Bonjour,
J'ai depuis quelques semaines une fenetre windows powershell qui s'ouvre automatiquement et que j'avais continué à ignorer. Cependant, depuis quelques jours, j'ai un autre soucis, détecté par windows, un fichier généré automatiquement dans le dossier Temp à partir d'un fichier system.exe qui se trouve dans user\roaming\Logistic.
Windows Defender détecte aussi
J'ai fait un scan malewarebytes qui a détécté plusieurs bitcoin miners et j'ai complété tout ça par une analyse FRST. Les rapports ci-dessous:
https://pjjoint.malekal.com/files.php?i ... t7q5x13w13
https://pjjoint.malekal.com/files.php?i ... k10x6n12c6
Merci de votre aide
Fenetre windows powershell qui s'ouvre automatiquement et Trojan:BAT/Runner.AMS
Modérateurs : Mods Windows, Helper
- Messages : 3
- Inscription : 27 août 2024 11:56
- Messages : 19471
- Inscription : 02 juin 2012 20:48
- Localisation : Thomas Anderson : Je suis dans et en dehors de la matrice :-)
Re: Windows powershell
Bonjour
Malekal ou Angélique te fourniront un script vu qu'il y a un
C:\Users\zsega\AppData\Roaming\Webgard\cor.ps1
C'est un banal crypto-mineur GPU qui traine depuis 2 ans, et qui vient en général avec les jeux piratés, mods, ..
En plus tu quelques programmes "tombés du camion"
On voit un Trojan:BAT/Runner.AMS!MTB avec un C:\Users\zsega\AppData\Local\Temp\xxxxxxx.bat nom aléatoire) bloqué par defender mais l'action powershell est passée
Les malwares ont évolué voila ce que tu risques (tu as utorrent et un VPN qui ne sont pas là pour télécharger les dernières .iso linux)
viewtopic.php?p=544690#p544690
En plus ton Winrar n'est pas à jour (il est de ... 2009 !) Les risques : viewtopic.php?t=74424
Cela te fera de la lecture en attendant :-)
Malekal ou Angélique te fourniront un script vu qu'il y a un
C:\Users\zsega\AppData\Roaming\Webgard\cor.ps1
C'est un banal crypto-mineur GPU qui traine depuis 2 ans, et qui vient en général avec les jeux piratés, mods, ..
En plus tu quelques programmes "tombés du camion"
On voit un Trojan:BAT/Runner.AMS!MTB avec un C:\Users\zsega\AppData\Local\Temp\xxxxxxx.bat nom aléatoire) bloqué par defender mais l'action powershell est passée
Les malwares ont évolué voila ce que tu risques (tu as utorrent et un VPN qui ne sont pas là pour télécharger les dernières .iso linux)
viewtopic.php?p=544690#p544690
En plus ton Winrar n'est pas à jour (il est de ... 2009 !) Les risques : viewtopic.php?t=74424
Cela te fera de la lecture en attendant :-)
- Only Amiga... Was possible ! Lien https://forum.malekal.com/viewtopic.php?t=60830
- « Un problème sans solution est un problème mal posé. » (Albert Einstein)
- « Tous les patients mentent » (Théorème du Docteur House) Que ce soit consciemment ou inconsciemment
- Jeff Goldblum dans Informatic Park, professeur adepte de la théorie du chaos : « Vous utilisez un crack, un keygen ? Qu’est-ce qui pourrait mal tourner?? »
- Captcha : Il s'agit d'un ordinateur qui demande à un humain de prouver.. qu'il n'est pas un ordinateur ! (Les prémices du monde de demain)
- Dans le monde il y a deux sortes de gens : Ceux qui font des sauvegardes et .. Ceux qui vont faire des sauvegardes (Extrait du Credo.. Telle est la voie ! )
- « Un problème sans solution est un problème mal posé. » (Albert Einstein)
- « Tous les patients mentent » (Théorème du Docteur House) Que ce soit consciemment ou inconsciemment
- Jeff Goldblum dans Informatic Park, professeur adepte de la théorie du chaos : « Vous utilisez un crack, un keygen ? Qu’est-ce qui pourrait mal tourner?? »
- Captcha : Il s'agit d'un ordinateur qui demande à un humain de prouver.. qu'il n'est pas un ordinateur ! (Les prémices du monde de demain)
- Dans le monde il y a deux sortes de gens : Ceux qui font des sauvegardes et .. Ceux qui vont faire des sauvegardes (Extrait du Credo.. Telle est la voie ! )
- Messages : 117010
- Inscription : 10 sept. 2005 13:57
Re: Fenetre windows powershell qui s'ouvre automatiquement et Trojan:BAT/Runner.AMS
Bonjour,
Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.
Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.
Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)
Important :
Le contenu de la correction ne doit pas être vide et doit refléter le script donné précédemment.
Dans le cas où la correction est vide, essaye de faire la correction FRST comme ceci :
Place le programme FRST sur le bureau
Ouvre le bloc-note.
Colle le script donné plus haut.
Enregistre le fichier sur le sur le bureau de Windows (pas ailleurs) sous le nom de fixlist.txt.
Relance FRST puis Corriger.
2) réinitialiser les navigateurs:
==================================
Réinitialise tes navigateurs et/ou re-paramètre manuellement tes navigateurs WEB ( page de démarrage, moteur de recherche, etc ) mais aussi supprimer/désactiver les extensions inutiles/parasites.
Pour t'aider à effectuer ce ménage, clique ci-dessous sur le nom du navigateur WEB que tu utilises :
Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.
Code : Tout sélectionner
Start:
CloseProcesses:
CreateRestorePoint:
Task: {DD118252-488A-4CD3-BF54-88A59796D27C} - System32\Tasks\BlustacksHelper => C:\Users\zsega\AppData\Roaming\Logistic\System.exe (Pas de fichier) <==== ATTENTION
Task: {08292040-DFEA-445B-B93B-CEB3D14D443A} - System32\Tasks\ViGEmBusUpdater => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [455680 2024-02-16] (Microsoft Windows -> Microsoft Corporation) -> -ExecutionPolicy ByPass -WindowStyle Hidden C:\Users\zsega\AppData\Roaming\Webgard\cor.ps1 <==== ATTENTION
C:\Users\zsega\AppData\Roaming\Logistic
EmptyTemp:
C:\Users\zsega\AppData\Roaming\Webgard
RemoveProxy:
Reboot:
End:
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.
Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)
Important :
Le contenu de la correction ne doit pas être vide et doit refléter le script donné précédemment.
Dans le cas où la correction est vide, essaye de faire la correction FRST comme ceci :
Place le programme FRST sur le bureau
Ouvre le bloc-note.
Colle le script donné plus haut.
Enregistre le fichier sur le sur le bureau de Windows (pas ailleurs) sous le nom de fixlist.txt.
Relance FRST puis Corriger.
2) réinitialiser les navigateurs:
==================================
Réinitialise tes navigateurs et/ou re-paramètre manuellement tes navigateurs WEB ( page de démarrage, moteur de recherche, etc ) mais aussi supprimer/désactiver les extensions inutiles/parasites.
Pour t'aider à effectuer ce ménage, clique ci-dessous sur le nom du navigateur WEB que tu utilises :
- Réparer Mozilla Firefox (premier paragraphe)
- Réparer Google Chrome (premier paragraphe)
- Comment réparer ou réinitialiser Microsoft Edge
Première règle élémentaire de sécurité : on réfléchit puis on clic et pas l'inverse - Les fichiers/programmes c'est comme les bonbons, quand ça vient d'un inconnu, on n'accepte pas !
➔ Comment protéger son PC des virus
➔ Windows 11 : Compatibilité, Configuration minimale requise, télécharger ISO et installer Windows 11
Comment demander de l'aide sur le forum
Evaluer le site malekal.com
Partagez malekal.com : n'hésitez pas à partager les articles qui vous plaisent sur la page Facebook du site.
➔ Comment protéger son PC des virus
➔ Windows 11 : Compatibilité, Configuration minimale requise, télécharger ISO et installer Windows 11
Comment demander de l'aide sur le forum
Evaluer le site malekal.com
Partagez malekal.com : n'hésitez pas à partager les articles qui vous plaisent sur la page Facebook du site.
