[Réglé] Fenêtre intempestive Powershell au démarrage

[cjm]

Bonjour,

Je m'ajoute à la longue liste des victimes de la fenêtre pop-up bleue qui s'ouvre et qui se ferme à chaque connexion de session, et quelques fois après.
J'ai passé les antimalware et ESET... mais rien à faire.
Je possède un Lenovo TrigKey AZW S3 en AMD Ryzen 7 qui tourne sur W11 64bits.

je vous joins les trois fichiers FRST.

En attendant de vous lire pour la suite de la procédure, merci par avance,

Cordialement,

Christian-Jacques

[heracles]

Bonjour cjm,

Avant de commencer,entre autres de fenêtre intempestive PowerShell, il y a une raison particulière d'avoir utilisé un script d'activation KMS pour activer Windows ou Office !!

Est ce pour Windows ou Office ?

Des licences officielles sont disponibles sur internet à bas prix.

KMS est principalement destiné aux entreprises (licences en volume) mais est souvent utilisé pour activer illégalement Windows. Il y a aussi des vendeurs qui vendent des licences en volume. Ils prétendent qu’ils vendent à bas prix, mais ce type de licences peut causer des problèmes à un stade ultérieur.
Le piratage et activation illégale n'est pas une pratique sécuritaire et peut engendrer divers problèmes et infections.
D'autre part, les outils de désinfection que nous utilisons sont puissants et peuvent avoir des effets inattendus sur des systèmes et logiciels illégaux.
En tout état de cause, nous ne serions être tenus responsables des éventuelles conséquences.

J'attends votre réponse pour la suite.

A+

[cjm]

Bonsoir,

En effet, très juste. Il s'agit d'Office 2016, suite à un clonage de disque et je n'ai pas pris le temps d'activer une licence.
C'est chose faite, merci pour le rappel.

Je joins les fichiers FRST revus après l'installation d'office.

Merci par avance, cordialement,

Christian-Jacques

[heracles]

Bonjour Christian-Jacques,


Est-ce que tu as été pris en charge récemment car j'ai trouvé sur le rapport FRST.txt un correctif datant d'hier à 13h21 !!!

Code: Tout sélectionner

2024-10-15 13:21 - 2024-10-15 13:21 - 000000000 _____ C:\Users\cjm\Desktop\fixlist.txt

Utiliser ce type de fichier sans en connaitre le principe peut être destructeur pour ton PC. Chaque correctif est unique et il est conçu pour un PC uniquement.
Si ce n'est pas fait, supprime ce fichier fixlist.txt avant de passer à la procédure ci-dessous:

Bonsoir,

En effet, très juste. Il s'agit d'Office 2016, suite à un clonage de disque et je n'ai pas pris le temps d'activer une licence.
C'est chose faite, merci pour le rappel.

Ce rappel permet de nous couvrir en cas de problème. C'est pour cela que l'on demande et que l'on prévient.


On passe à la suite pour éradiquer la fenêtre PowerShell:

Effectue cette procédure à la lettre:

/!\ Attention, ce script a été établi uniquement pour le problème de cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnements et endommager Windows. Nous déclinons notre responsabilité en cas d'utilisation abusive malgré nos recommandations. /!\


/!\ Les outils ne doivent être lancés qu'une seule fois afin de ne pas fausser les rapports demandés. /!\

• Fait un clic droit sur FRST64.exe puis sélectionne exécuter en tant qu'administrateur.
• Télécharge le fichier ci-dessous sur ton bureau et pas ailleurs.
  
  fixlist.txt
  
  
• Ferme toutes les applications, y compris ton navigateur
• Sur le menu principal de FRST, clique une seule fois sur Corriger et patiente le temps de la correction.
• Le pc redémarrera à la suite de la suppression.
• L'outil va créer un rapport de correction Fixlog.txt sur ton bureau, poste ce rapport

Est attendu le rapport fixlog.txt


Indique-moi s'il y a du mieux après ce correctif.


Bonne journée

[cjm]

[quote="heracles"]Bonjour Christian-Jacques,


Est-ce que tu as été pris en charge récemment car j'ai trouvé sur le rapport FRST.txt un correctif datant d'hier à 13h21 !!!

