PUP.Optional.DotSetuplo

[BB-22]

Bonjour à tous,

Je vous contacte sur ce forum afin de vous demander votre aide et votre expertise s'il-vous-plaît.

Je suis très vigilante lorsque je télécharge un logiciel ou autre, je me rends toujours sur le site du concepteur/fabricant et je scanne systématiquement le téléchargement à l'aide de mon anti-virus Win Defender + Mbam gratuit avant de l'ouvrir/exécuter. J'en fait vraiment très rarement. Je ne me balade pas sur des sites à risques, streaming et cie. Pourtant, aujourd'hui j'ai un résultat positif avec Mbam. Mon dernier scan datant de Samedi dernier était clean. Je ne comprends pas s'il s'agit de quelque chose de dangereux, ni d'où je le sors... Peut-être est-il dû à ce qui c'est passé ce jeudi matin:

Aujourd'hui, j'ai tapé trop vite le nom de Amazon dans la barre d'adresse de mon navigateur pour me rendre sur le site. J'ai donc fait une erreur de frappe dans le nom, et cliqué sur entrée. Je vais tellement vite à écrire que je ne m'en suis pas aperçue. Mon navigateur m'a bloqué l'ouverture d'une page web m'annonçant un risque de trojan. J'ai donc fermé cette fenêtre d'avertissement, effacé l'historique et quitté mon navigateur (firefox).

Je décide de lancer mbam pour faire une analyse même si on m'a signalé avoir bloqué l'accès à la page internet dangereuse.
Mbam me plante, ne se lance pas. Le logiciel m'ouvre sa page internet depuis l'application pour télécharger un fichier de réparation que j'utilise. Une fois l'analyse effectuée, il me détecte un "PUP.Optional.DotSetuplo", mis en quarantaine.

J'ai ensuite suivi un tutoriel, disant de lancer le mode sans échec pour supprimer les malveillants. On m'a fait ouvrir la configuration système. Dans l'onglet "démarrer", j'ai dû sélectionner les options de démarrage sécurisé et réseau. J'ai relancé mbam en mode admin, supprimé le DotSetuplo dans la quarantaine. Ensuite, nouvelle analyse de mbam: tout est ok, plus rien ne ressort à l'analyse. Toujours en mode sans échec, je lance aussi une analyse complète MRT de windows (leur logiciel de suppression de malveillants), en mode admin = tout est ok, ras.

Je suis sortie du mode sans échec, j'ai lancé une analyse complète win defender = ok rien de malveillant.
Le tutoriel recommande également une analyse personnalisée mbam, la complète, en mode sans échec pour être sûr que tout va bien. Je ne l'ai pas lancée car elle dure des heures, la dernière fois au bout de 12h ce n'était pas fini... Je verrai pour la lancer cette nuit.

Pensez-vous que je me suis débarrasée de ce DotSetuplo ? Me conseillez-vous d'autres manips/vérifications en plus ?
Sauriez-vous me dire si cette chose est dangereuse, car évidemment j'ai des docs officiels et compagnie sur mon PC, est-ce que j'ai pu me faire voler des données confidentielles, bancaires, des mots de passe et tout le toutim ? Je ne sais pas si je dois changer mes mots de passe, surveiller mon compte bancaire etc.Si je dois me lancer dans des démarches éventuelles, ni lesquelles...

Merci beaucoup par avance pour votre aide, j'espère avoir donné tous les détails utiles pour vous,
Bonne soirée,
Bérengère

PS: j'ai mis en PJ une capture de l'historique de quarantaine mbam avec le chemin du fichier détecté.

[Parisien_entraide]

Bonsoir

Malekal ou Angélique te le confirmeront, mais ce type de parasitage est surtout là pour t'embêter avec de la pub etc pas pour te voler tes données

Vu tout ce que tu as fais, il ne doit en rester que de la bouillie :-)
Ce truc est détecté depuis des années, et vu que MBAM l'avait mis en quarantaine on voit que c'était le cas

En fait cela aurait du s'arrêter là avec possiblement le navigateur à réinitialiser et lui coller un minimum de protections

Tu dis

J'ai ensuite suivi un tutoriel,

Quel tutoriel ?
Il faut savoir qu'il y a des sites bidons qui apparaissent en premier dans les recherches google, qui te font suivre une procédure standard mais qui sont là pour te fourguer un programme


Mais si tu veux être rassurée (cela permettra en meme temps de voir ce qui il y a sur les navigateurs)



La procédure de Malekal
__________________
Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST,
Attendre la fin du scan, un message indique que l'analyse est terminée.