- Messages : 3
- Inscription : 27 août 2024 11:56
Re: Fenetre windows powershell qui s'ouvre automatiquement et Trojan:BAT/Runner.AMS
Super, merci beaucoup d'avoir pris le temps de m'aiderMalekal_morte a écrit : ↑27 août 2024 14:14 Bonjour,
Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.
Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"Code : Tout sélectionner
Start: CloseProcesses: CreateRestorePoint: Task: {DD118252-488A-4CD3-BF54-88A59796D27C} - System32\Tasks\BlustacksHelper => C:\Users\zsega\AppData\Roaming\Logistic\System.exe (Pas de fichier) <==== ATTENTION Task: {08292040-DFEA-445B-B93B-CEB3D14D443A} - System32\Tasks\ViGEmBusUpdater => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [455680 2024-02-16] (Microsoft Windows -> Microsoft Corporation) -> -ExecutionPolicy ByPass -WindowStyle Hidden C:\Users\zsega\AppData\Roaming\Webgard\cor.ps1 <==== ATTENTION C:\Users\zsega\AppData\Roaming\Logistic EmptyTemp: C:\Users\zsega\AppData\Roaming\Webgard RemoveProxy: Reboot: End:
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.
Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)
Important :
Le contenu de la correction ne doit pas être vide et doit refléter le script donné précédemment.
Dans le cas où la correction est vide, essaye de faire la correction FRST comme ceci :
Place le programme FRST sur le bureau
Ouvre le bloc-note.
Colle le script donné plus haut.
Enregistre le fichier sur le sur le bureau de Windows (pas ailleurs) sous le nom de fixlist.txt.
Relance FRST puis Corriger.
2) réinitialiser les navigateurs:
==================================
Réinitialise tes navigateurs et/ou re-paramètre manuellement tes navigateurs WEB ( page de démarrage, moteur de recherche, etc ) mais aussi supprimer/désactiver les extensions inutiles/parasites.
Pour t'aider à effectuer ce ménage, clique ci-dessous sur le nom du navigateur WEB que tu utilises :
- Réparer Mozilla Firefox (premier paragraphe)
- Réparer Google Chrome (premier paragraphe)
- Comment réparer ou réinitialiser Microsoft Edge
Ci-dessous, le resultat de correction:
https://pjjoint.malekal.com/files.php?i ... s5v7o7o6m5
- Messages : 3
- Inscription : 27 août 2024 11:56
Re: Windows powershell
Merci d'avoir pris le temps d'éplucher le rapport et surtout pour cette mise à jour securité!Parisien_entraide a écrit : ↑27 août 2024 12:29 Bonjour
Malekal ou Angélique te fourniront un script vu qu'il y a un
C:\Users\zsega\AppData\Roaming\Webgard\cor.ps1
C'est un banal crypto-mineur GPU qui traine depuis 2 ans, et qui vient en général avec les jeux piratés, mods, ..
En plus tu quelques programmes "tombés du camion"
On voit un Trojan:BAT/Runner.AMS!MTB avec un C:\Users\zsega\AppData\Local\Temp\xxxxxxx.bat nom aléatoire) bloqué par defender mais l'action powershell est passée
Les malwares ont évolué voila ce que tu risques (tu as utorrent et un VPN qui ne sont pas là pour télécharger les dernières .iso linux)
viewtopic.php?p=544690#p544690
En plus ton Winrar n'est pas à jour (il est de ... 2009 !) Les risques : viewtopic.php?t=74424
Cela te fera de la lecture en attendant :-)
Effectivement, ça fait peur! J'ai fais pas mal de nettoyage dans mes dossiers.
-
- Sujets similaires
- Réponses
- Vues
- Dernier message
-
- 7 Réponses
- 98 Vues
-
Dernier message par Malekal_morte
-
-
MediaCreationTool.bat/ Universal MediaCreationTool - Complément à l'article du site
par Parisien_entraide » » dans Programmes utiles - 0 Réponses
- 184 Vues
-
Dernier message par Parisien_entraide
-
-
- 6 Réponses
- 117 Vues
-
Dernier message par SR8409
-
- 8 Réponses
- 259 Vues
-
Dernier message par Flaquette
-
- 3 Réponses
- 117 Vues
-
Dernier message par Malekal_morte