Code: Tout sélectionner

2024-10-15 13:21 - 2024-10-15 13:21 - 000000000 _____ C:\Users\cjm\Desktop\fixlist.txt

Utiliser ce type de fichier sans en connaitre le principe peut être destructeur pour ton PC. Chaque correctif est unique et il est conçu pour un PC uniquement.
Si ce n'est pas fait, supprime ce fichier fixlist.txt avant de passer à la procédure ci-dessous:

Non, pas du tout, c'est un fichier vide que j'avais préparé pour la suite de la procédure.

[cjm]

Nickel !

La fenêtre powershell ne s'est pas réouverte au démarrage.
J'ai l'impression que le démarrage est plus rapide également.

Je joins le fichier.

Un grand merci pour ton suivi.

Bonne soirée

[heracles]

Bonjour Christian-Jacques,

Nickel !

La fenêtre powershell ne s'est pas réouverte au démarrage.
J'ai l'impression que le démarrage est plus rapide également.

J'en ai profité pour optimiser le démarrage et la fermeture de Windows.



1) Un reste coriace à supprimer

• Clique sur la touche Windows et X
• Sélectionne Terminal Windows (administrateur)
• Dans la fenêtre du terminal, copie/colle la commande suivante et valide par la touche Entrée de ton clavier:
  

  Code: Tout sélectionner

  sc stop MpKslf30bcf2d

• Fait de même pour cette commande et indique le résultat, stp.
  

  Code: Tout sélectionner

  SC delete MpKslf30bcf2d

Si problème pour supprimer, passe cette commande

Code: Tout sélectionner

reg delete "HKLM\SYSTEM\ControlSet001\Services\MpKslf30bcf2d" /f

Sinon, effectue cette procédure :

• Télécharge Malwarebytes Anti-Rootkit sur ton Bureau.
  
• Fait un clic droit sur le fichier mbar.exe et sélectionne "exécuter en tant qu'administrateur.
• Accepte l'extraction du fichier (par défaut dans le même dossier)
• Fenêtre suivante, clique sur "Next".
• Clique sur l'option de mise à jour "Update".
• Patiente pendant la mise à jour, puis clique sur "Next".
• Écran suivant, si ce n'est déjà fait, sélectionne les 3 cases: drivers, Sectors, System puis clique sur [Scan].

Patiente pendant le scan...........

Une fois le scan terminé, une fenêtre s'ouvre, clique sur OK. Deux possibilités s'offrent à toi :

• Si le programme n'a rien trouvé, clique sur "Exit".
• Si des infections sont présentes clique sur "Cleanup" et ton PC redémarrera plusieurs fois.
• Deux Rapports sont générés et sont enregistrés dans le répertoire d'où tu as lancé Mbar.exe en général le Bureau.
• Héberge ce rapport lors de ta prochaine réponse.

2)Si la fenêtre PowerShell a disparue, on finalise le sujet.

Suppression des logiciels:

• Télécharge sur le bureau : kprm.exe
• Lance l'exécution par clic-droit -> Exécuter en tant qu'administrateur
• Coche les cases suivante:
  
  1. Supprimer des outils (case précochée)
  2. Supprimer les points de restauration
  3. Créer un point de restauration
  4. Sous la rubrique supprimer les quarantaines, coche la case Supprimer maintenant.
• Clique sur [Exécuter]...
• Quand le message suivant apparait "Toutes les opérations sont terminées", clique sur [OK]
• Un rapport kprm-aaaammjjhhmm.txt sera créé sur le bureau et s'ouvrira,
  (il est aussi enregistré sous C:\KPRM\kprm-aaaammjjhhmm.txt)
• Héberge le rapport sur Cjoint
• Donne le lien créé dans ta réponse.

====================================================================

Consignes de sécurité à vérifier pour éviter les failles de sécurités:

• Tu dois impérativement veiller à maintenir tes logiciels et ton système à jour :
• Recommandation, installe le logiciel ci-dessous et vérifie périodiquement que des mises à jours soient disponibles.

