fenetres qui s'ouvrent toutes seules au demarrage [Résolu]

[ali]

bonjour

dés que je mets en marche mon pc il y a des fenetres qui s'ouvrent a l'infini surtout edge, photos, bloc note et il me demnde aussi d'installer cc+.
je crois que mon pc est infecté je vous prie de m'aider

merci

ma configuration est win11 21H2

rapport frst
https://pjjoint.malekal.com/files.php?i ... z5s13o11b9
https://pjjoint.malekal.com/files.php?i ... 1112t9c8j8

[Malekal_morte]

Salut,

Pour commencer, tu télécharges des cracks/keygen.
Donc tôt ou tard, tu vas infecter ton PC avec un trojan qui va pomper toutes les données.
D'ailleurs le rapport montre que le 22/08, des malwares ont été installés.

Date: 2023-08-30 23:18:50
Description:
Antivirus Microsoft Defender a détecté un logiciel malveillant ou potentiellement indésirable.
Nom : Worm:Win32/Mofksys.RND!MTB
ID : 2147779160
Gravité : Grave
Catégorie : Ver
Chemin : file:_C:\Users\Med Ali\Desktop\IObit.Malware.Fighter.Pro.10.2.0.1023 [cahdroid.com]\IObit.Malware.Fighter.Pro-10.2.0.1023.exe
Origine de la détection : Ordinateur local
Type de détection : Concret
Source de détection : Protection en temps réel
Utilisateur : MOHAMEDALI\Med Ali
Nom du processus : C:\Program Files\WinRAR\WinRAR.exe
Version de la veille de sécurité : AV: 1.397.49.0, AS: 1.397.49.0, NIS: 1.397.49.0
Version du moteur : AM: 1.1.23080.2005, NIS: 1.1.23080.2005

Date: 2023-08-29 23:08:09
Description:
L’analyse Antivirus Microsoft Defender a été arrêtée avant la fin.
ID de l’analyse : {B0A0635D-1810-445F-BDEB-269230D5AB5C}
Type de l’analyse : Logiciel anti-programme malveillant
Paramètres de l’analyse : Analyse rapide
Utilisateur : AUTORITE NT\Système

Date: 2023-08-25 10:28:00
Description:
Antivirus Microsoft Defender a détecté un logiciel malveillant ou potentiellement indésirable.
Nom : HackTool:Win32/Keygen
ID : 2147593794
Gravité : Élevée
Catégorie : Outil
Chemin : file:_C:\Users\Med Ali\Desktop\Recuva 1.53.2095 Professional Multilingual [cahdroid.com]\Keymaker_CORE\cr-piriform.exe
Origine de la détection : Ordinateur local
Type de détection : Concret
Source de détection : Protection en temps réel
Utilisateur : DESKTOP-6CJA87N\Med Ali
Nom du processus : C:\Program Files\WinRAR\WinRAR.exe
Version de la veille de sécurité : AV: 1.395.1260.0, AS: 1.395.1260.0, NIS: 1.395.1260.0
Version du moteur : AM: 1.1.23070.1005, NIS: 1.1.23070.1005

~~


Touche Windows + R
tape shell:startup
Supprimer tous les fichiers qui s'y trouvent


~~




Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
2023-08-31 00:04 - 2023-08-31 01:03 - 000000000 ____D C:\ProgramData\{150F4013-6884-4350-8DDC-6BFCB4C5DC15}
2023-08-22 00:28 - 2023-08-31 00:12 - 000005474 _____ C:\Windows\system32\vmbusAltpht
2023-08-22 00:28 - 2023-08-31 00:12 - 000005474 _____ C:\Windows\system32\tallYnakky
2023-08-22 00:28 - 2023-08-31 00:12 - 000005474 _____ C:\Windows\system32\FakKxmjz
2023-08-22 00:28 - 2023-08-31 00:12 - 000005474 _____ C:\Windows\system32\calAliwsvvmugcwy
2023-08-22 00:28 - 2023-08-22 00:28 - 000007587 _____ C:\Windows\system32\rosCxshcqvnuod
Task: {D134CDBE-CDDA-4015-86EC-C2432CCCD0A6} - System32\Tasks\IMF_SkipUAC_Med Ali => "C:\Program Files (x86)\IObit\IObit Malware Fighter\IMF.exe"  /SkipUac (Pas de fichier)
Task: {F84AC62E-C0F7-4C74-AAA5-4A425ECC7FCB} - System32\Tasks\pivexauxke.exe => C:\Users\Med  -> Ali\AppData\Local\Temp\pivexauxke.exe
cmd : dir /A "C:\Users\Med\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\"
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)



