Virus / Double Accent circonflexe (Trojan:MSIL/Malgent!MSR / Crypt.Trojan.MSIL.DDS)

[Bonny]

Hello !

J'ai vu qu'un post similaire existait déjà sur le forum mais j'ignore si chaque cas est unique et s'il est plus avisé de créer un nouveau post. Dans le doute..

Récemment mon anti malware (Malwarebytes) a détecté des virus, qui ont été nettoyés. Depuis il ne détecte plus rien.
Cependant, lorsque j'appuie sur la touche de l'accent circonflexe, l'accent est systématiquement doublé.
Au démarrage du PC le problème n'est pas constaté mais après quelques minutes le double circonflexe revient.

Depuis la lecture de l'autre post cela m'inquiète.
Pourriez-vous m'aider à détecter s'il y a problème et m'orienter vers les bons rapports à générer ?

Merci infiniment !

[angelique]

Bonjour/Bonsoir,

• Télécharge sur ton Bureau pas ailleurs FRST64.EXE:
  
  
  
  La page de téléchargement : le tutoriel FRST ou FRST
  
  
  
  !! Placez le programme sur le bureau et pas ailleurs!! Par commodité
  
  -------------
• Exécute FRST64.EXE, accepte le disclaimer , Cochez tous les options et cliquez sur le bouton Scan.
  Le scan se lance, les éléments scannés apparaissent en haut.
  
  -------------
• Une fois le scan terminé, une popup vous le signale et deux rapports sont générés : FRST.txt et Addition.txt ( Ces deux rapports se trouvent sur le bureau avec le programme FRST. )
  
  
  -------------
  
  Utilise le site http://pjjoint.malekal.com/ pour envoyer tes rapports, et poste les liens dans ta prochaine réponse pour analyse.

[Bonny]

Bonjour Angélique,

Merci pour les liens !
J'ai bien tous les rapports sur mon bureau, mais le site https://pjjoint.malekal.com/ ne me permet pas de les upload.
Quand je clique sur "Envoyer le fichier" cela me ramène sur la meme page sans uploader le fichier/afficher de lien.

Puis-je utiliser un autre outils ou coller les rapports ici ?

Merci !

[Parisien_entraide]

Bonsoir

Essaie sur https://textup.fr

[Bonny]

Merci beaucoup !

Voici pour le FRST : https://textup.fr/733697BN
Addition : https://textup.fr/733698BD
Shortcut : https://textup.fr/733699SO


J'ai trouvé dans le gestionnaire de tache une application appelée "TOTAL COMMANDER". Je l'ai fermée et ai supprimé les fichiers en lien, ce qui a temporairement corrigé le problème de l'accent circonflexe. Mais dès que je redémarre, il revient !

Merci encore pour ton aide

[Parisien_entraide]

Malekal ou Angélique te diront ce qu'il en est vu qu'il y avait des trucs qui trainaient

J'ai regardé en diagonale, mais je n'ai pas regardé si c'est installé ou pas , mais il y a des traces

Hola VPN -
C est Bright VPN qui est derrière
viewtopic.php?p=529187#p529187

uVPN - Qui se dit "

VPN gratuit et sécurisé pour la confidentialité en ligne

.... Ben voyons... Ce"Truc" gratuit est Chinois a une adresse dans un immeuble d'affaires à Hong Kong (en fait une boite aux lettres ) et le seul contact est.. une adresse mail

et en plus tu fais du scrapping...

Le fichier hosts rempli c'est pour les programmes "adobe" ?

[Bonny]

Merci déjà pour ce premier check.

Aïe pour les VPN. Tout comme pour le "scrapping", si j'ai bien compris la définition Google, c'était pour le boulot et pas du tout malveillant (si ça peut rassurer..)

Et pour le fichier hosts je suppose que oui !

[Parisien_entraide]

Malekal ou Angélique te diront des les désinstaller ( Avec Revo Uninstaller de préférence) mais pour l'instant ne touche à rien, il faut laisser les rapports en état

[Malekal_morte]

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
Task: {ADB05DB7-59D2-4596-9AA7-457EBED5C3A9} - System32\Tasks\UpdateTimer1 => C:\Users\SadIm\AppData\Roaming\Microwave\Vault\TelemetryHandlers\winupdates\DC64.exe [765000000 2023-08-22] (Ghisler Software GmbH) [Fichier non signé] <==== ATTENTION
2023-08-28 10:27 - 2023-08-28 10:27 - 000003788 _____ C:\WINDOWS\system32\Tasks\ChromeServiceHealthCheck
2023-08-28 10:27 - 2023-08-28 10:27 - 000003592 _____ C:\WINDOWS\system32\Tasks\UpdateTimer1
2023-08-28 10:27 - 2023-08-28 10:27 - 000000000 ____D C:\Users\SadIm\AppData\Roaming\Microwaves
2023-08-28 10:27 - 2023-08-28 10:27 - 000000000 ____D C:\Users\SadIm\AppData\Roaming\Microwave
2023-08-28 10:27 - 2023-08-28 10:27 - 000000000 ____D C:\Users\SadIm\AppData\Roaming\guestaddon
S3 dosvc; C:\WINDOWS\System32\svchost.exe [79920 2022-05-07] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ATTENTION (pas de ServiceDLL)
S3 dosvc; C:\WINDOWS\SysWOW64\svchost.exe [48096 2022-05-07] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ATTENTION (pas de ServiceDLL)
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)



