'infection ne se propage pas par support cd gravé.

[lilalou]

Bonjour,
J'ai le même problème avec mon pc qui a été infecté par une clé avec le trojan VBS-agent-axn, mon pc marche normalement pour l'instant (Avast a mis en quarantaine quasi tous les fichiers de ma clé USB) mais j'ai besoin de brancher d'autres périphériques et j'aimerais être sûr qu'ils ne seront pas infectés aussi et donc désinfecter mon pc et ma clé;
(aussi est ce que je pourrais récupérer les fichiers mis en quarantaine?)
(J'ai cherché le bouton pour créer un nouveau sujet comme indiqué dans la FAQ mais je dois pas être doué car je n'ai trouvé que le bouton répondre...)
J'ai lu les réponses pour l'infection par ce trojan, est ce que je dois suivre l'une d'entre elle?
Merci d'avance