Trois rapports FRST seront générés :


* FRST.txt
* Shortcut
* Additionnal.txt




Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

(Les liens bleus mènent à des tutoriels explicatifs pas à pas, clic dessus pour avoir les instructions plus précises à suivre).

IMPORTANT : Une fois les rapports crées, n'installe pas de programmes, n'efface rien, ne prends pas d’initiatives, parce que tu "penses que", que "tu crois que " etc. Bref tu ne touches plus à rien

[BB-22]

Merci pour ta réponse si bien détaillée, c'est super sympa !

Je vais essayer de lancer la procédure de Malekal ce soir, sinon demain matin et je reviens poster ensuite les résultats !

Pour répondre à tes remarques/questions:

-Je n'ai pas réinitialisé le navigateur -pas pensé- mais je ne touche à rien avant d'avoir donné les résults ici promis, j'attendrai des instructions. Moi pas toucher !
Juste pour donner une indication supp, je pense que je l'ai pas mal paramétré pour me protéger et puis j'ai l'extension "malwarebytes browser guard" installée dessus et adblock pour les pubs.

-Pour le tutoriel je suis tombée sur cette page internet du site "securedstatus.com", le seul à parler de mon PUP. Je te mets le lien ici, j'espère que ça va passer: https://securedstatus.com/pup-optional-dotsetuplo-removal-guide/
Et promis je ne télécharge jamais rien sur ce genre de page, j'ai trop peur de me ramasser des problèmes. Je suis presque parano avant de cliquer sur quoi que ce soit, alors je ne comprends pas comment ce truc est arrivé chez moi...

Merci encore et peut-être à tout à l'heure au mieux, à demain au pire !

[BB-22]

Et voici le chemin de l'emplacement du fichier trouvé par mbam, ma PJ n'est pas passée:
"C:\Users\admin\AppData\Local\Temp\rninst~2\ui_data\inst_config\rpusdk.dll"

[Parisien_entraide]

Le site https://securedstatus.com/pup-optional-dotsetuplo-removal-guide/fait partie de ces sites que j'indiquais
Le contenu semble cohérent comme toujours, mais le but est que tu cliques sur les liens proposés en l’occurrence pour le cas présent MBAM et Kaspersky

Là si on clique derrière il y a "xxxx.jdoqocy.com/click-bla bla bla " qui est un lien lien de redirection d'annonce/de suivi, d'affiliation
En fait le créateur du site est rémunéré si tu cliques et achètes

Il faut donc un contenu capable de tromper la majorité, qui soit quelque peu cohérent pour crédibiliser la chose afin que les gens cliquent
Cela semble sérieux donc les gens acceptent ce qui est proposé (dans le cas présent MBAM par ex connait ce PUP depuis au moins .. 5 ans mais il n'y a pas besoin de la version Premium pour le virer)

Sinon OUI, ne touche à rien pour l'instant, pas avant que Malekal ou Angélique ne jettent un oeil sur les rapports FRST

Ensuite il te sera indiqué comment te protéger à l'avenir de ces PUP's (c'est facile et gratuit )
Par ex Adblock ...
C'est la jungle dans ces AdBlockers, et pour donner un exemple viewtopic.php?p=528497#p528497
(même si l'ex est pour Firefox c'est la meme chose pour le pseudo navigateur Chrome (et pire encore car de par sa conception Chrome est là pour absorber tes données pour les fourguer à des régies de pubs)


Sinon "rpusdk.dll" n'est pas significatif le nom peut etre généré par le programme malfaisant

Edit :

Je viens de faire quelques recherches sur le PUP' cité
En fait MBAM en parle et figure dans les 2 premiers liens via une recherche https://www.malwarebytes.com/blog/detec ... dotsetupio

Par contre il ne faut pas toujours se fier aux noms de ces PUP's, c'est un peu comme avec les virus
Les éditeurs de protections baptisent souvent leur trouvaille meme si parfois on a une base commune dans le nom

il disent que cela vient avec des programmes que l'on installe, pas via la visite d'un site web

[BB-22]

Bonjour !

Merci beaucoup pour le topic sur les AdBlockers, je regarderai attentivement quand nous aurons fini avec l'analyse FRST.

J'ai checké, comme tu me l'as indiqué sur le site Mbam, mais honnêtement, la seule chose que j'ai téléchargée hier c'est leur utilitaire de réparation. En regardant de nouveau dans mes téléchargements d'hier, j'ai d'ailleurs FRST qui s'était déposé au même moment. C'est forcément eux qui me l'ont mis dans leur téléchargement... Est-ce que mon PUP serait venu à ce moment-là ? Samedi dernier mon analyse Mbam était clean... Et rien a priori niveau téléchargement à part hier, sauf erreur de ma part...

