Ground.exe Virus:Win32/Grenam.A

[kis2a]

bonjour suite a une recherche sur google , sur ground.exe , je suis tomber sur se sujet

viewtopic.php?t=66029

et je suis donc arriver chez vous


je monte un pc en multiboot , les logiciel sont pas tres legit , mais un de celui ci contient se ground

donc :

1er : comment trouver le logiciel qui contient se ground ?

car meme en installe les log petit a petit et verife , j'ai l'impression qu'il s'active pas immédiatement ?

2eme : voici les rapport FRST : https://pjjoint.malekal.com/files.php?i ... 7r7x9r6q10


Merci a vous

[Parisien_entraide]

Bonsoir

On ne sait ce que tu as mis en lien car il y a un mot de passe donc à refaire

La procédure de Malekal
__________________
Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST,
Attendre la fin du scan, un message indique que l'analyse est terminée.

Trois rapports FRST seront générés :


* FRST.txt
* Shortcut
* Additionnal.txt




Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ ou https://textup.fr si cela ne passe pas et en retour donne les 3 liens qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

(Les liens bleus mènent à des tutoriels explicatifs pas à pas, clic dessus pour avoir les instructions plus précises à suivre).

IMPORTANT : Une fois les rapports crées, n'installe pas de programmes, n'efface rien, ne prends pas d’initiatives, parce que tu "penses que", que "tu crois que " etc. Bref tu ne touches plus à rien

[kis2a]

j'ai mis en .rar , compresser les deux dossier sur win 7 et win 10 , passe : 1234

je dois reupload 1 par 1 donc ?

[kis2a]

win 7 :

https://pjjoint.malekal.com/files.php?i ... w6k12z6x12

https://pjjoint.malekal.com/files.php?i ... 2b13s12n15

https://pjjoint.malekal.com/files.php?i ... x9q11z10u5

Win 10

https://pjjoint.malekal.com/files.php?i ... 3u12v14w15

https://pjjoint.malekal.com/files.php?i ... 13z14r10s5

https://pjjoint.malekal.com/files.php?i ... r9e5y12y14

https://pjjoint.malekal.com/files.php?i ... g10z7p6b15

[Parisien_entraide]

Malekal ou Angélique vont s'occuper de ton cas

Concernant "Ground"

Copier coller de Malekal

Virus:Win32/Grenam.A est un virus de compagnon écrit en Delphi, soit 534 016 octets de taille, et infecte des fichiers avec des extensions .EXE.
La nature exacte des virus de compagnon varie;
Ce virus particulier remplace les fichiers de programme légitimes avec une copie de lui-même, puis lorsqu'un utilisateur infecté exécute le programme, le virus fonctionne également.

En fait Il infecte TOUS les .exe qu’il peut atteindre et en fait des Ground.exe qui leur sont propres. Il peut également infecter des éléments du dossier Windows
Mais outre les .exe, il peut s'attaquer aux .ico ou jpg est leur colle une taille de 522 Ko

Je ne serais pas étonné que ton Revo Unistaller qui est en erreur soit touché (si il s'agit d'une version légale sinon il pourrait etre la cause vu que la .dll en erreur est révélatrice d'un soucis de .. clé

Mais tu as des programmes comme sur D:\Images.Dossiers.Perso\easybcd_2-4_fr_33420.exe qui sont touchés


Quant à savoir quel programme/jeux a délivré cela.. Tu ne peux pas
C'est lié à un programme ou jeux cracké généralement qui contenait ce cadeau

A la base c'est un mineur de Bitcoin (mais pas pour toi) et il communique vers l'extérieur une fois le boulot fait
Détails techniques : https://www.joesandbox.com/analysis/873106/0/html

Du reste tu devrais te méfier avec les cracks, car il ne s'agit que d'un "simple" mineur de bitcoins.
Il y a pire : Le stealer
A lire en attendant le nettoyage (et ce qui précède ou suit si tu as le temps)
viewtopic.php?p=544690#p544690

Edit : J'ai renommé ton sujet

[kis2a]

merci de la reponse ,

Revo Unistaller ,et EasyBCD je pense pas je l'utilise sur un autre pc (sous win 11 ), et je n'est pas se soucis

[Malekal_morte]

Ouaip donc un "vrai" virus ..


