[Réglé] AIDE POUR UNE EVENTUELLE DESINFECTION

[basstaflo]

Bonjour,
j'ai depuis quelques jours la fenêtre PowerShell qui s'ouvre de manière intempestive et disparait aussitôt.
je pense que ça sent le virus.
j'ai fait une analyse FRST j'ai deux fichier (FRST ET ADDITION)

Si une bonne âme peut m'aider?

merci

[routman54]

Bonjour,

Ce serait mieux si tu nous transmettais les deux fichiers cités , tu peux utiliser ce Tutoriel ou utiliser Cjoint si tu connais mieux , il est ICI.
Un helper te prendra en charge.
Bonne soirée.

[basstaflo]

Effectivement ce sera plus simple avec les fichiers.
je viens de mettre les fichiers en question.

[heracles]

Bonjour Basstaflo,

j'ai depuis quelques jours la fenêtre PowerShell qui s'ouvre de manière intempestive et disparait aussitôt.
je pense que ça sent le virus.

Les fenêtres apparaissant furtivement ne sont pas des virus mais elles sont liées à des tâches exécutées en arrière-plan lors du démarrage de ton PC. Pour ton cas il s'agit des fichiers mid.ps1 et core.ps1. Ceux-ci seront supprimés lors du correctif que je te proposerais.




Avant de proposer un correctif, quelques questions:

1. Est ce toi qui a appliqué des restrictions sur Edge Et Google ?
2. DNS redirigeant vers les USA: c'est de ton initiative ? (cela peut-être lié à la question suivante)
3. C'est toi qui a modifié le fichier hosts ? (provoquant des détournement lors de l'accès à internet)
4. Est ce toi qui a restreint l'accès à certains sites internet ? (si non, désactive cette fonctionnalité via le logiciel SpywareBlaster)

Je viens de testé : les 2 dernières questions sont liées à l'installation du logiciel SpywareBlaster. Lance le logiciel SpywareBlaster , puis en bas de la page, clique sur Disable all Protection

Ensuite, désinstalle le logiciel SpywareBlaster (Windows Defender dispose déjà d'une protection contre les spywares. De plus, l'installation de ce logiciel fait double usage avec Windows Defender et cela peut provoquer des conflits impactant la sécurité du PC)


Bonne journée

[basstaflo]

Bonjour,
Merci de ton aide.
j'ai désactivé et désinstallé spywareBlaster.

pour Edge et Google je n'ai appliqué aucune restriction
mais j'ai changer mes adresses DNS Pour OpenDNS.
sinon je n'ai pas modifié mon fichier Host.

sur le Log FRST j'ai vu une ligne fichier non identifié svshost.exe , cet exe se trouve dans c:windows/svshost.exe
cause t'il aussi des problèmes?

Bonne journée.

[heracles]

Re,

J'ai également vu ce fichier. Ce processus svshost.exe n'a rien à faire sous C:\Windows
Normalement le processus légitime ce situe sous c:\windows\system32\svchost.exe. De plus, il a peut être la même prononciation mais la typologie n'est identique.
svshost.exe = néfaste
svchost.exe = légitime

Effectue cette procédure à la lettre:

/!\ Attention, ce script a été établi uniquement pour le problème de cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnements et endommager Windows. Nous déclinons notre responsabilité en cas d'utilisation abusive malgré nos recommandations. /!\


/!\ Les outils ne doivent être lancés qu'une seule fois afin de ne pas fausser les rapports demandés. /!\

• Fait un clic droit sur FRST64.exe puis sélectionne exécuter en tant qu'administrateur.
• Télécharge le fichier ci-dessous sur ton bureau et pas ailleurs.
  
  fixlist.txt
  
  
• Ferme toutes les applications, y compris ton navigateur
• Sur le menu principal de FRST, clique une seule fois sur Corriger et patiente le temps de la correction.
• Le pc redémarrera à la suite de la suppression.
• L'outil va créer un rapport de correction Fixlog.txt sur ton bureau, poste ce rapport

Sous Internet Explorer, le filtre SmartScreen peut déclencher une alerte. Cliquer sur Actions ou Informations complémentaires puis sur Exécuter quand même

Nota: si le logiciel FRST64.exe semble bloqué, laisse le travailler jusqu'au bout et ne l'arrête pas car j'ai inclus une commande de réparation des fichiers système.