Ceci dit, j'ai de nouveau téléchargé FRST en suivant le tutoriel détaillé de Malekal.

Voici les résultats:

*FRST = https://pjjoint.malekal.com/files.php?i ... 11s9l10g10

*Addition = https://pjjoint.malekal.com/files.php?i ... 0g5f11o8z8

*Shortcut = https://pjjoint.malekal.com/files.php?i ... 11e10p12y9

PS: Est-ce qu'il sera possible de supprimer les liens quand ce sera terminé ou de les rendre inactifs, pour que leur contenu ne soit pas accessible en permanence ?

Merci pour toute l'aide en tout cas,

A très vite !

[Parisien_entraide]

J'ai parcouru de long en large le site où tu avais lu la procédure, téléchargé, installé, testé et... RIEN
Ce sont bien les versions officielles de MBAM prises sur le site auteur avec une affiliation derrière

Par contre, pour cette histoire de FRSTEnglish.exe qui serait arrivé tout seul

2023-06-22 11:50 - 2023-06-22 11:50 - 002383360 _____ (Farbar) C:\Users\admin\Downloads\FRSTEnglish.exe
2023-06-22 11:46 - 2023-06-22 11:46 - 014113080 _____ C:\Users\admin\Downloads\mb-support-1.9.1.977.exe

Explication logique :

MBAM a du utiliser cet outil https://forums.malwarebytes.com/topic/2 ... port-tool/ pour soit réparer soit virer une installation existante et installer la nouvelle mouture

Cet outil de désinstallation/réparation est utilisé également par les "'helpeurs" sur le forum MBAM, mais là où ce n'est pas clair, c'est que le téléchargement de FRSTEnglish.exe, n'est pas systématique
A mon humble avis, le helpeur doit partir du principe que si MBAM doit etre réparé c'est qu'il a été touché par une infection, d'où l'outil FRST joint
Là pendant l'installation cela a du être la meme chose (mais en plus tu as Windows 10 et MBAM a eu pas mal de soucis par le passé avec Window 10 et se servait de son outil de réparation)

Quant à son nom, il faut savoir que FRST utilise par défaut la langue utilisée par Windows (si la traduction est disponible)
Il est possible de forcer l'utilisation de l'anglais, il suffit de le renommer en ajoutant "english" devant (ou après) le nom ce qui donne bien FRSTenglish.exe
Cela permet au helpeur d'avoir des logs en anglais au lieu que ce soit en langue inuit, papou ou avec des caractères cyrilliques qu'il lui faudrait traduire

Au delà de cela il n'y a rien mais Malekal ou Angelique confirmeront (je ne suis pas helpeur)

APRES outre les conseils il y aura du nettoyage à faire


FlashPlayer
RealPlayer
SilverLight

Ne devraient même plus figurer sur un PC


Tu as des traces de mauvaises désinstallations également (Bitdefender par ex) mais cela n'influe pas sur la sécurité et bon fonctionnement

Conseil : A l'avenir, utiliser un outil spécifique pour désinstaller comme Revo Uninstaller
https://www.malekal.com/revo-uninstalle ... acilement/

même les outils fournis par les éditeurs de logiciels ne font pas le boulot correctement (comme l'outil de MBAM du reste)

Après le reste (module pour les navigateurs et autres outils) viendront après l'analyse FRST

Au passage LILO.... https://www.lilo.org/votre-vie-privee-avec-lilo/ semble clean, ils le disent, l'affirment, mais en fait tout le tracking etc est fait par Microsoft (ils se déchargent de leurs responsabilités en fait)
https://privacy.microsoft.com/fr-fr/privacystatement mais Microsoft cela ne l'intéresse pas d'avoir des données d'anonymes... et tout son éco sytème peut identifier la personne (comme avec Edge)
En plus il faut créer un compte avec un email...qui renverra une adresse IP lorsqu'il faudra cliquer pour activer le compte
Bref Microsoft doit être heureux

Toutes ces initiatives "eco solidaires" ont un revers de médaille

C'est comme avec le moteur de recherche ECOSIA...
Pour fonctionner, il fait du tracking publicitaire, mais les ad blockers neutralisent ce pour quoi il a été conçu.... Donc il ne sert à rien

[BB-22]

Sur le site avec le tutoriel, je n'ai fait que suivre les explications de manipulations à effectuer, mais rien téléchargé. Je ne télécharge QUE sur les sites officiels proposant les outils/logiciels. Je ne veux pas passer par des intermédiaires. Mais heureusement pour les gens que ce ne soit pas risqué...