2) réinitialiser les navigateurs:
==================================
Réinitialise tes navigateurs et/ou re-paramètre manuellement tes navigateurs WEB ( page de démarrage, moteur de recherche, etc ) mais aussi supprimer/désactiver les extensions inutiles/parasites.
Pour t'aider à effectuer ce ménage, clique ci-dessous sur le nom du navigateur WEB que tu utilises :

• Réparer Mozilla Firefox (premier paragraphe)
• Réparer Google Chrome (premier paragraphe)
• Comment réparer ou réinitialiser Microsoft Edge

3)
Faire un nettoyage Malwarebytes Anti-Malware (MBAM ) version gratuite

4)
Refais un scan FRST et donne les nouveaux rapports via pjjoint

[Bonny]

Hello Malekal,

Merci pour les instructions.

1) Fait pour la correction & redémarrage
2) Navigateur réinitialisé
3) Scan fait, 6 menaces identifiées (je les avais déjà vu il y a un moment, elles n'apparaissaient plus après un nettoyage mais elles sont revenues) Au cas où ici est le report Malwarebytes avant la mise en quarantaine :

Code : Tout sélectionner

Malwarebytes
www.malwarebytes.com

-Détails du journal-
Date de l'analyse: 04/10/2023
Durée d'analyse: 09:59
Fichier journal: e908b552-628b-11ee-bae8-047c16cb7a7a.json

-Informations du logiciel-
Version: 4.6.2.281
Version de composants: 1.0.2131
Version de pack de mise à jour: 1.0.75937
Licence: Gratuit

-Informations système-
Système d'exploitation: Windows 11 (Build 22621.2134)
Processeur: x64
Système de fichiers: NTFS
Utilisateur: PC-BONNY\SadIm

-Résumé de l'analyse-
Type d'analyse: Analyse des menaces
Analyse lancée par: Manuel
Résultat: Terminé
Objets analysés: 263337
Menaces détectées: 6
Menaces mises en quarantaine: 0
Temps écoulé: 3 min, 49 s

-Options d'analyse-
Mémoire: Activé
Démarrage: Activé
Système de fichiers: Activé
Archives: Activé
Rootkits: Désactivé
Heuristique: Activé
PUP: Détection
PUM: Détection

-Détails de l'analyse-
Processus: 0
(Aucun élément malveillant détecté)

Module: 0
(Aucun élément malveillant détecté)

Clé du registre: 3
Trojan.BitCoinMiner, HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TREE\GoogleUpdateTaskMachineQC, Aucune action de l'utilisateur, 621, 1047226, , , , , ,
Trojan.BitCoinMiner, HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TASKS\{26EE50C8-A44B-4C7A-A610-51395CA41617}, Aucune action de l'utilisateur, 621, 1047226, , , , , ,
Trojan.BitCoinMiner, HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\LOGON\{26EE50C8-A44B-4C7A-A610-51395CA41617}, Aucune action de l'utilisateur, 621, 1047226, , , , , ,

Valeur du registre: 0
(Aucun élément malveillant détecté)

Données du registre: 0
(Aucun élément malveillant détecté)

Flux de données: 0
(Aucun élément malveillant détecté)

Dossier: 0
(Aucun élément malveillant détecté)

Fichier: 3
Trojan.BitCoinMiner, C:\WINDOWS\SYSTEM32\TASKS\GoogleUpdateTaskMachineQC, Aucune action de l'utilisateur, 621, 1047226, 1.0.75937, , ame, , 7E2DC57CADAE5E0AB4570AEB37AECCFA, DA74B9212C1459612EDA03BAA62744C9AB2730FFBD73DA7B3B1AF90D650EEEEF
Crypt.Trojan.MSIL.DDS, C:\USERS\SADIM\APPDATA\ROAMING\GOOGLEUP\CHROME\UPDATERHOST.EXE, Aucune action de l'utilisateur, 1000002, 0, 1.0.75937, 4EE722B45D79566524374F21, dds, 02501622, 3BA62A7A6CF4F02EBAF8ED35DF96FB68, 0A634ABB980EAB55FB3A43EC5D915AD45979197E4EE9360A1695522C91F1A8FA
Crypt.Trojan.MSIL.DDS, C:\USERS\SADIM\APPDATA\ROAMING\MICROWAVE\VAULT\TELEMETRYHANDLERS\WINUPDATES\DISM64.EXE, Aucune action de l'utilisateur, 1000002, 0, 1.0.75937, 4EE722B45D79566524374F21, dds, 02501622, 3BA62A7A6CF4F02EBAF8ED35DF96FB68, 0A634ABB980EAB55FB3A43EC5D915AD45979197E4EE9360A1695522C91F1A8FA

Secteur physique: 0
(Aucun élément malveillant détecté)

WMI: 0
(Aucun élément malveillant détecté)

4) Après le nettoyage Malwarebytes:
FRST : https://textup.fr/733785wK
Addition : https://textup.fr/733786h1
Shortcut : https://textup.fr/733787Py

Dernier point qui n'a peut être rien à voir mais après la correction du point 1 et le redémarrage je n'ai plus accès à internet :
"L'adresse DNS de forum.malekal.com est introuvable" DNS_PROBE_STARTED, la résolution de problème me retourne "Votre serveur DNS est peut être indisponible".

