Windows 10, RAT revenu après un formattage + complication démarrage windows

[Gerbille fringante]

Bonjour,

J'ai soupçonné la présence d'un RAT sur une nouvelle installation Windows 10 Pro sur laquelle j'avais branché le disque dur d'un ancien pc très probablement infecté ; après de multiples tentatives de reinitialisation windows, désinfection, etc, j'ai finalement format c: car je le voyais revenir à chaque fois.
Et malgré ça, j'ai toujours eu l'impression de ne pas avoir réussi à m'en débarrasser complètement ; je me suis persuadée que ce n'était que de la parano, un format c:, c'est quand même censé être radical. (je n'ai pas rebranché l'ancien HDD depuis)

C'était en mars, nous sommes en août et depuis quelques temps, les preuves de la présence de ce malware se font de plus en plus nombreuses, j'ai passé tout un tas de processus sur virustotal, qui m'ont tous sorti des YARA rules dans le sens d'un RAT. Le problème étant que je ne connais pas les contours exacts du malware, à part qu'il attend que je ne sois pas active pour l'être, qu'il pompe mes données, qu'il y a des remote sessions que je ne vois pas, etc. et après avoir essayé tous les outils que je pouvais, j'ai l'impression que rien ne le détecte et qu'il faut s'en occuper manuellement.
(malwarebytes, roguekiller, hitmanpro, et toute une ribambelle d'autres trucs n'y ont rien fait).
Ce qui m'a été utile en revanche est le scanner de processus de Adlice qui m'a permis d'être sûre que ces processus étaient corrompus, infectés ou impliqués dans le malware. Que je n'étais pas parano.
------------------------------------------------------

J'ai depuis hier un nouveau problème qui s'est ajouté cependant : windows ne démarre plus. Ca s'est produit après que j'aie kill un processus dont je sais qu'il fait partie des processus corrompus ; certains d'entre eux, une fois killés, provoquent un BSOD. Ca a été le cas : j'ai eu ce BSOD et je pensais que ça récupèrerait normalement, sauf qu'au reboot, l'écran reste bloqué après le BIOS à cet écran de chargement noir avec l'animation en cercle qui tourne de windows. Ca reste bloqué dessus indéfiniment.

J'ai essayé de réparer ça avec le CD de réparation Malekal, que j'avais dans un coin (il se trouve que ma clé usb windows plante en milieu de réinstall windows, ai-je découverts, ce qui est bien embêtant du coup). Depuis, l'animation au démarrage (le cercle qui tourne) n'est même plus un cercle, mais des artefacts.
J'ai accès à mon disque dur sur lequel se trouve windows sans problème, CHKDSK ne ramène pas d'erreur.
SFC (depuis Malekal live cd ou depuis la ligne de commande de l'interface réparation de Windows) me sort : "La protection des ressources Windows n’a pas réussi à démarrer le service de réparation." J'ai essayé de run CMD en mode administrateur mais ça ne change rien. J'ai essayé une manipulation lue en ligne avec TrustedInstaller mais elle n'a pas fonctionné.
DISM :
"C:\>DISM /Image:C:\ /Cleanup-Image /RestoreHealth /Scratchdir:C:\Scratch

Outil Gestion et maintenance des images de déploiement
Version : 10.0.16299.15


Erreur : 32

Une erreur d’initialisation s’est produite.
Pour plus d’informations, consultez le fichier journal.

Le fichier journal DISM se trouve à l’emplacement X:\windows\Logs\DISM\dism.log"
J'ai le log si besoin.


J'essaye de télécharger windows depuis malekal live cd, mais je n'arrive jamais à aller jusqu'au bout, le téléchargement fail systématiquement avant.
J'ai téléchargé l'iso de 5gb depuis mon téléphone, mais je n'ai pas de carte SD pour le transférer sur le pc, du coup j'imagine qu'il va falloir que je branche mon téléphone sur mon PC, mais je ne sais pas si c'est une bonne idée.

Voilà. Je ne suis pas très à l'aise avec FRST pour faire ça seule, et j'en ai marre aussi d'essayer toute seule, ça ne marche à l'évidence pas, donc je me tourne vers vous pour de l'aide !

Je vais rebooter joindre un report FRST.

[Gerbille fringante]

Alors je ne parviens pas à uploader quoique ce soit depuis le live os Malekal, ca fait planter Firefox (tout comme downloader…).