Alors, effectivement sur ton lien vers le site mbam on voit que FRST est inclus dans leur outil à télécharger. Je n'avais pas eu le détail sur ma page de l'outil. Ceci expliquerait ce FRST english dans mon dossier de téléchargements. Quant à son nom, c'était pour forcer son utilisation en anglais c'est bien ça ? J'ai vérifié ce matin dans les propriétés de ce fichier FRST english par précaution, le copyright est bien Farbar. Donc officiel.

Pour te donner la procédure exacte de la façon dont je l'ai récupéré: mon mbam ne voulait plus se lancer, j'ai pensé qu'il fallait le désinstaller pour le réinstaller dans la foulée depuis leur site. Je suis donc allée dans les paramètres de Win, puis "applications et fonctionnalités".
J'ai trouvé mbam, cliqué sur "désinstaller". Là, mbam m'a dit "es-tu sûre de vouloir me jeter?", je lui ai dit "oui".
Il m'a demandé "mais pourquoi, c'est dommage de me quitter... Est-ce que tu veux me désinstaller ou me réparer?".
J'ai dit "réparer".
Et là, une fenêtre du navigateur s'est ouverte sur leur site en anglais, pour me proposer de télécharger l'outil et suivre la procédure.
Je suis à 90% sûre que c'était celle-ci: https://support.malwarebytes.com/hc/en- ... pport-Tool
C'est suite à ça que j'ai lancé l'analyse et qu'il m'a annonce le PUP.Optional.DotSetuplo

Merci beaucoup pour tous tes conseils à appliquer APRES. Je nettoierai les logiciels indiqués et j'utiliserai l'outil que tu me conseilles pour rendre propres les désinstallations non finies. Effectivement, je n'utilise que les logiciels de nettoyage des éditeurs du logiciel/antivirus concernés. Ils ne terminent pas bien le travail. Je suis déçue pour LILO, j'apportais mon soutien à une association précise, c'était important, mais bon...

En résumé, concernant mon souci de détection, si je comprends bien: a priori mon DotSetuplo n'était pas dangereux, seulement un outil pour la pub ? Pas besoin de prendre des précautions, changements de mots de passe, pas de vol de données perso/admin/bancaires et cie a priori.
Et rien d'autre à signaler dans mes rapports, tout a l'air ok: je peux dormir sur mes deux oreilles ? Même si physiquement c'est un challenge, je sais :-)
Mais j'attends le retour de Malekal et/ou Angélique sur tous ces points, c'est bien ça ?

[BB-22]

PS: avec tout ça, je ne comprends toujours par où il est venu, ni comment...

[Parisien_entraide]

Oui il faut attendre le verdict du maitre des lieux ou de la Druidesse Bretonne "Angélique" :-)

Bon finalement on a les dessous du téléchargement, du FRST "english"' et c'était bien lié à la réparation
Quant au PUP, (lié a de la pub et pas un stealer) vu que ton MBAM ne fonctionnait pas initialement, il s'agit peut etre d'un programme téléchargé bien avant qui comprenait un autre programme empacté, et il n'y a pas de lien avec le "trojan" détecté et bloqué

Cela peut même venir d'une mise à jour Adobe (et je ne parle pas là des fausses mise à jour adobe)
A une époque Adobe Flash player cochait par défaut des programmes annexes (Mc Afee etc)
Là récemment (il y a quelques jours) tu as eu une maj d'Adobe acrobat

J'avoue que vu que j'ai viré tout ce qui est en lien avec Adobe je ne sais ce qu'ils font avec leurs produits depuis ces 2 ou 3 dernières années

Du reste as tu besoin des produits Adobe ? (pour lire un .pdf y a mieux)
Idem pour JAVA qui est installé du reste...

Se méfier également de la version "Full" des codecs K-lite... Il y a déjà été vu des programmes tiers liés à la pub,
Le pack "full est inutile pour le commun des mortels, la version "classique" suffit surtout que tu utilises VCL qui a ses propres codecs

Edit : Le rapport MBAM ne disait rien de plus que tout ce que tu as déjà évoqué ?