2) réinitialiser les navigateurs:
==================================
Réinitialise tes navigateurs et/ou re-paramètre manuellement tes navigateurs WEB ( page de démarrage, moteur de recherche, etc ) mais aussi supprimer/désactiver les extensions inutiles/parasites.
Pour t'aider à effectuer ce ménage, clique ci-dessous sur le nom du navigateur WEB que tu utilises :

• Réparer Mozilla Firefox (premier paragraphe)
• Réparer Google Chrome (premier paragraphe)
• Comment réparer ou réinitialiser Microsoft Edge

~~

Eventuellement désinstaller Wondershare et Avast! (laisser Windows Defender, plus léger et moins intrusif)

[ali]

bonjour Malekal_morte

j'ai appliqué comme dit les instructions a la lettre . c'est vrai le nombre de fenêtres qui s'ouvraient a diminué mais il y en a quelques une qui persistent surtout une du bloc note et quelques unes des dossiers. et voila ci-joint le rapport apres correction .

merci

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 28-08-2023
Exécuté par Med Ali (31-08-2023 17:17:29) Run:2
Exécuté depuis C:\Users\Med Ali\Desktop
Profils chargés: Med Ali
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
Start:
CloseProcesses:
CreateRestorePoint:
2023-08-31 00:04 - 2023-08-31 01:03 - 000000000 ____D C:\ProgramData\{150F4013-6884-4350-8DDC-6BFCB4C5DC15}
2023-08-22 00:28 - 2023-08-31 00:12 - 000005474 _____ C:\Windows\system32\vmbusAltpht
2023-08-22 00:28 - 2023-08-31 00:12 - 000005474 _____ C:\Windows\system32\tallYnakky
2023-08-22 00:28 - 2023-08-31 00:12 - 000005474 _____ C:\Windows\system32\FakKxmjz
2023-08-22 00:28 - 2023-08-31 00:12 - 000005474 _____ C:\Windows\system32\calAliwsvvmugcwy
2023-08-22 00:28 - 2023-08-22 00:28 - 000007587 _____ C:\Windows\system32\rosCxshcqvnuod
Task: {D134CDBE-CDDA-4015-86EC-C2432CCCD0A6} - System32\Tasks\IMF_SkipUAC_Med Ali => "C:\Program Files (x86)\IObit\IObit Malware Fighter\IMF.exe" /SkipUac (Pas de fichier)
Task: {F84AC62E-C0F7-4C74-AAA5-4A425ECC7FCB} - System32\Tasks\pivexauxke.exe => C:\Users\Med -> Ali\AppData\Local\Temp\pivexauxke.exe
cmd : dir /A "C:\Users\Med\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\"
EmptyTemp:
RemoveProxy:
Reboot:
End:
*****************

Processus fermé avec succès.
Erreur: (0) Impossible de créer un point de restauration.
"C:\ProgramData\{150F4013-6884-4350-8DDC-6BFCB4C5DC15}" => non trouvé(e)
"C:\Windows\system32\vmbusAltpht" => non trouvé(e)
"C:\Windows\system32\tallYnakky" => non trouvé(e)
"C:\Windows\system32\FakKxmjz" => non trouvé(e)
"C:\Windows\system32\calAliwsvvmugcwy" => non trouvé(e)
"C:\Windows\system32\rosCxshcqvnuod" => non trouvé(e)
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{D134CDBE-CDDA-4015-86EC-C2432CCCD0A6}" => non trouvé(e)
"C:\WINDOWS\System32\Tasks\IMF_SkipUAC_Med Ali" => non trouvé(e)
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\IMF_SkipUAC_Med Ali" => non trouvé(e)
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{F84AC62E-C0F7-4C74-AAA5-4A425ECC7FCB}" => non trouvé(e)
"C:\WINDOWS\System32\Tasks\pivexauxke.exe" => non trouvé(e)
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\pivexauxke.exe" => non trouvé(e)
cmd : dir /A "C:\Users\Med\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\" => Erreur: Pas de correction automatique trouvée pour cet élément.