Du coup j’ai collé FRST.txt sur pastebin : pastebin.com/4ni2ferc

Je n’ai pas les options pour shortcut.txt ni addition.txt dans la version qu’il y a sur le live os.

[devadip]

Du coup j’ai collé FRST.txt sur pastebin : pastebin.com/4ni2ferc

Ton URL ne marche pas. Tu devrais réessayer

[Parisien_entraide]

et poster de préférence sur https://textup.fr/ (vu que le pjoint.malekal à quelques soucis)

[Gerbille fringante]

Désolée, fatigue !

Voici le dernier rapport :
- FRST.txt 17-08-2023 : https://textup.fr/724702rH

Merci à vous !

[Gerbille fringante]

Si jamais, je ne sais pas si ça peut être utile mais je le glisse là au cas où, ça mange pas de pain :

=> J'ai gardé les rapports FRST.txt (avec Addition, pour le coup) que j'avais fait au cas où, juste après ma réinstallation totale de Windows fin février donc, pour avoir un instantané du système à l'origine, peut être déjà infecté, mais censé être sain, puisque fraîchement réinstallé.

Je mets ça là, attention il s'agit donc de vieux rapports :
- FRST. txt 27-02-2023 : https://textup.fr/724709vG
- Addition.txt 27-02-2023 : https://textup.fr/724710yG

[Parisien_entraide]

En fait il faudrait le ADDITION également qui a son importance en plus du FRST

J'ai regardé en diagonale...
Des cracks, utorrent;.. Je passe mon tour



Edit .. Ton FRST en tant que programme est ancien
Edit 2 ; Tes anciens logs montrent une infection

Donc


La procédure de Malekal
__________________
Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST,
Attendre la fin du scan, un message indique que l'analyse est terminée.

Trois rapports FRST seront générés :


* FRST.txt
* Shortcut
* Additionnal.txt




Envoie ces 3 rapports sur le site https://textup.fr et en retour donne les 3 liens qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

(Les liens bleus mènent à des tutoriels explicatifs pas à pas, clic dessus pour avoir les instructions plus précises à suivre).

IMPORTANT : Une fois les rapports crées, n'installe pas de programmes, n'efface rien, ne prends pas d’initiatives, parce que tu "penses que", que "tu crois que " etc. Bref tu ne touches plus à rien

[Gerbille fringante]

Je sais et je veux bien mais comme je le disais plus haut, comment le télécharger depuis le live os puisque les téléchargements plantent à chaque fois dessus ?

J.'ai dû télécharger un crack en 6 mois, et j'ai fini par ne pas l'utiliser. Et je n'ai pas utorrent sur mon pc, ça ne devrait pas être là. Je crois qu'il y a erreur.

Je ne suis pas sûre de comprendre "je passe mon tour", mais soit, merci quand même, et bonne journée. ,


Edit :
Est-ce que ça craint si je télécharge depuis mon téléphone pour ensuite le brancher sur le pc (s'il le détecte correctement)? Sur un live os, est ce que mon téléphone risque quelque chose à être connecté par usb ?

[Parisien_entraide]

Un crack suffit pour mettre le bazar (et j'ai vu une trace mais je n'ai pas regardé si il était encore installé, vu qu'il n'y avait qu'un rapport FRST, où apparaissait un prog de torrent)

Ensuite un RAT ne revient pas après formatage et installation propre
Tu utilises le cloud ? Onedrive etc ?

Je passe mon tour parce que d'une part je ne suis pas "helpeur" et d'autre part dès lors qu'il y a un crack qui traine il y a 99% de chances qu'il y ait infection
Malekal et Angélique sont des helpeurs

Sinon VIRUS TOTAL ce n'est qu'indicatif. Seul un AV sur le PC à la possibilité de tout voir
Les BSOD ne sont pas toujours liés aux malwares, et du reste ceux ci voulant rester discrets ne s'amusent plus à détruire Windows
Meme un ransomware laissera le PC redémarrer pour que l'utilisateur puisse avoir accès au message de rançon

RogueKiller peut mettre le bazar..
De toutes les façons il ne sert à rien de passer tout un tas d'outils espérant d'un coup de baguette magique tout rétablir
Il faut passer par une analyse AVANT pour déterminer ce que c'est et ensuite ce qui doit être appliqué (d'où le FRST)

