Fenêtres Powershell qui s'ouvrent toutes seules [résolu]

[rakevsos]

Bonjour à tous,
Mon problème c'est lorsque j'utilise mon pc, plusieurs fenêtres powershell (7 ou 8) s'ouvrent toutes seulent et se referment immédiatemment. Mais ils continuent toujours de fonctionner en arrière-plan lorsque je regarde le gestionnaire des tâches. De plus ils consomment toute la ram et les cpus à 100%. Je ferme les processus powershell manuellement mais après quelques heures ils refont la même chose.

J'ai fait un scan avec frst et voici les résultats :

https://pjjoint.malekal.com/files.php?i ... 14p15d9l15
https://pjjoint.malekal.com/files.php?i ... p6u10n7p10
https://pjjoint.malekal.com/files.php?i ... 12p1411m11

Je vous remercie d'avance

[Parisien_entraide]

Bonjour

Malekal ou Angélique te diront ce qu'il en est mais


KMSpico (HackTool:Win32/AutoKMS)

A lire pour les dangers
viewtopic.php?p=530859#p530859


Sans compter les : (crackés)

Adobe Acrobat XI Pro
Adobe Photoshop 2021
Adobe Premiere Pro 2020


Au passage WinRAR 6.01 doit être mis à jour. 3 failles sont exploitées depuis l'été dernier par les créateurs de malwares
(Je dis cela pour le fichier : Ayman Hamza.rar)

Ensuite cela sera à désinstaller

- µTorrent A lire : https://www.malekal.com/utorrent-et-les-virus/
- DAEMON Tools Ultra (version crackée)

Quant à la protection anti virus.. 360 Total Security Tu peux l'oublier c'est Qihoo 360 qui est derrière. Ce n'est pas efficace, c'est gratuit pour pomper les données, et en plus il y a le gouvernement Chinois derrière
viewtopic.php?p=511696#p511696

Cela te fera un peu de lecture en attendant le passage de Malekal ou Angélique

[Malekal_morte]

Bonjour,

Ouaip infecté par des Malware PowerShell.



Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
Task: {0E9CDD39-19C8-4112-AACA-9E45DC9EDCB6} - System32\Tasks\Microsoft\Windows\Active Directory Rights Management Services Client\AD RMS Rights Policy Template Management (Manual)sUSzL => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-02-05] (Microsoft Windows -> Microsoft Corporation) -> -WindowStyle Hidden -ExecutionPolicy Bypass -File "C:\Windows\System32\91C0.tmp\91D1.tmp.ps1" <==== ATTENTION
Task: {62BD2E03-07B9-4EB6-A234-2F2B463EF62C} - System32\Tasks\Microsoft\Windows\AppListBackup\BackupKzZeqmg => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-02-05] (Microsoft Windows -> Microsoft Corporation) -> -WindowStyle Hidden -ExecutionPolicy Bypass -File "C:\Windows\System32\9B15.tmp\9B16.tmp.ps1" <==== ATTENTION
ask: {6181CD51-6AD3-4563-A668-4CAB86784E25} - System32\Tasks\Microsoft\Windows\DUSM\dusmtaskqeq1JUKX => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-02-05] (Microsoft Windows -> Microsoft Corporation) -> -WindowStyle Hidden -ExecutionPolicy Bypass -File "C:\Windows\System32\A247.tmp\A248.tmp.ps1" <==== ATTENTION
Task: {D96B9BF1-493A-42CB-BEA1-FDD62F3F9A84} - System32\Tasks\Microsoft\Windows\Flighting\ZZjco1 => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-02-05] (Microsoft Windows -> Microsoft Corporation) -> -WindowStyle Hidden -ExecutionPolicy Bypass -File "C:\Windows\System32\1B01.tmp\1B02.tmp.ps1" <==== ATTENTION
Task: {541AB38E-6FB5-48D2-A2B7-4445BBE1C8CA} - System32\Tasks\Microsoft\Windows\Management\AkDV6tL => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-02-05] (Microsoft Windows -> Microsoft Corporation) -> -WindowStyle Hidden -ExecutionPolicy Bypass -File "C:\Windows\System32\8394.tmp\8395.tmp.ps1" <==== ATTENTION
Task: {B8B1E349-125E-4ED5-9C62-A94E39230862} - System32\Tasks\Microsoft\Windows\RemoteAssistance\RemoteAssistanceTaskb9L9Uv0VT => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-02-05] (Microsoft Windows -> Microsoft Corporation) -> -WindowStyle Hidden -ExecutionPolicy Bypass -File "C:\Windows\System32\2F0B.tmp\2F0C.tmp.ps1" <==== ATTENTION
Task: {98298979-01CE-474C-BBD3-FC70E850E94A} - System32\Tasks\Microsoft\Windows\Windows Media Sharing\UpdateLibraryAPTYeA2YZ => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-02-05] (Microsoft Windows -> Microsoft Corporation) -> -WindowStyle Hidden -ExecutionPolicy Bypass -File "C:\Windows\System32\1074.tmp\1075.tmp.ps1" <==== ATTENTION
2023-12-16 15:23 - 2021-03-11 01:04 - 000000000 _RSHD C:\360SANDBOX
C:\Windows\System32\1B01.tmp
C:\Windows\System32\8394.tmp
C:\Windows\System32\91C0.tmp
C:\Windows\System32\2F0B.tmp
C:\Windows\System32\1074.tmp
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

