Mon pere a appelé suite a une arnaque --> comment le debarasser de anyconnect et connect wise control ?

[ausylan]

Bonjour

suite à une série de messages inquiétants sur son ecran, mon pere a appelé fin juillet le numero qui s'affichait et a donc été piraté.
malgré une desinfection initale par mcafee puis bitdefender, il semble que des connexions anyconnect ou wise control arrivent encore.

pouvez-vous m'aider à le dépanner ?

voici les rapports FRST que je viens de générer:

FRST : https://pjjoint.malekal.com/files.php?i ... s12w13n6x7
Addition : https://pjjoint.malekal.com/files.php?i ... m85w7w11v6

d'avance merci

[Malekal_morte]

Salut,

Je pense que tu devrais désinstaller BitDefender. Trop lourd pour ce PC.
Laisse Windows Defender.


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Restriction <==== ATTENTION
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Restriction <==== ATTENTION
Task: {4186E3C0-2D9F-41F5-A039-AFF17C36131D} - System32\Tasks\McAfee\DAD.WPS.Execute.Updates => "C:\Program Files\McAfee\WPS\1.9.253.1\dad\mc-dad.exe"  (Pas de fichier)
S2 ScreenConnect Client (3597c190-5275-4e9c-b0da-3c76dd4338a9); "C:\Users\idavt\AppData\Local\Apps\2.0\ZX29CXKL.LNG\7GBZDMHX.4BB\scre..tion_2c2536e5112611c9_0006.0003_b26a164ed610efb3\ScreenConnect.ClientService.exe" "?y=Guest&h=139.99.169.205&p=8041&s=3597c190-5275-4e9c-b0da-3c76dd4338a9&k=BgIAAACkAABSU0ExAAgAABEAAAD14%2f9xKEoXqIn%2b6TuLGODomMxQJntgGiY4TJyvFoZBGkhAOSAe1AfbBL8%2fVkk%2f67fYBgHIum6VaT2rKU9rDX1HiQsvCticOJElGTJpSjCNNxsMLkr9VxMtWwgcHUg2ZZ96YxfxIXFiVmlyleXzjiioDoaWuLrryHCsNq0u%2f%2bIfC8R4hPNNJ0aqPJeOzbS%2fwA4OqFZQicEpG36QeAJk8JlMqHcFKmldzN3l7iYqVKPU6UMehXGxvzN7yGHZ761ONOZg1%2b0bzMwzULil5QRcPZQuUST35%2f0HKIYLEA2xhc4gewbnj2gZZm31ygmeph4l1M8Vws1cjss3BcNwWNsR24KB&r=&i=Untitled%20Session" "14" [X]
2024-08-17 08:29 - 2024-08-17 08:29 - 000002264 _____ C:\Users\idavt\AppData\LocalLow\faa2f8b4a15521c3f875aad5d2041b04c6a8cb50ec9a01dd4aeef76db73429d3
2024-08-14 13:40 - 2024-08-14 13:40 - 000002264 _____ C:\Users\idavt\AppData\LocalLow\b8fd2f1fbece9da199b76c572e9ee813dab9dafcc98de7f0e8b393735bde5f6f
2024-07-12 07:35 - 2024-08-30 07:59 - 000021931 _____ C:\Users\idavt\AppData\LocalLow\34c06dd9ad98d71b034a67feec264324cde43b7114e537884c0ac25bd90bc333
2024-07-12 07:35 - 2024-08-30 07:59 - 000000130 _____ C:\Users\idavt\AppData\LocalLow\70e6f063dd7ca56a19f239ec08e80b30b2dd173cc3f64d1d2252fe971c6046e7
2024-07-08 11:37 - 2024-07-09 06:57 - 000004502 _____ C:\Users\idavt\AppData\LocalLow\c715d7a01c959e861e668a16cf38634f158948fd470f25e8acba51d7369a346f
2024-07-08 11:15 - 2024-09-03 15:57 - 000000130 _____ C:\Users\idavt\AppData\LocalLow\f988856b065d3d6d790af1fc6d61b7740dbe8f6e38c197459e928aba762e32f5
2024-07-08 11:15 - 2024-09-03 15:55 - 000014573 _____ C:\Users\idavt\AppData\LocalLow\c0211b1d26933fc5570da156a3195224e53805f4fafb6cbf8e09a9431bfd1b4b
2024-07-07 18:09 - 2024-07-07 18:09 - 000002264 _____ C:\Users\idavt\AppData\LocalLow\3a1c828721d9ba6cce75949b60fd769088f1bf34809f5ff1c58d1c5c66bc1776
2024-07-07 14:19 - 2024-07-07 14:19 - 000002264 _____ C:\Users\idavt\AppData\LocalLow\d0625a684923b1b185f5ff69374b3232aaa7544ec4219c80d7942d6f9e6b93c6
2024-07-29 16:02 - 2024-09-03 15:54 - 000000000 ____D C:\ProgramData\scre..tion_2c2536e5112611c9_0006.0003_b26a164ed610efb3
2024-07-29 16:01 - 2024-07-29 16:02 - 000000000 ____D C:\Users\idavt\AppData\Local\Deployment
2024-07-01 14:49 - 2024-09-03 23:28 - 000029025 _____ C:\Users\idavt\AppData\LocalLow\2b636e2d4b2a96c64f935d804fbd78bd34fd6ff1b3a63c2bc82c6eed227aa403
2024-07-01 14:49 - 2024-09-03 23:28 - 000000130 _____ C:\Users\idavt\AppData\LocalLow\2b62011b6fbe039fe83509b2974fe89085f6de7f13640c7859ee952bae751a84
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

Important :

Le contenu de la correction ne doit pas être vide et doit refléter le script donné précédemment.
Dans le cas où la correction est vide, essaye de faire la correction FRST comme ceci :

Place le programme FRST sur le bureau
Ouvre le bloc-note.
Colle le script donné plus haut.
Enregistre le fichier sur le sur le bureau de Windows (pas ailleurs) sous le nom de fixlist.txt.
Relance FRST puis Corriger.