Pour Windows 7 :

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
2024-04-30 10:12 - 2013-02-19 03:09 - 034566271 _____ () C:\Program Files\ecmtitanium1.61.rar
2024-04-30 10:15 - 2023-03-25 19:41 - 000756736 ___SH () C:\Program Files\gRenault.Clip.Tool.2.6.exe
2024-04-30 10:15 - 2024-04-30 10:23 - 000534016 _____ () C:\Program Files\Renault.Clip.Tool.2.6.exe
2024-05-02 08:18 - 2024-05-02 08:18 - 000534016 _____ () C:\Users\guillaume\AppData\Roaming\Ground.exe
Task: {4A60E31F-A174-42BF-A2D0-D85974A2A058} - System32\Tasks\Driver Booster Scheduler => "C:\Users\guillaume\Desktop\Portable\Portable\App\DriverBooster\Scheduler.exe"  /scheduler (Pas de fichier)
Task: {105A39C1-69F7-4537-BC32-F83E23D2A757} - System32\Tasks\Driver Booster SkipUAC (guillaume) => "C:\Users\guillaume\Desktop\Portable\Portable\App\DriverBooster\DriverBooster.exe"  /skipuac (Pas de fichier)
Task: {27CFCEDC-27A6-4171-A835-7CAB097A5722} - System32\Tasks\Driver Booster Update => "C:\Users\guillaume\Desktop\Portable\Portable\App\DriverBooster\AutoUpdate.exe"  /auto (Pas de fichier)
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

Important :

Le contenu de la correction ne doit pas être vide et doit refléter le script donné précédemment.
Dans le cas où la correction est vide, essaye de faire la correction FRST comme ceci :

Place le programme FRST sur le bureau
Ouvre le bloc-note.
Colle le script donné plus haut.
Enregistre le fichier sur le sur le bureau de Windows (pas ailleurs) sous le nom de fixlist.txt.
Relance FRST puis Corriger.

~~

Pour Windows 10 :

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
Startup: C:\Users\Guillaume\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Ground.lnk [2024-05-02]
2024-05-02 09:16 - 2024-05-02 09:16 - 000534016 ___SH C:\Users\Guillaume\AppData\Roaming\Ground.exe
2024-05-02 08:53 - 2024-05-02 08:53 - 000000000 ____D C:\WINDOWS\system32\Tasks\GoogleSystem
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

Important :

Le contenu de la correction ne doit pas être vide et doit refléter le script donné précédemment.
Dans le cas où la correction est vide, essaye de faire la correction FRST comme ceci :

Place le programme FRST sur le bureau
Ouvre le bloc-note.
Colle le script donné plus haut.
Enregistre le fichier sur le sur le bureau de Windows (pas ailleurs) sous le nom de fixlist.txt.
Relance FRST puis Corriger.

~~

Tu peux utiliser Kaspersky Removal tools sur les deux PC : https://www.malekal.com/supprimer-virus-kaspersky/
Voir s'il peut nettoyer les exécutables.

[kis2a]

j'ai viré le win10 pour le moment

voici le rapport du win7

Code : Tout sélectionner

Résultats de correction de Farbar Recovery Scan Tool (x86) Version: 19-04-2024 01
Exécuté par guillaume (03-05-2024 09:34:09) Run:1
Exécuté depuis C:\Users\guillaume\Desktop
Profils chargés: guillaume
Mode d'amorçage: Normal

