Programme suspect au démarrage de Windows

[Dargoll]

Bonjour à toutes et à tous,

Je me suis récemment connecté au PC de mon frère pour l'aider à mettre à jour ses pilotes etc.

En m'attardant sur les programmes qui s'ouvrent au démarrage de Windows, j'ai remarqué deux choses étranges, je mets le screen en PJ.

Il s'agit des deux premiers programmes sur le dessus. J'ai tenté de vous faire un scan FRST mais je n'arrive malheureusement pas à télécharger l'outil en question.

Capture d’écran 2024-10-10 152616.png

Avez-vous une suggestion ? (RAS au niveau de l'antivirus Windows)

Bien à vous,
Loïc

[Malekal_morte]

Salut,

C'est impossible de statuer si c'est malveillant ou pas, même si les noms sont suspicieux car on ne sait pas sur quel exécutable cela point.
Dans quel dossier, ils se trouvent, etc, etc.

Pour vérifier le système :

Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Attendre la fin du scan, un message indique que l'analyse est terminée.
Télécharge et lance le scan FRST,

Trois rapports FRST seront générés :
* FRST.txt
* Shortcut
* Additionnal.txt



Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.
Tu peux aussi attacher les fichiers de rapports FRST dans une nouvelle réponse avec l'éditeur avancé.



Ensuite en bas pièce-jointe.



(Les liens bleus mènent à des tutoriels explicatifs pas à pas, clic dessus pour avoir les instructions plus précises à suivre).

NOTE : tu peux aussi envoyer les rapports sur https://pjjoint.malekal.com et donner les liens en retour.

[Dargoll]

Bien le bonjour !

Merci pour cette réponse, je suis parvenu à le faire, je sais pas pourquoi je n'arrivais pas à DL l'outil avant ... C'est chose faite !

Voici les 3 rapports demandés :

FRST : https://pjjoint.malekal.com/files.php?i ... t6i13x11u7

Additional : https://pjjoint.malekal.com/files.php?i ... 13d12y7c12

Shortcut : https://pjjoint.malekal.com/files.php?i ... 11l9u13z12

Merci pour le temps que vous accordez à la lecture de ces fichiers

Bien à vous,
Loïc

[Malekal_morte]

Pas l'impression que ce soit malveillant.


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-2430329972-1241648896-736806957-1001\...\Run: [AF_uuid_2139460] => 5e7d8444-6ef2-40f4-957d-349d8a30d3d9 (Pas de fichier)
HKU\S-1-5-21-2430329972-1241648896-736806957-1001\...\Run: [AF_counter_2139460] => 1 (Pas de fichier)
Task: {E8A5E3E5-D38A-4579-AC06-92859F831EC7} - System32\Tasks\CCleaner Update => C:\Program Files\CCleaner\CCUpdate.exe  (Pas de fichier)
C:\Users\33623\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\fheoggkfdfchfphceeifdbepaooicaho
2020-05-11 11:56 - 2020-05-11 11:56 - 000000000 _____ () C:\Users\33623\AppData\Local\{A67AD6D1-4A76-46A9-B138-40111F53A3C5}
Hosts:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

Important :

Le contenu de la correction ne doit pas être vide et doit refléter le script donné précédemment.
Dans le cas où la correction est vide, essaye de faire la correction FRST comme ceci :

Place le programme FRST sur le bureau
Ouvre le bloc-note.
Colle le script donné plus haut.
Enregistre le fichier sur le sur le bureau de Windows (pas ailleurs) sous le nom de fixlist.txt.
Relance FRST puis Corriger.

[Dargoll]

Hello Malekal_Morte !

Merci beaucoup à toi pour ce retour, je vais m'atteler à cela, je ferai un retour à la suite, en tout cas, merci du temps accordé !

[Dargoll]

Hello à toutes et à tous,

J'ai procédé au fix, voici le fixlog :

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 16-09-2024
Exécuté par 33623 (12-10-2024 12:24:08) Run:1
Exécuté depuis C:\Users\33623\Desktop
Profils chargés: 33623
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
Start:
CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-2430329972-1241648896-736806957-1001\...\Run: [AF_uuid_2139460] => 5e7d8444-6ef2-40f4-957d-349d8a30d3d9 (Pas de fichier)
HKU\S-1-5-21-2430329972-1241648896-736806957-1001\...\Run: [AF_counter_2139460] => 1 (Pas de fichier)
Task: {E8A5E3E5-D38A-4579-AC06-92859F831EC7} - System32\Tasks\CCleaner Update => C:\Program Files\CCleaner\CCUpdate.exe (Pas de fichier)
C:\Users\33623\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\fheoggkfdfchfphceeifdbepaooicaho
2020-05-11 11:56 - 2020-05-11 11:56 - 000000000 _____ () C:\Users\33623\AppData\Local\{A67AD6D1-4A76-46A9-B138-40111F53A3C5}
Hosts:
RemoveProxy:
Reboot:
End:
*****************

Processus fermé avec succès.
Le Point de restauration a été créé avec succès.
"HKU\S-1-5-21-2430329972-1241648896-736806957-1001\Software\Microsoft\Windows\CurrentVersion\Run\\AF_uuid_2139460" => supprimé(es) avec succès
"HKU\S-1-5-21-2430329972-1241648896-736806957-1001\Software\Microsoft\Windows\CurrentVersion\Run\\AF_counter_2139460" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Boot\{E8A5E3E5-D38A-4579-AC06-92859F831EC7}" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{E8A5E3E5-D38A-4579-AC06-92859F831EC7}" => supprimé(es) avec succès
C:\WINDOWS\System32\Tasks\CCleaner Update => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\CCleaner Update" => supprimé(es) avec succès

"C:\Users\33623\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\fheoggkfdfchfphceeifdbepaooicaho" Dossier déplacer:

C:\Users\33623\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\fheoggkfdfchfphceeifdbepaooicaho => déplacé(es) avec succès
C:\Users\33623\AppData\Local\{A67AD6D1-4A76-46A9-B138-40111F53A3C5} => déplacé(es) avec succès
C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.

========= RemoveProxy: =========

"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-2430329972-1241648896-736806957-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-2430329972-1241648896-736806957-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========



Le système a dû redémarrer.

==== Fin de Fixlog 12:24:22 ====


Merci à vous pour cette aide !!

[Malekal_morte]

ok,

Normalement tu ne devrais plus voir les entrées.
Il reste celle de Blitz, tu peux la supprimer avec ce script, si besoin.


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-2430329972-1241648896-736806957-1001\...\Run: [com.blitz.app] => C:\Users\33623\AppData\Local\Programs\Blitz\Blitz.exe --autostart (Pas de fichier)
Hosts:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.