Est attendu le rapport fixlog.txt

A+

[basstaflo]

J'ai joint le fichier Fixlog.txt.
la manip à résolu le problème

MERCI beaucoup pour l'aide et le temps passé !!

[heracles]

Re,

Le fichier C:\WINDOWS\svshost.exe était bien un malware (plus précisément un cheval de Troie)

https://www.virustotal.com/gui/file/c46 ... 1692276379


Ok. Tout est bon pour moi, on finalise le sujet.


Suppression des logiciels:

• Télécharge sur le bureau : kprm.exe
• Lance l'exécution par clic-droit -> Exécuter en tant qu'administrateur
• Coche les cases suivante:
  
  1. Supprimer des outils (case précochée)
  2. Supprimer les points de restauration
  3. Créer un point de restauration
  4. Sous la rubrique supprimer les quarantaines, coche la case Supprimer maintenant.
• Clique sur [Exécuter]...
• Quand le message suivant apparait "Toutes les opérations sont terminées", clique sur [OK]
• Un rapport kprm-aaaammjjhhmm.txt sera créé sur le bureau et s'ouvrira,
  (il est aussi enregistré sous C:\KPRM\kprm-aaaammjjhhmm.txt)
• Héberge le rapport sur Cjoint
• Donne le lien créé dans ta réponse.

====================================================================

Consignes de sécurité à vérifier pour éviter les failles de sécurités:

• Tu dois impérativement veiller à maintenir tes logiciels et ton système à jour :
• Recommandation, installe le logiciel ci-dessous et vérifie périodiquement que des mises à jours soient disponibles.

• Télécharge UCheck sur ton bureau.
• Accepter les conditions d'utilisation, le navigateur s'ouvrira sur la page "Adlice Software" de UCheck... en cliquant sur "accepter"
• Dans l'onglet "Tableau de bord", clique sur [Scanner] pour lancer la détection...
• Si des mises à jours sont trouvées, sous le logo "mise à jours", clique sur "Mises à jour en attente"
• Pour chaque programme à mettre à jour, clique sur "Action" -> "Télécharger"
• Patiente le temps du téléchargement puis clique sur "Action" -> "Installer"
  (il est possible de cliquer sur "Ouvrir le site officiel" pour faire les mises à jour manuellement)
  

Consignes préventives à retenir:

• Important: Internet est un boulevard peuplé d'inconnus. Adopte une bonne attitude de surf: tu réfléchies, tu cliques et non l'inverse.
• /!\ Toujours privilégier le téléchargement d'une application sur le site de l'éditeur. Les fichiers/programmes c'est comme les bonbons, quand ça vient d'un inconnu, on n'accepte pas !
• /!\ Etre vigilant au moment de l'installation d'une application
• Maintient ton Système à jours ainsi que tes logiciels de sécurité.
• Sauvegarde régulièrement les données personnelles sur un support externe
• Ne jamais ouvrir une pièce-jointe dans un mail d'un expéditeur inconnu
• Évite d'installer des programmes depuis des sites inconnus ou douteux (Softonic, TutoPC4, 01 du Net, sites de Cracks, P2P, porno, etc.). Privilégie plutôt le site de l'éditeur.
• Lis bien les clauses avant d'installer un programme et décoche d'éventuelle toolbar ou logiciel qui pourrait infecté ton PC
  

Est attendu le rapport:

C:\kprm.txt

[basstaflo]

Fichier Joint.

Encore Merci !!

[heracles]

Bonjour basstaflo,

Ok pour le rapport KPRM.

Bonne journée et bon surf sur internet mais avec précaution.