Fenêtres PowerShell intempestives [résolu]

[PixeL]

Bonjour,

Depuis mi/fin décembre, j'ai des fenêtres PowerShell qui s'ouvrent de manière intempestive.

Même si au début il ne s'agissait que d'une apparition au démarrage du PC et d'une deuxième un peu après 19h, qui durait chacune un quart de seconde et ne perturbait pas mon travail, je me doutais bien que ce n'était pas "normal".
Le problème est que depuis une quinzaine de jours, c'est devenu 1 fenêtre toutes les 20/30 secondes, qui à présent dure entre une demi-seconde à 3 secondes, prenant le pas sur ma fenêtre active, interrompant mon travail, réduisant toutes mes fenêtres en barre des tâches ou faisant un retour Windows si j'utilise une application en plein écran (vidéo YT, film, jeu, etc...), c'est devenu ingérable.

J'ai lu beaucoup de choses sur Internet au sujet de ce genre de "virus" (je suis désolé si je n'utilise pas le bon terme je ne suis pas spécialement calé en informatique), et le seul endroit où j'ai vu les éradications fonctionner, c'est sur votre forum via les rapports de Farbar Recovery Scan Tool.

Je suis néanmoins déjà passé par plusieurs process (dont certains noms m'étaient déjà connus suite à une 1ère éradication il y a environ 10 ans sur W7) comme par exemple :
- Rkill : toujours aussi efficace pour ce qu'il a à faire
- AdwCleaner : sniff qu'est-il devenu ? Je me souviens d'une longue analyse et d'un logiciel efficace aussi, aujourd'hui plus rien ?
- RogueKiller : toujours efficace aussi mais n'a pas trouvé mon problème
- Malwarebytes Anti-Malware (MBAM) : idem AdwCleaner, sert-il encore à quelque chose ?

Je n'ai pas pu relancer ComboFix (ne fonctionnent plus depuis W8.1 apparemment ?) ni TDSSKiller (n'existe plus ?) qui m'avaient aussi bien aidé à l'époque.
J'ai par ailleurs essayé Junkware Removal Tool, quel enfer ce truc...

J'ai lu sur votre site Internet plusieurs articles dont celui-ci : https://www.malekal.com/supprimer-virus-desinfecter-pc/ et j'ai essayé les analyses en ligne d'ESET NOD32 (qui était mon ancien anti-virus) ainsi que de Kaspersky, en vain.

Enfin, je pense que ce "virus" est arrivé sur mon PC par le téléchargement d'un logiciel gratuit (4K Vidéo Downloader+) qui me permettait de récupérer les vidéos de Twitch ainsi que différentes autres plateformes avant qu'elles ne disparaissent, là où JDownloader ne fonctionne pas.

Je vous joins donc à toutes fins utiles les 3 fichiers habituels de FRST, en espérant que quelqu'un puisse m'aider.
FRST : https://pjjoint.malekal.com/files.php?r ... m13r5e12w5
Addition : https://pjjoint.malekal.com/files.php?r ... 0l14r5d811
Shortcut : https://pjjoint.malekal.com/files.php?r ... 12g10m7s11

Je vous remercie de m'avoir lu et vous souhaite un agréable week-end.

[Malekal_morte]

Bonjour,

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
Task: {C6F889B0-A6C0-4F9B-BE4E-CC5524B1DB33} - System32\Tasks\MSI Task Host - Detect_Monitor => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [493568 2023-10-27] (Microsoft Windows -> Microsoft Corporation) -> -ExecutionPolicy ByPass -WindowStyle Hidden C:\Users\William\AppData\Roaming\Winsoft\core.ps1 <==== ATTENTION
C:\Users\William\AppData\Roaming\Winsoft
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

[PixeL]

Bonjour Malekal_morte,

Merci beaucoup pour votre réponse, quelle rapidité

Voici le fichier Fixlog.txt généré par FRST : https://pjjoint.malekal.com/files.php?r ... q11o89q8c8

Vu que les fenêtres PowerShell continuent de s'ouvrir, j'ai relancé un processus d'analyse :
FRST : https://pjjoint.malekal.com/files.php?r ... p7n7n11l10
Addition : https://pjjoint.malekal.com/files.php?r ... 5m12c5r8i7
Shortcut : https://pjjoint.malekal.com/files.php?r ... q8s7s13g11

Je vous en souhaite bonne réception et vous remercie par avance.