[Malekal_morte]

Je te donne une nouvelle correction FRST.
Tu peux faire la correction et donner le résultat de fixlog pour qu'on vérifie bien que les éléments soient supprimés.

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
Task: {ADB05DB7-59D2-4596-9AA7-457EBED5C3A9} - System32\Tasks\UpdateTimer1 => C:\Users\SadIm\AppData\Roaming\Microwave\Vault\TelemetryHandlers\winupdates\DC64.exe [765000000 2023-08-22] (Ghisler Software GmbH) [Fichier non signé] <==== ATTENTION
2023-08-28 10:27 - 2023-08-28 10:27 - 000003788 _____ C:\WINDOWS\system32\Tasks\ChromeServiceHealthCheck
2023-08-28 10:27 - 2023-08-28 10:27 - 000003592 _____ C:\WINDOWS\system32\Tasks\UpdateTimer1
2023-08-28 10:27 - 2023-08-28 10:27 - 000000000 ____D C:\Users\SadIm\AppData\Roaming\Microwaves
2023-08-28 10:27 - 2023-08-28 10:27 - 000000000 ____D C:\Users\SadIm\AppData\Roaming\Microwave
2023-08-28 10:27 - 2023-08-28 10:27 - 000000000 ____D C:\Users\SadIm\AppData\Roaming\guestaddon
S3 dosvc; C:\WINDOWS\System32\svchost.exe [79920 2022-05-07] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ATTENTION (pas de ServiceDLL)
S3 dosvc; C:\WINDOWS\SysWOW64\svchost.exe [48096 2022-05-07] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ATTENTION (pas de ServiceDLL)
Task: {4B5FB5DC-91AB-4E2A-8AC7-9762FDF45BB9} - System32\Tasks\ChromeServiceHealthCheck => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [491520 2023-07-13] (Microsoft Windows -> Microsoft Corporation) -> -NoProfile -ExecutionPolicy Bypass -WindowStyle hidden -File "C:\Users\SadIm\AppData\Roaming\guestaddon\services\watchdog.ps1"
C:\Users\SadIm\AppData\Roaming\guestaddon
Hosts:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

[Bonny]

C'est fait, voici pour le Fixlog : https://textup.fr/733795zz

Et si besoin les nouveaux fichiers FRST/Addition/Shortcut:
FRST : https://textup.fr/733800cH
Addition : https://textup.fr/733801uP
Shortcut : https://textup.fr/733802GL

Merci !

[Malekal_morte]

ok mieux, il reste ça.



Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
Task: {1925BD77-9115-40A7-ADC6-4FC926AAEFB4} - System32\Tasks\GoogleUpdateTaskMachineQC => C:\Users\SadIm\AppData\Roaming\GoogleUp\Chrome\updaterhost.exe [10388992 2023-10-04] () [Fichier non signé] <==== ATTENTION
C:\Users\SadIm\AppData\Roaming\GoogleUp
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)


~~

Ensuite, un nouveau scan MBAM histoire de.
S'il y a plus rien, change tous tes mots de passe (ou si tu as un autre PC, tu avec celui là), car ils ont été volés.

[Bonny]

Not yet il semblerait :(

Correctif & redémarrage faits.
Le Fixlog: https://textup.fr/733819si

Malwarebytes scan, retour des menaces (5) (détail du scan : https://textup.fr/733820sZ)
Je ne les ai pas mis en quarantaine/supprimés avant le scan FRST.

FRST : https://textup.fr/733821FL
Addition : https://textup.fr/733822Ii
Shortcut : https://textup.fr/733823DP

Merci de ta patience

[Malekal_morte]

Il en reste encore.

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
Task: {1925BD77-9115-40A7-ADC6-4FC926AAEFB4} - System32\Tasks\GoogleUpdateTaskMachineQC => C:\Users\SadIm\AppData\Roaming\GoogleUp\Chrome\updaterhost.exe [10388992 2023-10-04] () [Fichier non signé] <==== ATTENTION
C:\Users\SadIm\AppData\Roaming\GoogleUp
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\ChromeHealthChecker.bat [2023-07-06] () [Fichier non signé]
Startup: C:\Users\SadIm\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\DC64.exe [2023-08-22] (Ghisler Software GmbH) [Fichier non signé]
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)