Win32 Trojan agent [résolu]

Bonjour,

Ad aware a détecté ce virus : Win32 Trojan agent dans ce fichier c:\program fi\..\top\aeexp.dll
Il me demande alors une action je choisi recommandé et il me demande de relancer le pc.
Je relance mais le virus est tjs là Ad aware le redetecte et me redemande la même chose.
J'ai tenté de lancer Antivir mais lui ne detecte rien..
Que dois-je faire ?
Pour précision je suis sous windows 7

Merci pour votre aide

Bonjour,

Laisse tomber Ad-aware ca ne vaut rien.

Suis ces indications pour faire un diagnostic de ton pc, on en saura plus :
Télécharger ZHPDiag (de Nicolas Coolman)
http://telechargement.zebulon.fr/zhpdiag.html
ou directement : ftp://zebulon.fr/ZHPDiag2.exe
Double-cliquer sur ZHPDiag.exe puis suivre les étapes de l'installation.
Cocher la case "Exécuter ZHPDiag" à la fin de l'installation puis cliquer sur "Terminer".
L'installation est terminée, 3 icônes sont créées sur le bureau.
Lancer ZHPDiag.exe (sous Vista ou 7, clic droit/executer en tant qu'admin, puis cliquer sur le bouton "UAC" pour relancer le programme avec les droits d'admin maximum)

Cliquer sur le tournevis (icône "options" à droite) et cliquer sur "tous"
Choisir l'option "Lancer le diagnostic" (1ère loupe en haut a gauche).
ZHPDiag va alors analyser le contenu de l'ordinateur à la recherche d'informations sur le système d'exploitation, la base de registre...
Pour ne pas ralentir l'analyse, évite de te servir du pc pendant le scan (qui prend moins de 10 minutes sur un pc peu performant)
Sous XP¨il proposera d'utiliser SIGCHECK, accepter pour un rapport plus detaillé.
A la fin de l'analyse, un rapport est créé directement sur le bureau, il se nomme ZHPDiag.txt.
Héberger le rapport sur http://www.cjoint.com et poster le lien sur le forum.

Si ZHPDiag affiche une erreur, fermer le programme, et relancer un scan sans toucher au tournevis.

Voilà le résultat :

http://cjoint.com/?BJqmwle7M1X

J'analyse ca et je te donne la marche a suivre d'ici quelques minutes.

1) Télécharger et installer : Malwarebyte's Anti-Malware
http://www.malwarebytes.org/mbam/program/mbam-setup.exe
ou http://www.malwarebytes.org/ (clic sur Free Download, puis Telecharger maintenant)
A la fin de l'installation, veiller à ce que l'option « mettre à jour Malwarebyte's Anti-Malware » soit cochée
Lancer MBAM et laisser les Mises à jour se télécharger
/!\ Seulement en cas de problèmes de mises à jour/!\
télécharge et execute ce fichier : http://data-cdn.mbamupdates.com/tools/mbam-rules.exe
Puis aller dans l'onglet "Recherche", cocher "Exécuter un examen complet" puis "Rechercher"
Sélectionner les disques durs" puis cliquer sur "Lancer l'examen"
ATTENTION : Les scan complet peut prendre plusieurs heures.
A la fin du scan, si des infections sont détectées, cliquer sur Afficher les résultats
Cocher tous les éléments détectés puis clique sur Supprimer la sélection
Enregistrer le rapport
S'il t'est demandé de redémarrer, clique sur Yes
Poster le rapport après la suppression.(poster le rapport, même si rien n'est détecté.)
Si il est long, l'héberger sur http://www.cjoint.com et poster le lien.

Note : Quelques jours après la désinfection, il faudra vider la quarantaine en supprimant tout ce qui s'y trouve.

2) Télécharger AdwCleaner (d'Xplode) sur le bureau.
http://general-changelog-team.fr/fr/downloads/finish/20-outils-de-xplode/2-adwcleaner
Sous XP double-clic sur le fichier d'execution.
Sous Vista et Seven, clic droit/exécuter en tant qu'admin.
Cliquer sur Recherche
Patienter le temps du scan, le rapport doit s'ouvrir spontanément à la fin.
Le rapport est sauvegardé à la racine du disque C:\AdwCleaner[R1].txt
Poster le rapport sur le forum
si il est long, l'héberger sur http://www.cjoint.com et poster le lien.