[rakevsos]

Bonsoir,
j'ai fini les étapes avec FRST, voici le contenu du fichier fixlog:

Fix result of Farbar Recovery Scan Tool (x64) Version: 06.01.2024 01
Ran by Fenohasina (08-01-2024 21:44:02) Run:1
Running from C:\Users\Fenohasina\Downloads
Loaded Profiles: Fenohasina
Boot Mode: Normal
==============================================

fixlist content:
*****************
Start:
CloseProcesses:
CreateRestorePoint:
Task: {0E9CDD39-19C8-4112-AACA-9E45DC9EDCB6} - System32\Tasks\Microsoft\Windows\Active Directory Rights Management Services Client\AD RMS Rights Policy Template Management (Manual)sUSzL => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-02-05] (Microsoft Windows -> Microsoft Corporation) -> -WindowStyle Hidden -ExecutionPolicy Bypass -File "C:\Windows\System32\91C0.tmp\91D1.tmp.ps1" <==== ATTENTION
Task: {62BD2E03-07B9-4EB6-A234-2F2B463EF62C} - System32\Tasks\Microsoft\Windows\AppListBackup\BackupKzZeqmg => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-02-05] (Microsoft Windows -> Microsoft Corporation) -> -WindowStyle Hidden -ExecutionPolicy Bypass -File "C:\Windows\System32\9B15.tmp\9B16.tmp.ps1" <==== ATTENTION
ask: {6181CD51-6AD3-4563-A668-4CAB86784E25} - System32\Tasks\Microsoft\Windows\DUSM\dusmtaskqeq1JUKX => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-02-05] (Microsoft Windows -> Microsoft Corporation) -> -WindowStyle Hidden -ExecutionPolicy Bypass -File "C:\Windows\System32\A247.tmp\A248.tmp.ps1" <==== ATTENTION
Task: {D96B9BF1-493A-42CB-BEA1-FDD62F3F9A84} - System32\Tasks\Microsoft\Windows\Flighting\ZZjco1 => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-02-05] (Microsoft Windows -> Microsoft Corporation) -> -WindowStyle Hidden -ExecutionPolicy Bypass -File "C:\Windows\System32\1B01.tmp\1B02.tmp.ps1" <==== ATTENTION
Task: {541AB38E-6FB5-48D2-A2B7-4445BBE1C8CA} - System32\Tasks\Microsoft\Windows\Management\AkDV6tL => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-02-05] (Microsoft Windows -> Microsoft Corporation) -> -WindowStyle Hidden -ExecutionPolicy Bypass -File "C:\Windows\System32\8394.tmp\8395.tmp.ps1" <==== ATTENTION
Task: {B8B1E349-125E-4ED5-9C62-A94E39230862} - System32\Tasks\Microsoft\Windows\RemoteAssistance\RemoteAssistanceTaskb9L9Uv0VT => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-02-05] (Microsoft Windows -> Microsoft Corporation) -> -WindowStyle Hidden -ExecutionPolicy Bypass -File "C:\Windows\System32\2F0B.tmp\2F0C.tmp.ps1" <==== ATTENTION
Task: {98298979-01CE-474C-BBD3-FC70E850E94A} - System32\Tasks\Microsoft\Windows\Windows Media Sharing\UpdateLibraryAPTYeA2YZ => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-02-05] (Microsoft Windows -> Microsoft Corporation) -> -WindowStyle Hidden -ExecutionPolicy Bypass -File "C:\Windows\System32\1074.tmp\1075.tmp.ps1" <==== ATTENTION
2023-12-16 15:23 - 2021-03-11 01:04 - 000000000 _RSHD C:\360SANDBOX
C:\Windows\System32\1B01.tmp
C:\Windows\System32\8394.tmp
C:\Windows\System32\91C0.tmp
C:\Windows\System32\2F0B.tmp
C:\Windows\System32\1074.tmp
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End:̩
*****************