========= RemoveProxy: =========

"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-3914859194-65165198-1372580798-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-3914859194-65165198-1372580798-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

FlushDNS => terminé(e)
BITS transfer queue => 1048576 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 10533858 B
Java, Discord, Steam htmlcache, WinHttpAutoProxySvc/winhttp *.cache => 0 B
Windows/system/drivers => 2856779 B
Edge => 0 B
Chrome => 997409130 B
Firefox => 82213103 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 34598 B
NetworkService => 34598 B
Med Ali => 1973412 B

RecycleBin => 15244784 B
EmptyTemp: => 1 GB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 17:17:48 ====


Nouveau rapport FRST:

https://pjjoint.malekal.com/files.php?i ... 8u8t111210
https://pjjoint.malekal.com/files.php?i ... 6p5g9b12q7

[Malekal_morte]

J'ai l'impression que ton dossier Startup pointe sur ton dossier Temp, ce qui est assez curieux.

Touche Windows + R
tape cmd et OK
Donne le résultat de cette commande :

Code : Tout sélectionner

dir /A "%APPDATA%\Microsoft\Windows\Start Menu\Programs\"

[ali]

bonsoir
voici le resultat de la commande que vous m'avez donné:

Microsoft Windows [version 10.0.22000.2295]
(c) Microsoft Corporation. Tous droits réservés.

C:\Users\Med Ali>dir /A "%APPDATA%\Microsoft\Windows\Start Menu\Programs\"
Le volume dans le lecteur C s’appelle Windows
Le numéro de série du volume est FE22-74FD

Répertoire de C:\Users\Med Ali\AppData\Roaming\Microsoft\Windows\Start Menu\Programs

31/08/2023 17:32 <DIR> .
31/08/2023 02:51 <DIR> ..
13/09/2021 17:53 <DIR> Accessibility
05/06/2021 14:10 <DIR> Accessories
31/08/2023 02:51 <DIR> Administrative Tools
05/06/2021 14:04 1.281 Administrative Tools.lnk
31/08/2023 02:51 476 desktop.ini
05/06/2021 14:04 407 File Explorer.lnk
31/08/2023 02:48 <DIR> Internet Download Manager
05/06/2021 14:10 <DIR> Maintenance
31/08/2023 02:48 <DIR> Movavi Screen Recorder 22
29/08/2023 02:45 2.430 OneDrive.lnk
31/08/2023 02:48 <DIR> Startup
13/09/2021 17:53 <DIR> System Tools
31/08/2023 02:48 <DIR> Telegram Desktop
29/08/2023 22:13 907 Tor Browser.lnk
05/06/2021 14:10 <DIR> Windows PowerShell
31/08/2023 02:48 <DIR> WinRAR
31/08/2023 02:42 <DIR> Wondershare
5 fichier(s) 5.501 octets
14 Rép(s) 29.981.921.280 octets libres

C:\Users\Med Ali>

merci

[Malekal_morte]

ok c'est bon.
Quelque chose, semble remplir le dossier Startup.
Tu peux l'ouvrir et le vider, je pense qu'il va se re-remplir.

toujours dans la fenêtre CMD, tape :

Code : Tout sélectionner

set

Et donne le résultat pour voir.

[ali]

bonsoir
j'ai effacé le dossier startup et quand je fait la commande set voila ce qu'il me donne

Code : Tout sélectionner

Microsoft Windows [version 10.0.22000.2295]
(c) Microsoft Corporation. Tous droits réservés.

