Trojan:Win32/Masson.A!rfn et Trojan:Win32/Ymacco.AABF : Désinfections PC [résolu]

[quentin]

Bonjour à tous. Je suis sound designer dans la postproduction cinéma. Il m'arrive régulièrement de tester des cracks de plug-ins, DAW etc. avant de me lancer dans leur achat.
J'ai réinitialisé Windows 10 il y a deux jours et me suis lancé dans la réinstallation de nombreux programmes. Seulement voilà, manque de vigilance de ma part, je pense avoir installé plusieurs PUP et Trojan, directement dans mes dossiers Windows et dossiers Temp ... J'ai aussi repéré certains HackTools, mais dans mon dossier KMSTools pour certaines licences windows.

Voici ma démarche : je n'étais pas connecté à internet, j'ai supprimé via windows defender le Trojan (trojan Masson!A), puis j'ai effectué une analyse hors-ligne. J'ai ensuite fais une analyse complète, qui m'a détecté HackTools, que j'ai supprimé. Puis, après avoir changé les mdp présents sur le pc, j'ai exécuté Malwarebytes Anti-Malware (MBAM) qui m'a trouvé pas mal de menaces en analyse complète, que j'ai supprimé.

Je vous mets ci-dessous en pièce jointe les résultats de FRST. J'ai aussi une question : comment reconnaître le comportement malveillant d'un Keygen par rapport à des autorisations classiques qui servent à faire fonctionner le crack ?

En tout cas, un grand merci à vous et au responsable du site qui m'a appris plein de préventions utiles !!

[Malekal_morte]

Salut,

Déjà tu as essayé de cracké Windows avec KMSPico :

Date: 2024-09-05 01:52:22
Description:
Antivirus Microsoft Defender a détecté un logiciel malveillant ou potentiellement indésirable.
Nom : HackTool:MSIL/AutoKMS.I!MTB
ID : 2147743522
Gravité : Élevée
Catégorie : Outil
Chemin : file:_C:\Ratiborus KMS Tools 01.04.2020\Programs\KMSAuto Lite Portable v1.5.6\KMSAuto x64.exe
Origine de la détection : Ordinateur local
Type de détection : Concret
Source de détection : Utilisateur
Utilisateur : DESKTOP-1M01EAR\Quentin
Nom du processus : Unknown
Version de la veille de sécurité : AV: 1.417.485.0, AS: 1.417.485.0, NIS: 1.417.485.0
Version du moteur : AM: 1.1.24070.3, NIS: 1.1.24070.3

Cette détection de Trojan:Win32/Masson.A!rfn concerne le programme iZotope.
Il a été téléchargé depuis le site officiel ou c'est une version crackée ?

Date: 2024-09-04 23:47:03
Description:
Antivirus Microsoft Defender a détecté un logiciel malveillant ou potentiellement indésirable.
Nom : Trojan:Win32/Masson.A!rfn
ID : 2147746476
Gravité : Grave
Catégorie : Cheval de Troie
Chemin : file:_C:\Program Files (x86)\iZotope\Neoverb\unins000.exe; file:_C:\ProgramData\Microsoft\Windows\Start Menu\Programs\iZotope\Neutron 3\Uninstall Neutron 3.lnk; regkey:_HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\Neoverb_is1; startup:_C:\ProgramData\Microsoft\Windows\Start Menu\Programs\iZotope\Neutron 3\Uninstall Neutron 3.lnk; uninstall:_HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\Neoverb_is1
Origine de la détection : Ordinateur local
Type de détection : Concret
Source de détection : Utilisateur
Utilisateur : DESKTOP-1M01EAR\Quentin
Nom du processus : Unknown

Même chose là :

Date: 2024-09-04 22:54:25
Description:
Antivirus Microsoft Defender a détecté un logiciel malveillant ou potentiellement indésirable.
Nom : Trojan:Win32/Ymacco.AABF
ID : 2147757260
Gravité : Grave
Catégorie : Cheval de Troie
Chemin : file:_C:\Users\Quentin\AppData\Local\Temp\is-5RDOJ.tmp\iZotope Neoverb v1.0.0 CE.tmp
Origine de la détection : Ordinateur local
Type de détection : Concret
Source de détection : Protection en temps réel
Utilisateur : DESKTOP-1M01EAR\Quentin
Nom du processus : E:\Programmes\Plugins Audio\Pack iZotope Insight 2.v2.1.1+ Neoverb 1.0.0 + Stutter Edit 2.0.0 + Trash 2 v2.05d Win x32x64 ENG Préactivé\iZotope Neoverb 1.0.0\iZotope Neoverb v1.0.0 CE.exe