Processes closed successfully.
Restore point was successfully created.
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{0E9CDD39-19C8-4112-AACA-9E45DC9EDCB6}" => not found
"C:\Windows\System32\Tasks\Microsoft\Windows\Active Directory Rights Management Services Client\AD RMS Rights Policy Template Management (Manual)sUSzL" => not found
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\Active Directory Rights Management Services Client\AD RMS Rights Policy Template Management (Manual)sUSzL" => not found
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{62BD2E03-07B9-4EB6-A234-2F2B463EF62C}" => not found
"C:\Windows\System32\Tasks\Microsoft\Windows\AppListBackup\BackupKzZeqmg" => not found
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\AppListBackup\BackupKzZeqmg" => not found
ask: {6181CD51-6AD3-4563-A668-4CAB86784E25} - System32\Tasks\Microsoft\Windows\DUSM\dusmtaskqeq1JUKX => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-02-05] (Microsoft Windows -> Microsoft Corporation) -> -WindowStyle Hidden -ExecutionPolicy Bypass -File "C:\Windows\System32\A247.tmp\A248.tmp.ps1" <==== ATTENTION => Error: No automatic fix found for this entry.
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{D96B9BF1-493A-42CB-BEA1-FDD62F3F9A84}" => not found
"C:\Windows\System32\Tasks\Microsoft\Windows\Flighting\ZZjco1" => not found
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\Flighting\ZZjco1" => not found
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{541AB38E-6FB5-48D2-A2B7-4445BBE1C8CA}" => not found
"C:\Windows\System32\Tasks\Microsoft\Windows\Management\AkDV6tL" => not found
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\Management\AkDV6tL" => not found
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{B8B1E349-125E-4ED5-9C62-A94E39230862}" => not found
"C:\Windows\System32\Tasks\Microsoft\Windows\RemoteAssistance\RemoteAssistanceTaskb9L9Uv0VT" => not found
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\RemoteAssistance\RemoteAssistanceTaskb9L9Uv0VT" => not found
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{98298979-01CE-474C-BBD3-FC70E850E94A}" => not found
"C:\Windows\System32\Tasks\Microsoft\Windows\Windows Media Sharing\UpdateLibraryAPTYeA2YZ" => not found
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\Windows Media Sharing\UpdateLibraryAPTYeA2YZ" => not found

"C:\360SANDBOX" folder move:

Could not move "C:\360SANDBOX" => Scheduled to move on reboot.


"C:\Windows\System32\1B01.tmp" folder move:

C:\Windows\System32\1B01.tmp => moved successfully

"C:\Windows\System32\8394.tmp" folder move:

C:\Windows\System32\8394.tmp => moved successfully

"C:\Windows\System32\91C0.tmp" folder move:

C:\Windows\System32\91C0.tmp => moved successfully

"C:\Windows\System32\2F0B.tmp" folder move:

C:\Windows\System32\2F0B.tmp => moved successfully

"C:\Windows\System32\1074.tmp" folder move:

C:\Windows\System32\1074.tmp => moved successfully
C:\Windows\System32\Drivers\etc\hosts => moved successfully
Hosts restored successfully.

========= RemoveProxy: =========

"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => removed successfully
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => removed successfully
"HKU\S-1-5-21-3542687858-497124992-4070590396-1002\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => removed successfully
"HKU\S-1-5-21-3542687858-497124992-4070590396-1002\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => removed successfully


========= End of RemoveProxy: =========


=========== EmptyTemp: ==========

FlushDNS => completed
BITS transfer queue => 1835008 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 540885025 B
Java, Discord, Steam htmlcache, WinHttpAutoProxySvc/winhttp *.cache => 189539950 B
Windows/system/drivers => 26526439 B
Edge => 0 B
Chrome => 1248009025 B
Firefox => 1612375684 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 1219196208 B
systemprofile32 => 1219196208 B
LocalService => 1219540224 B
NetworkService => 1219542628 B
Fenohasina => 15564333178 B

RecycleBin => 0 B
EmptyTemp: => 22.4 GB temporary data Removed.

================================

Result of scheduled files to move (Boot Mode: Normal) (Date&Time: 08-01-2024 21:47:44)

C:\360SANDBOX => Could not move

==== End of Fixlog 21:47:44 ====

Si nécessaire le lien du fichier
https://pjjoint.malekal.com/files.php?i ... 5p7b11x5y8

[rakevsos]

@Parisien_entraide
Merci beaucoup pour ces conseils, je vais tâcher de les appliquer.

[Malekal_morte]

Il faut bien faire une nouvelle analyse FRST pour vérifier qu'il n'y a plus rien.

[rakevsos]

Bonjour, j'ai fait un nouveau nouveau scan et voici les résultats:
https://pjjoint.malekal.com/files.php?i ... 4c13b15f10
https://pjjoint.malekal.com/files.php?i ... 5s9z8j5i12
https://pjjoint.malekal.com/files.php?i ... p14x14r7w7

[Malekal_morte]

ok c'est good,

Supprime C:\FRST et ses restes.

A lire : que faire après une attaque de virus informatique.
Change tes mots de passe et suis les instructions pour la bonne conduite pour ne plus te faire infecter.

Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?

Si l'aide t'a contenu ou si les tutoriels du site t'ont aidé, tu peux prendre le temps d'évaluer le site sur Bing, ce serait sympa : Evaluer le site malekal.com

[rakevsos]

D'accord,
Merci beaucoup à vous pour toute votre aide. Je vais bien suivre tous ces conseils.
Pour l'évaluationc'est déjà fait.
Bonne journée à vous

[Malekal_morte]

Merci à toi !