C:\Users\Med Ali>set
ALLUSERSPROFILE=C:\ProgramData
APPDATA=C:\Users\Med Ali\AppData\Roaming
CommonProgramFiles=C:\Program Files\Common Files
CommonProgramFiles(x86)=C:\Program Files (x86)\Common Files
CommonProgramW6432=C:\Program Files\Common Files
COMPUTERNAME=MOHAMEDALI
ComSpec=C:\WINDOWS\system32\cmd.exe
DriverData=C:\Windows\System32\Drivers\DriverData
FPS_BROWSER_APP_PROFILE_STRING=Internet Explorer
FPS_BROWSER_USER_PROFILE_STRING=Default
HOMEDRIVE=C:
HOMEPATH=\Users\Med Ali
LOCALAPPDATA=C:\Users\Med Ali\AppData\Local
LOGONSERVER=\\MOHAMEDALI
NUMBER_OF_PROCESSORS=12
OneDrive=C:\Users\Med Ali\OneDrive
OS=Windows_NT
Path=C:\WINDOWS\system32;C:\WINDOWS;C:\WINDOWS\System32\Wbem;C:\WINDOWS\System32\WindowsPowerShell\v1.0\;C:\WINDOWS\System32\OpenSSH\;C:\Users\Med Ali\AppData\Local\Microsoft\WindowsApps;
PATHEXT=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH;.MSC
PROCESSOR_ARCHITECTURE=AMD64
PROCESSOR_IDENTIFIER=Intel64 Family 6 Model 165 Stepping 2, GenuineIntel
PROCESSOR_LEVEL=6
PROCESSOR_REVISION=a502
ProgramData=C:\ProgramData
ProgramFiles=C:\Program Files
ProgramFiles(x86)=C:\Program Files (x86)
ProgramW6432=C:\Program Files
PROMPT=$P$G
PSModulePath=C:\Program Files\WindowsPowerShell\Modules;C:\WINDOWS\system32\WindowsPowerShell\v1.0\Modules
PUBLIC=C:\Users\Public
SESSIONNAME=Console
SystemDrive=C:
SystemRoot=C:\WINDOWS
TEMP=C:\Users\MEDALI~1\AppData\Local\Temp
TMP=C:\Users\MEDALI~1\AppData\Local\Temp
USERDOMAIN=MOHAMEDALI
USERDOMAIN_ROAMINGPROFILE=MOHAMEDALI
USERNAME=Med Ali
USERPROFILE=C:\Users\Med Ali
windir=C:\WINDOWS

C:\Users\Med Ali>

juste pour precision , il y a des fichiers qui ne veulent pas s'effacer dans le dossier startup

[ali]

re

j'ai fait ce que vous avez demandé mais quand j'éteint mon pc et je le redémarre il y a toujours quelques fenêtres qui s'ouvrent

merci

[Malekal_morte]

Ouvre une invite de commandes EN ADMINISTRATEUR : ouvrir invite de commandes sur Windows
(elle doit bien être ouverte en administrateur)
Copie/colle :

Code : Tout sélectionner

del /F /Q "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\*"

Tu as des erreurs de suppression de fichiers ?
Continue de garder la fenêtre de l'explorateur ouverte sur le dossier Startup pour t'assurer que de nouveaux fichiers ne se créent pas.

~~

Faire un nettoyage Malwarebytes Anti-Malware (MBAM ) version gratuite

[ali]

bonjour
quand je fais shell:startup le dossier temp s'affiche mais quand je fais la commende dans l'invite en étant ouvert en mode administrateur rien ne se supprime et même manuellement rien ne se supprime et j'ai remarqué que ce sont ces fichiers qui s'ouvrent en tout cas dans le bloc note au démarrage

merci

[Malekal_morte]

ok, sur ton clavier, appuyez sur la touche Windows + R
tape regedit et OK.
Déroule : Ordinateur\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders
Donne une capture d'écran.

[ali]

voici la capture d'écran comme demander
https://pjjoint.malekal.com/files.php?i ... 2q15i11l13

et voici une capture des fenetres qui s'ouvrent en plus d'une page edge

https://pjjoint.malekal.com/files.php?i ... 10w14v6l12

[Malekal_morte]

voila ton startup pointe sur TEMP, je vois pas comment cette modification a été faites.. mais c'est la source du problème.

Dans l'éditeur du registre (regedit)
Double-clic à droite sur Startup
Copie/colle C:\Users\Med\AppData\Roaming\Microsoft\Windows\Start Menu\Programs
Valide et ferme le

Redémarre le PC.
Passe la commande del comme demandée précédemment : viewtopic.php?p=543531#p543531
Et vois ce que cela donne pour les fichiers qui s'ouvrent au démarrage du PC.

[ali]

merci beaucoup ca a marché rien ne s'ouvre merci encore

[Malekal_morte]

De rien =)