L'erreur 32 avec DISM c'est que tu utilises la commande sous WinPE et que donc ca pointe sur le CD LIVE
Ton disque C initial doit s'appeler autrement puisque tu as booté sur le CD LIVE

Là le soucis c'est que tu sembles ne pas avoir de PC de secours pour préparer une clé correctement ne serait ce que pour une réinstallation PROPRE avec RUFUS par ex

Ce qui prime pour l'instant c'est d'avoir TOUS les rapports FRST (pour un possible fixlist)

[Gerbille fringante]

La partition s'appelle C:, dans WinPE et hors WinPE, j'ai essayé DISM (et SFC) depuis l'environnement de réparation du démarrage aussi. CHKDSK ne marcherait pas non plus sinon (il marche sur C).

Et mon problème de boot, ce n'est pas forcément lié directement au malware, ça fait suite à un BSOD sur ntoskrnl.exe.

Ensuite un RAT ne revient pas après formatage et installation propre
Tu utilises le cloud ? Onedrive etc

J'ai bloqué et viré onedrive pour cette raison. Et j'ai installé du cloud
(gdrive /Icloud / Adobe creative cloud) des mois après ma réinstallation, en juin je crois. J'ai réinitialisé plusieurs fois mon pc, et j'avais l'impression que ça revenait quand même, d'où ma paranoïa et le format c. J'ai utilisé des clés usb neuves.
Je partageais la connexion data de mon téléphone pour avoir internet, c'est la seule explication que j'ai trouvée. Que ça passe d'une façon ou d'une autre par le téléphone et le partage de connexion internet. J'ai une box actuellement mais ça n'a pas été le cas pendant un moment.

De toutes les façons il ne sert à rien de passer tout un tas d'outils espérant d'un coup de baguette magique tout rétablir
Il faut passer par une analyse AVANT pour déterminer ce que c'est et ensuite ce qui doit être appliqué (d'où le FRST

Tout à fait, d'où mes tentatives de passer les processus sous Process analysis de Roguekiller + virus total pour essayer de trouver et circonscrire ce qui n'est pas d'équerre pour savoir comment s'en débarrasser.

Je passe mon tour parce que d'une part je ne suis pas "helpeur" et d'autre part dès lors qu'il y a un crack qui traine il y a 99% de chances qu'il y ait infection

Ouais, j'en un que je n'ai pas lancé, c'est vrai. Mais l'infection que tu vois sur les anciens Logs précédent de beaucoup ce crack. Je doute vraiment que les problèmes sont arrivés par là. Au pire ça n'a peut-être pas arrangé les choses. Mais ce qui me turlupinait existait bien avant ça.
Pour ce qui est des torrents, j'ai qbitorrent, et je télécharge pas de crack avec, des PDFs et des fichiers vidéo principalement, sauf exception mentionnée, que je passe à virus total.



Je cherche une solution pour le FRST. J'ai fait cette clé live os il y a peu de temps, je pensais que ce serait à jour.

[Parisien_entraide]

Passer par la date d'un smartphone;.. Entre le Wi fi si tu passes par la box qui peut etre interceptée si Wi fi public surtout, certaines marques de smartphones vérolées en usine (il y en a eu en France, des marques chinoises et la réinstall d'usine ne peut rien faire) les dizaines d'applis vérolées (surtout jeux, vpn en priorité) chaque semaine (je n'ai pas tout mis dans le lien ci dessous) il faut etre certain que tout est clean...
viewtopic.php?t=64868

Au delà de cela dès lors qu'il y a un malware, quelque soit le cloud utilisé cela reviendra, mais tu peux aussi avoir eu une infection qui touchait les navigateurs donc dès lors que tu remets ta config sauvegardée, cela se remet en place

Un disque cela a plusieurs partitions.. Le format C ne touche que le C
C'est pour cela qu'il vaut mieux tout virer et laisser faire Windows qui va reconstruire les partitions et y coller par ex la partition de récupération qui sera saine

Pour DISM ta cible n'est pas C puisque le WINPE est C (c'est le disque de boot)
Il faut donc lui donne la cible
Dism /image:C:\test\offline /Set-TargetPath:X:

X étant la lettre attribuée sous l'environnement WINPE au disque dur du PC
Tu peux le voir avec l'explorateur Windows inclus dans le Live CD

Ta version FRST est en date du Version: 02.08.2018
C'est dommage car celle de février avec les 3 rapports était en date du Version: 25-02-2023