==============================================

fixlist contenu:
*****************
Start:
CloseProcesses:
CreateRestorePoint:
2024-04-30 10:12 - 2013-02-19 03:09 - 034566271 _____ () C:\Program Files\ecmtitanium1.61.rar
2024-04-30 10:15 - 2023-03-25 19:41 - 000756736 ___SH () C:\Program Files\gRenault.Clip.Tool.2.6.exe
2024-04-30 10:15 - 2024-04-30 10:23 - 000534016 _____ () C:\Program Files\Renault.Clip.Tool.2.6.exe
2024-05-02 08:18 - 2024-05-02 08:18 - 000534016 _____ () C:\Users\guillaume\AppData\Roaming\Ground.exe
Task: {4A60E31F-A174-42BF-A2D0-D85974A2A058} - System32\Tasks\Driver Booster Scheduler => "C:\Users\guillaume\Desktop\Portable\Portable\App\DriverBooster\Scheduler.exe"  /scheduler (Pas de fichier)
Task: {105A39C1-69F7-4537-BC32-F83E23D2A757} - System32\Tasks\Driver Booster SkipUAC (guillaume) => "C:\Users\guillaume\Desktop\Portable\Portable\App\DriverBooster\DriverBooster.exe"  /skipuac (Pas de fichier)
Task: {27CFCEDC-27A6-4171-A835-7CAB097A5722} - System32\Tasks\Driver Booster Update => "C:\Users\guillaume\Desktop\Portable\Portable\App\DriverBooster\AutoUpdate.exe"  /auto (Pas de fichier)
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End:̩
*****************

Processus fermé avec succès.
Le Point de restauration a été créé avec succès.
C:\Program Files\ecmtitanium1.61.rar => déplacé(es) avec succès
C:\Program Files\gRenault.Clip.Tool.2.6.exe => déplacé(es) avec succès
C:\Program Files\Renault.Clip.Tool.2.6.exe => déplacé(es) avec succès
C:\Users\guillaume\AppData\Roaming\Ground.exe => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{4A60E31F-A174-42BF-A2D0-D85974A2A058}" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{4A60E31F-A174-42BF-A2D0-D85974A2A058}" => supprimé(es) avec succès
C:\Windows\System32\Tasks\Driver Booster Scheduler => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Driver Booster Scheduler" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{105A39C1-69F7-4537-BC32-F83E23D2A757}" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{105A39C1-69F7-4537-BC32-F83E23D2A757}" => supprimé(es) avec succès
C:\Windows\System32\Tasks\Driver Booster SkipUAC (guillaume) => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Driver Booster SkipUAC (guillaume)" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{27CFCEDC-27A6-4171-A835-7CAB097A5722}" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{27CFCEDC-27A6-4171-A835-7CAB097A5722}" => supprimé(es) avec succès
C:\Windows\System32\Tasks\Driver Booster Update => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Driver Booster Update" => supprimé(es) avec succès
C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.

========= RemoveProxy: =========

"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-2272193849-1931503174-2572427777-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-2272193849-1931503174-2572427777-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

FlushDNS => terminé(e)
BITS transfer queue => 8388608 B
DOMStoree, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 16779309 B
Java, Discord, Steam htmlcache, WinHttpAutoProxySvc/winhttp *.cache => 0 B
Windows/system/drivers => 458638 B
Edge => 0 B
Firefox => 182124994 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Public => 0 B
ProgramData => 0 B
systemprofile => 29555478 B
LocalService => 29621706 B
NetworkService => 29687934 B
guillaume => 692537508 B

RecycleBin => 0 B
EmptyTemp: => 943.3 MB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 09:34:22 ====

[Parisien_entraide]

Rappel :

IMPORTANT : Une fois les rapports crées, n'installe pas de programmes, n'efface rien, ne prends pas d’initiatives, parce que tu "penses que", que "tu crois que " etc. Bref tu ne touches plus à rien

Une fois que Malekal aurai indiqué que tout est OK, tu pourras faire ce que tu veux mais dans l'absolu tant que la procédure n'est pas terminée tu ne touches à RIEN, même pour virer Win10

Sinon quel est l'intéret de faire un rapport FRST, pour qu'ensuite Malekal PRENNE DU TEMPS d'analyser (il est comme toi il a une vie et peu de temps libre) , si c'est pour tout virer avant la fin de la procédure ?

Autant tout formater et tout réinstaller proprement dans ce cas là