[Malekal_morte]

ha oui j'ai loupé une ligne,



Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
Task: {D050CEDD-5ABF-4A52-8BE3-D68A004D1C4B} - System32\Tasks\Microsoft\Windows\Bluetooth\UninstallDeviceTask => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [493568 2023-10-27] (Microsoft Windows -> Microsoft Corporation) -> -ExecutionPolicy Bypass -WindowStyle Hidden -File C:\WINDOWS\mid.ps1
Task: {C6F889B0-A6C0-4F9B-BE4E-CC5524B1DB33} - System32\Tasks\MSI Task Host - Detect_Monitor => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [493568 2023-10-27] (Microsoft Windows -> Microsoft Corporation) -> -ExecutionPolicy ByPass -WindowStyle Hidden C:\Users\William\AppData\Roaming\Winsoft\core.ps1 <==== ATTENTION
C:\Users\William\AppData\Roaming\Winsoft
C:\WINDOWS\mid.ps1
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

[PixeL]

Je pense que je vais faire un malaise, il semblerait que ce soit résolu, rien ne s'est ouvert depuis le dernier redémarrage...

Voici le nouveau Fixlog.txt : https://pjjoint.malekal.com/files.php?r ... 13h7t13m14

Et voici une nouvelle analyse pour confirmation :
FRST : https://pjjoint.malekal.com/files.php?r ... z8j7k14s14
Addition : https://pjjoint.malekal.com/files.php?r ... o6m10z9e13
Shortcut : https://pjjoint.malekal.com/files.php?r ... 7u5z6n11n8

En attente de votre confirmation de la bonne nouvelle...
Merci encore !

[Malekal_morte]

yes c'est bon =)

Supprime C:\FRST et ses restes.

A lire : que faire après une attaque de virus informatique.
Change tes mots de passe et suis les instructions pour la bonne conduite pour ne plus te faire infecter.

Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?

Si l'aide t'a contenu ou si les tutoriels du site t'ont aidé, tu peux prendre le temps d'évaluer le site sur Bing, ce serait sympa : Evaluer le site malekal.com

[PixeL]

Incroyable, mille mercis !
Plus d'un mois de galères et de recherches solutionnées en quelques heures à peine !

J'ai laissé une évaluation sur Bing via MS Edge et j'ai également laissé un avis sur Trustpilot

Il me reste néanmoins 3 petites questions :
- Savez-vous quel logiciel m'a "infecté" ? Mon intuition était-elle bonne ? Que je sache si je peux continuer à utiliser ce logiciel ou non, ou si l'infection venait d'ailleurs
- Comment avez-vous identifié les lignes à problèmes ? Est-ce qu'un simple utilisateur peut se servir de FRST de manière autonome sans vous déranger spécialement ?
- Existe-t-il un fichier fixlist.txt "générique" que l'on puisse utiliser sans spécialement éradiquer un logiciel malveillant ? J'ai constaté que de nombreux paramètres étaient rétablis par défaut, action qui peut m'intéresser à refaire ultérieurement, style nettoyage par défaut

D'avance merci pour vos réponses.

[Malekal_morte]

De rien et merci pour les évaluations =)

Non je ne peux pas te dire quel logiciel, mais si tu télécharges des cracks/keygen, cela vient de là ou torrent.
Non pas de fichier fixlist.txt, il faut regarder les rapports et prendre les lignes liées à des malwares pour les faire supprimer.
Ca demande un peu d'entraînement.
Après oui, il y a des commandes par défaut que j'ai mises, type supprimer les fichiers temporaires, supprimer les proxys, etc.

[PixeL]

Bonjour Malekal_morte,

Merci pour vos nouvelles réponses.
Donc si je réutilise le code fourni dans un fichier fixlist.txt, en enlevant les 2 lignes "Task:" ainsi que les 2 lignes "C:", ça peut faire un petit exécutable d'"entretien" ?
Si tel est le cas je l'utiliserais occasionnellement, car j'ai l'impression que CCleaner ne sert plus à grand chose aujourd'hui.
Je demande ça car j'ai vu après le premier script que FRST avait trouvé des données en cache dans différents logiciels ainsi que des fichiers temporaires, choses que je pensais gérer correctement dans l'entretien de mon ordinateur.

Je vous souhaite un bon dimanche et vous remercie à nouveau.

[Malekal_morte]

Oui tu as compris.
Mais bon si c'est pour faire cela, autant utiliser l'assistant de stockage : https://www.malekal.com/nettoyer-window ... -stockage/
Perso, je n'aimais pas trop CCleaner mais depuis le rachat d'Avast! qui pompe des données c'est fini.
Tu as des équivalant comme Bleachbit ou Privazer.
Voir : https://www.malekal.com/alternative-ccl ... r-windows/

[PixeL]

Je vais lire tout ça avec attention, ainsi que les liens envoyés après l'éradication réussie
Merci beaucoup à nouveau pour votre aide incroyable, et bonne continuation !

[Malekal_morte]

De rien =)