[BB-22]

Voilà les rapports MBAM:

*Celui de samedi 17 dernier qui est ok = https://pjjoint.malekal.com/files.php?i ... p11i8q7k14

*Celui d'hier jeudi 22 avec la détection du PUP = https://pjjoint.malekal.com/files.php?i ... 2y6y13x9e7

*Celui de ce vendredi matin 23 qui est ok = https://pjjoint.malekal.com/files.php?i ... 512h8m9b11

J'ai aussi:
*une analyse win defender mode "analyse complète" ce matin qui était clean
*un MRT "analyse complète" hier soir effectuée en mode sans échec, avec une configuration du système où j'ai coché les options "démarrage sécurisé" et "réseau". Clean aussi.

Je n'ai toujours pas effectuée l'analyse personnalisée complète par MBAM dans le mode sans échec options "démarrage sécurisé", "réseau", recommandée par le site avec tutoriel, au vu de sa longueur.

Je ne sais comment vérifier si Adobe télécharge des programmes annexes par défaut. Effectivement, je l'utilise pour lire des PDF. Me recommanderais-tu autre chose ?

Concernant Java, il était installé à l'achat de mon PC. Je ne fais pas les MàJ. Est-il préférable de le désinstaller ? Je ne sais plus où, mais j'avais vu passer l'info qu'il ne fallait pas forcément le garder. D'autres le recommandent à l'inverse, donc difficile pour moi de me faire une idée...

Enfin, pour K Lite, il me semble qu'il était déjà à l'achat du PC aussi... La date semblerait l'indiquer.

Apparemment, une fois que les voix de Thor le métalleux et de la druidesse bretonne auront retenti :-) , je vais avoir pas mal de remise à plat à entamer niveau nettoyage de logiciels si je comprends bien !

Merci pour le temps que tu m'accordes, c'est très chouette de ta part en tout cas.

[Parisien_entraide]

Laisse tomber le mode sans echec..

On voit de toutes les façons que ca été mis en quarantaine direct par MBAM et rien de dangereux n'a été trouvé par Defender
Dans le rapport FRST, on aurait pu retrouver la .dll (il y a des trojan sous forme d’un fichier DLL qui peuvent se charger au démarrage par une clé Run.) mais a priori (je ne suis pas helpeur) rien n'est chargé donc...

Pour JAVA dans 99% des cas tu n''en as pas besoin (il ne faut pas confondre java et javascript)
K lite.. Normalement ce n'est pas fourni avec un ordinateur, quelque soit la marque. Cela peut etre installé avec un programme de lecture et/ou traitment video
Pour la lecture des .pdf il te sera indiqué après le verdict FRST ce que tu pourras installer (tu ne fais QUE de la lecture de pdf ?

[BB-22]

Ok pour le mode sans échec !

Pour Java, je n'ai trouvé que l'application "Java 8 update 221" dans la liste des applications sous "paramètres" pouvant être désinstallée
Sinon j'ai un dossier "Java" dans mon dossier de programmesx86 sur l'explorateur win. Je ne vois pas de "uninstall" proposé.

K lite, je ne sais pas si c'est moi ou si ça peut être les informaticiens qui avaient pour mission de préparer mon PC pour l'achat. J'ai Itunes installé par exemple, ce n'est pas de moi que ça vient...
Perso, niveau logiciels vidéo j'avais téléchargé moi-même VLC et Realplayer que tu as recommandé tout à l'heure de désinstaller.

Pour les PDF, je lis, incruste des notes principalement. Je n'en ai pas une utilisation de haute volée.

Je ne sais pas si ça peut être important de le signaler, mais après mon message contenant les rapports FRST, mon navigateur m'a affiché une page adblock plus: il m'informait qu'il s'était mis à jour. Mais j'imagine que c'est un événement sans importance...

[BB-22]

Bonjour,

J'espère que ça va par cette chaleur...

J'ai effectué l'analyse complète du disque dur avec Mbam, afin de ne rien laisser au hasard.
Mode normal (pas de mode sans échec).
Durée = environ 23h, avec pause au milieu (Mon PC n'est pas adapté à un travail aussi intense, surtout avec cette météo). Je ne pensais pas que ça pouvait durer aussi longtemps.

Le résultat est clean, RAS.
Rapport du scan : https://pjjoint.malekal.com/files.php?i ... p8t7t12d12

Bonne fin de week-end !

[Parisien_entraide]

Malekal semble ne pas être repassé sur le forum
C'est le week end et il a cours de poney et de nage indienne si je me souviens bien

Quant à Angélique, elle étair fort occupée avec le concours du cri de la mouette et du lancer de galettes

Mais ils passeront :-)