Rapport MBAM :

Malwarebytes Anti-Malware 1.65.0.1400
www.malwarebytes.org

Version de la base de données: v2012.10.16.04

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
haarweyn :: HAARWEYN-PC [administrateur]

16/10/2012 13:00:44
mbam-log-2012-10-16 (13-00-44).txt

Type d'examen: Examen complet (C:\|D:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 400477
Temps écoulé: 46 minute(s), 22 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)

Rapport AdwCleaner :

# AdwCleaner v2.005 - Rapport créé le 16/10/2012 à 13:51:36
# Mis à jour le 14/10/2012 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : haarweyn - HAARWEYN-PC
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\haarweyn\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\1UQYSNNF\adwcleaner.exe
# Option [Recherche]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Présent : C:\Program Files (x86)\Software
Dossier Présent : C:\Users\haarweyn\AppData\Local\Software
Dossier Présent : C:\Users\haarweyn\AppData\Local\Temp\boost_interprocess
Fichier Présent : C:\Windows\Tasks\SoftwareUpdateTaskMachineCore.job
Fichier Présent : C:\Windows\Tasks\SoftwareUpdateTaskMachineUA.job

***** [Registre] *****

Clé Présente : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}
Clé Présente : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}
Clé Présente : HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}
Clé Présente : HKU\S-1-5-21-4163599886-2894231800-2767024782-1000\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}

***** [Navigateurs] *****

-\\ Internet Explorer v9.0.8112.16421

[OK] Le registre ne contient aucune entrée illégitime.

-\\ Google Chrome v [Impossible d'obtenir la version]

Fichier : C:\Users\haarweyn\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[R1].txt - [1864 octets] - [23/05/2012 21:18:37]
AdwCleaner[R2].txt - [5896 octets] - [02/08/2012 19:05:35]
AdwCleaner[S1].txt - [379 octets] - [02/08/2012 19:11:13]
AdwCleaner[R3].txt - [5361 octets] - [02/08/2012 19:13:00]
AdwCleaner[S2].txt - [4217 octets] - [02/08/2012 19:13:07]
AdwCleaner[R4].txt - [1207 octets] - [02/08/2012 19:19:46]
AdwCleaner[R5].txt - [2049 octets] - [16/10/2012 13:51:36]

########## EOF - C:\AdwCleaner[R5].txt - [2109 octets] ##########

Relance Adwcleaner et clic sur Suppression, puis poste le rapport.
Note : un redémarrage sera peut-être necessaire et les programmes seront fermés, enregistre ton travail avant de lancer la suppression.

Malwarebytes n'a rien détecté et il est plus performant que ad-aware et super-antispyware, quelques infos ici : http://www.malekal.com/2011/10/07/superantispyware-et-spybot-vs-malwarebyte/ ou http://forum.malekal.com/adwares-spywares-comment-pas-desinfecter-son-t8046.html

Etape suivante :
Télécharger RogueKiller (de Tigzy) sur le bureau.
http://www.sur-la-toile.com/RogueKiller/
Fermer toutes les applications en cours
Lancer RogueKiller.exe
Sous Vista et Seven, clic droit/exécuter en tant qu'admin.
Si l'infection bloque le programme, il faut le relancer plusieurs fois ou le renommer en winlogon.exe
Laisser le prescan se terminer, cliquer sur Scan
Cliquer sur Rapport pour l'ouvrir puis copier/coller le rapport sur le forum
Si il est long, l'héberger sur http://www.cjoint.com et poster le lien.

Si tu utilise un proxy, désactive le avant l'analyse.

Rapport Adwcleaner :

# AdwCleaner v2.005 - Rapport créé le 16/10/2012 à 14:07:31
# Mis à jour le 14/10/2012 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : haarweyn - HAARWEYN-PC
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\haarweyn\Desktop\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Program Files (x86)\Software
Dossier Supprimé : C:\Users\haarweyn\AppData\Local\Software
Dossier Supprimé : C:\Users\haarweyn\AppData\Local\Temp\boost_interprocess
Fichier Supprimé : C:\Windows\Tasks\SoftwareUpdateTaskMachineCore.job
Fichier Supprimé : C:\Windows\Tasks\SoftwareUpdateTaskMachineUA.job

***** [Registre] *****

Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}

***** [Navigateurs] *****

-\\ Internet Explorer v9.0.8112.16421

[OK] Le registre ne contient aucune entrée illégitime.