Par contre, ça, c'est clairement une infection active :

Date: 2024-09-04 18:47:20
Description:
Antivirus Microsoft Defender a détecté un logiciel malveillant ou potentiellement indésirable.
Pour plus d’informations, reportez-vous aux éléments suivants :
https://go.microsoft.com/fwlink/?linkid ... terprise=0
Nom : Trojan:Win32/Malgent!MSR
ID : 2147742994
Gravité : Grave
Catégorie : Cheval de Troie
Chemin : file:_C:\Users\Quentin\AppData\Local\Packages\Task Manager.exe; file:_C:\Users\Quentin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\taskmgr.lnk; process:_pid:1252,ProcessStart:133699226343202273; startup:_C:\Users\Quentin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\taskmgr.lnk
Origine de la détection : Ordinateur local
Type de détection : Concret
Source de détection : Système
Utilisateur : AUTORITE NT\Système
Nom du processus : C:\Users\Quentin\AppData\Local\Packages\Task Manager.exe
Version de la veille de sécurité : AV: 1.417.485.0, AS: 1.417.485.0, NIS: 1.417.485.0
Version du moteur : AM: 1.1.24070.3, NIS: 1.1.24070.3

~~

Ce fichier pue : C:\Windows\System32\drivers\AdminService.exe


~~

Donc on peut les virer mais si iZotope est la source de l'infection, possiblement, il va les réinstaller.
Autre solution, c'est de réinitialiser à nouveau Windows.
Arrêter de télécharger des cracks pour avoir une installation propre.
Et bien sûr changer tous tes mots de passe car ils ont été volés.


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
C:\Windows\System32\drivers\AdminService.exe
C:\Users\Quentin\AppData\Local\Packages\Task Manager.exe
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

Important :

Le contenu de la correction ne doit pas être vide et doit refléter le script donné précédemment.
Dans le cas où la correction est vide, essaye de faire la correction FRST comme ceci :

Place le programme FRST sur le bureau
Ouvre le bloc-note.
Colle le script donné plus haut.
Enregistre le fichier sur le sur le bureau de Windows (pas ailleurs) sous le nom de fixlist.txt.
Relance FRST puis Corriger.

[quentin]

Salut et merci pour toutes ces infos, je n'ai pas pris Izotope sur le site officiel, je vais réinstaller windows pour être certain de m'en débarrasser. J'ai plusieurs disques durs qui étaient connectés au PC, est-ce que c'est nécessaire que je fasse tourner une analyse dessus, ou ils ne peuvent pas être infectés ?

[Parisien_entraide]

Bonjour

Pas la peine de réinstaller Windows, sinon tu aurais pu le faire dépuis le début sans pour cela demander de l'aide ici ou ailleurs sans mobiliser quelqu'un sur son temps libre (perte de temps pour Malekal et pour toi du reste)

Il t'as été demandé (relis) d'appliquer le fix et :

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

Ensuite Malekal te diras ce qu'il faut faire ensuite

[quentin]

D'accord ça marche, c'est fait!

Je te mets en pièce jointe le fixlog

Je vois que task manager n'a pas été trouvé, est-ce un problème ?

[Parisien_entraide]

Je note que tu as installé MBAM
Il a viré des trucs ? Tu as le rapport ?
La détection du fix via ce que racontait Defender portait sur ce qu'avait détecté Defender AVANT que tu n'installes MBAM

C'est pour cela que dès qu'il y a infection il ne faut pas passer un tas de programmes espérant que telle une baguette magique cela va tout virer
Il faut analyser AVANT (comme avec FRST)
En plus cela peut apporter des dysfonctionnements

Malekal t'en dira plus

[quentin]

Oui effectivement, MBAB a viré pas mal de choses, je mets le compte rendu en pièce jointe

Au besoin, je rajoute également une analyse de FRST faite à l'instant.

[Malekal_morte]

Ca doit être bon.
Fais des analyses MBAM la semaine prochaine.


Supprime C:\FRST et ses restes.

A lire : que faire après une attaque de virus informatique.
Change tes mots de passe et assure toi que Windows Defender fonctionne correctement.

Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?

Si l'aide t'a contenu ou si les tutoriels du site t'ont aidé, tu peux prendre le temps d'évaluer le site sur Bing, ce serait sympa : Evaluer le site malekal.com

[quentin]

C'est noté pour l'avis Bing et les mdp. Un grand merci à vous deux pour votre aide !

A+

Quentin

[Malekal_morte]

de rien =)