• Télécharge UCheck sur ton bureau.
• Accepter les conditions d'utilisation, le navigateur s'ouvrira sur la page "Adlice Software" de UCheck... en cliquant sur "accepter"
• Dans l'onglet "Tableau de bord", clique sur [Scanner] pour lancer la détection...
• Si des mises à jours sont trouvées, sous le logo "mise à jours", clique sur "Mises à jour en attente"
• Pour chaque programme à mettre à jour, clique sur "Action" -> "Télécharger"
• Patiente le temps du téléchargement puis clique sur "Action" -> "Installer"
  (il est possible de cliquer sur "Ouvrir le site officiel" pour faire les mises à jour manuellement)
  

Consignes préventives à retenir:

• Important: Internet est un boulevard peuplé d'inconnus. Adopte une bonne attitude de surf: tu réfléchies, tu cliques et non l'inverse.
• /!\ Toujours privilégier le téléchargement d'une application sur le site de l'éditeur. Les fichiers/programmes c'est comme les bonbons, quand ça vient d'un inconnu, on n'accepte pas !
• /!\ Etre vigilant au moment de l'installation d'une application
• Maintient ton Système à jours ainsi que tes logiciels de sécurité et les navigateurs que tu utilises
• Sauvegarde régulièrement les données personnelles sur un support externe
• Ne jamais ouvrir une pièce-jointe dans un mail d'un expéditeur inconnu
• Faire attention à ce que tu télécharges et à ce que tu ouvres: évite d'installer des programmes depuis des sites inconnus ou douteux (Softonic, TutoPC4, 01 du Net, sites de Cracks, P2P, etc...). Privilégie plutôt le site de l'éditeur.
• Lis bien les clauses avant d'installer un programme et décoche d'éventuelle toolbar ou logiciel qui pourrait infecté ton PC
  

Est attendu le rapport:

C:\kprm.txt


Bonne journée

[heracles]

Bonsoir Christian-Jacques,


Il serait bien de finir proprement cette désinfection.

Bonne soirée

[cjm]

Bonjour,

Désolé, des urgences familiales m'ont retenu.
Je regarde le dernier message pour terminer la désinfection.
Merci beaucoup pour le suivi.

[cjm]

Au rapport

1. Pour la clé à supprimer : je pense que c'est bon. Ci-dessous copie du Terminal

PS C:\Users\cjm> sc stop MpKslf30bcf2d
PS C:\Users\cjm> SC delete MpKslf30bcf2d

J'ai vérifié avec la commande delete :

PS C:\Users\cjm> reg delete "HKLM\SYSTEM\ControlSet001\Services\MpKslf30bcf2d" /f
Erreur : Erreur : le système n’a pas trouvé la clé ou la valeur de Registre spécifiée.

A priori, c'est OK !!

2. MBAR : j'ai lancé par précaution et des trojan ont été trouvés sur le uninstall de Notepad. Après cleanup, lien vers le fichiers de rapport ici :
System : https://www.cjoint.com/c/NJxlGi4r8S1
Désinfection : https://www.cjoint.com/c/NJxlG5VaMX1

3. Suppression des logiciels : mise en œuvre de KPRM. Lien vers le rapport ici :
https://www.cjoint.com/c/NJxlK2soHW1

4. installation de Ucheck : nickel !

Un grand merci pour ce nettoyage de fond !

Je n'ai plus de fenêtre intempestive, windows se lance plus vite au démarrage et le registre est à nouveau sain.

En ce qui me concerne, le sujet peut être fermé.
Encore merci, bien cordialement,

Christian-Jacques

[heracles]

Bonjour Christian-Jacques,


Ok pour les rapports demandés. Un modérateur se chargera de passer le sujet en mode résolu. Merci d'avance pour lui.

2. MBAR : j'ai lancé par précaution et des trojan ont été trouvés sur le uninstall de Notepad. Après cleanup, lien vers le fichiers de rapport ici :
System : https://www.cjoint.com/c/NJxlGi4r8S1
Désinfection : https://www.cjoint.com/c/NJxlG5VaMX1

Notepad est un logiciel fiable et sans risque. L'alerte émise n'était qu'un faux-positif. On en parle ici et là
Le fichier Uninstall.exe est sain.
https://www.virustotal.com/gui/file/31a ... /detection

Code: Tout sélectionner

HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\Notepad++ (Trojan.FakeNPP) -> Delete on reboot.
C:\Program Files\Notepad++\uninstall.exe (Trojan.FakeNPP) -> Delete on reboot

Bonne journée

[diogene]

Un modérateur se chargera de passer le sujet en mode résolu.

C'est fait !
Bonne continuation à vous deux !