-\\ Google Chrome v [Impossible d'obtenir la version]

Fichier : C:\Users\haarweyn\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[R1].txt - [1864 octets] - [23/05/2012 21:18:37]
AdwCleaner[R2].txt - [5896 octets] - [02/08/2012 19:05:35]
AdwCleaner[S1].txt - [379 octets] - [02/08/2012 19:11:13]
AdwCleaner[R3].txt - [5361 octets] - [02/08/2012 19:13:00]
AdwCleaner[S2].txt - [4217 octets] - [02/08/2012 19:13:07]
AdwCleaner[R4].txt - [1207 octets] - [02/08/2012 19:19:46]
AdwCleaner[R5].txt - [2174 octets] - [16/10/2012 13:51:36]
AdwCleaner[R6].txt - [2164 octets] - [16/10/2012 14:07:18]
AdwCleaner[S4].txt - [1953 octets] - [16/10/2012 14:07:31]

########## EOF - C:\AdwCleaner[S4].txt - [2013 octets] ##########


Je vais faire l'étape suivante avec roguekiller mais je ne sais pas si j'utilise un proxy (en fait je ne sais pas ce que c'est ...)

Lance Roguekiller sans te préoccuper de ca.

Un proxy c'est un détournement de connexion internet. Ca peut être utilisé pour rester anonyme sur le net. En utilisant un programme (Tor ou Hotspot shield par exemple), tes données transitent vers différents serveurs avant d'arriver a ton pc. Mais ca peut aussi être mis en place par des pirates justement pour intercepter tes données.

Roguekiller nous dira si ce genre de dérivation est mise en place sur ton pc

Rapport Roguekiller :

http://cjoint.com/?BJqox5wncVu

ok, voila d'ou viennent tes messages d'alerte. Tu as une infection ZeroAccess, c'est une infection coriace et qui peut revenir si le nettoyage n'est pas complet.

Attention, il me faut 2 rapports,
Relance Roguekiller, laisse le préscan finir et clic sur Suppression. Clic sur rapport et enregistre le sur ton pc. (normalement il sera sur le bureau mais on ne sais jamais, le pc devra peut-être redémarrer).

Clic ensuite sur HostRAZ puis a nouveau sur rapport. Enregistre le également et poste moi les deux.

ci-joint les 2 rapports :

http://cjoint.com/?BJqoMpa0cFC

http://cjoint.com/?BJqoM2jPbX6

Est ce que tu as une clé usb vierge d'au moins 1Go a disposition?

Refais un scan avec roguekiller pour voir si il detecte encore l'infection.

J'ai une clef de 1 GB vierge et sinon j'ai un DD externe

Et à priori j'ai refait un scan et je n'ai plus l'infection

RogueKiller n'indique plus cette ligne?
¤¤¤ Infection : ZeroAccess ¤¤¤

La ligne n'apparait plus !

Ok c'est bon signe. Comment se porte le pc? Tu as toujours des alertes?

Plus d'alertes. En même temps Ad aware ne marche plus , je n'arrive pas non plus à le desinstaller..

Refais une analyse avec zhpdiag, on va voir si il reste quelque chose sur le pc, et on va supprimer ad-aware en même temps (si tu veux le conserver tu pourras le réinstaller après nettoyage mais personnellement je te conseille plutôt malwarebytes).

Rapport zhpdiag :

http://cjoint.com/?BJqpIfMkPg0

Ferme tout les programmes en cours d'utilisation
Copie les lignes de ce fichier (CTRL+A puis CTRL+C) : http://cjoint.com/data3/3JqpSJCQ1Ln.htm
Double-clic sur l'icône ZHPFix sur le bureau.
Sous Vista et Seven, clic droit/exécuter en tant qu'admin.
Clic sur la 2e icône en haut à gauche "coller le presse papier".
Les lignes apparaissent dans le cadre vide, clic sur GO pour lancer le nettoyage.
Valide la suppression et patiente jusqu’à l'apparition du rapport.
Le bureau disparaitra et tout les programmes seront fermés, c'est normal.
Note : un redémarrage sera peut-être nécessaire, si ZHPFix le demande, accepte.
Si c'est le cas, le rapport apparaitra après redémarrage.
Héberge le rapport et poste le lien dans ta prochaine réponse.

Ensuite, rends toi sur www.virustotal.com
Clic sur choose file et selectionne ce fichier : C:\Windows\System32\drivers\npf.sys
clic sur Scan It pour lancer l'analyse
Si on te demande, clic sur Re-analyze
Une page d'analyse s'ouvrira, copie l'adresse de la page et colle la dans ton prochain message

J'ai une fenêtre avec la desinstallation de Ad aware qui est apparu. Le rapport ne s'affiche pas et j'ai l'impression que ZHPFix tourne dans le vide.

Je viens de reesayer et cette fois j'ai un rapport :

http://cjoint.com/?BJqqsKJxVgT

Le bureau n'a par contre pas disparu.

Je vais à pésent sur virus total et je te poste la suite

Désolé, j'ai du m'absenter, beaucoup de fichiers absent concernent ad-aware, il a été désinstallé finalement ou toujours pas?