PC privacy shield et connect wise control [résolu]

[JoeBouvier]

Bonjour à tous, et merci à ce type de forum d'exister.
Une personne de ma famille a imprudemment laissé une société fictive prendre la main sur son ordi, et la délester de 300€.
J'ai fait l'analyse sur FRST, et exploré le site pjjoint pour essayer de comprendre comment lire le rapport, mais apparemment le système d'analyse automatique est désactivé.
Je me tourne donc vers vous : pourriez-vous me dire ce que vous pensez de ces 3 rapports?
Et notamment comment désactiver PC privacy shield et connect wise control, qui n'ont rien à faire ici?
A noter que la société fictive swiss-it-development a fait tout ça le 17 juin 2022, si ça peut aider à cibler les éléments indésirables.

Merci d'avance.

FRST.txt :
https://pjjoint.malekal.com/files.php?i ... 12m13c6o13

Shortcut.txt :
https://pjjoint.malekal.com/files.php?i ... 10w13z6w12

Addition.txt :
https://pjjoint.malekal.com/files.php?i ... 5i7j14s8z7

[Malekal_morte]

Salut,

Il s'agit d'un message d'arnaque de support téléphonique qui vise à te faire croire que ton PC est infecté pour te faire appeler un support téléphonique....
Le but de ce support est de te conforter dans le fait que ton ordinateur est infecté, pour va te faire acheter des logiciels à des prix élevés, souvent au final 200 euros.
Ces messages cherchant à bloquer le navigateur WEB et indiquant que le PC est infecté viennent de publicités sur des sites de streaming/torrent illégaux, les publicités sur Facebook en diffusent aussi.



Ils l'ont abonné à Avast!... faudra faire attention car il peut y avoir des renouvellement automatique.

Désinstalle :

App Explore
Avast Premium Sécurité(/quote]

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

CloseProcesses:
CreateRestorePoint:
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Restriction <==== ATTENTION
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Restriction <==== ATTENTION
HKU\S-1-5-21-1933231312-4088983690-846722633-1001\...\Run: [PCPrivacyShield2020] => "C:\Program Files (x86)\PC Privacy Shield 2020\PCPrivacyShield2020.exe" minimized (Pas de fichier)
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Restriction <==== ATTENTION
Task: {6C8EB300-4F3C-4DD2-86A9-CACAFF4E0220} - System32\Tasks\App Explorer => C:\Users\miras\AppData\Local\Host App Service\Engine\HostAppServiceUpdater.exe [7887392 2022-04-23] (SweetLabs Inc -> SweetLabs, Inc) <==== ATTENTION
Task: {C2A01FAC-1239-42DA-9A1E-272037D7A3B0} - System32\Tasks\Opera scheduled Autoupdate 1643279579 => C:\Users\miras\AppData\Local\Programs\Opera\launcher.exe [2518008 2022-07-05] (Opera Norway AS -> Opera Software)
R2 ScreenConnect Client (b6a652aa-c19e-48d9-a29f-b80e85afc000); C:\Users\miras\AppData\Local\Apps\2.0\4L0GQ3P3.NHD\2KY0OQXL.JLG\scre..tion_2c2536e5112611c9_0006.0003_f11be525c43d8ba1\ScreenConnect.ClientService.exe [90768 2022-06-17] (ScreenConnect Software -> )
2022-07-14 12:40 - 2022-07-14 12:40 - 000002357 _____ C:\Users\miras\Desktop\scre..tion_2c2536e5112611c9_0006.0003_f11be525c43d8ba1 - Raccourci.lnk
2022-06-17 13:09 - 2022-06-17 13:09 - 014030720 _____ (ShieldApps) C:\Users\miras\Downloads\PCPrivacyShield2020Setup.exe
2022-06-17 13:09 - 2022-06-17 13:09 - 000000048 _____ C:\Users\miras\AppData\Local\computerid
2022-06-17 13:09 - 2022-06-17 13:09 - 000000000 ____D C:\Users\miras\AppData\Roaming\PC Privacy Shield 2020
2022-06-17 13:01 - 2022-07-15 12:02 - 000000000 ____D C:\ProgramData\scre..tion_2c2536e5112611c9_0006.0003_f11be525c43d8ba1
2022-06-17 13:01 - 2022-06-17 13:01 - 000000000 ____D C:\Users\miras\AppData\Local\Apps\2.0
C:\Program Files (x86)\PC Privacy Shield 2020
Reg: reg delete HKU\S-1-5-21-1933231312-4088983690-846722633-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run /v "PCPrivacyShield2020" /f
EmptyTemp:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

[JoeBouvier]

Ok merci beaucoup.
Voici le fichier résultant.

Tu suggères de supprimer la version payante d'Avast? Bien vu, car après enquête approfondie :-) c'est en effet cette boîte swiss it development qui l'a installée aussi.
Ca ne sert à rien c'est bien cela?


------------
Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 14-07-2022
Exécuté par miras (16-07-2022 10:35:00) Run:1
Exécuté depuis C:\Users\miras\Downloads
Profils chargés: miras
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
CloseProcesses:
CreateRestorePoint:
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Restriction <==== ATTENTION
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Restriction <==== ATTENTION
HKU\S-1-5-21-1933231312-4088983690-846722633-1001\...\Run: [PCPrivacyShield2020] => "C:\Program Files (x86)\PC Privacy Shield 2020\PCPrivacyShield2020.exe" minimized (Pas de fichier)
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Restriction <==== ATTENTION
Task: {6C8EB300-4F3C-4DD2-86A9-CACAFF4E0220} - System32\Tasks\App Explorer => C:\Users\miras\AppData\Local\Host App Service\Engine\HostAppServiceUpdater.exe [7887392 2022-04-23] (SweetLabs Inc -> SweetLabs, Inc) <==== ATTENTION
Task: {C2A01FAC-1239-42DA-9A1E-272037D7A3B0} - System32\Tasks\Opera scheduled Autoupdate 1643279579 => C:\Users\miras\AppData\Local\Programs\Opera\launcher.exe [2518008 2022-07-05] (Opera Norway AS -> Opera Software)
R2 ScreenConnect Client (b6a652aa-c19e-48d9-a29f-b80e85afc000); C:\Users\miras\AppData\Local\Apps\2.0\4L0GQ3P3.NHD\2KY0OQXL.JLG\scre..tion_2c2536e5112611c9_0006.0003_f11be525c43d8ba1\ScreenConnect.ClientService.exe [90768 2022-06-17] (ScreenConnect Software -> )
2022-07-14 12:40 - 2022-07-14 12:40 - 000002357 _____ C:\Users\miras\Desktop\scre..tion_2c2536e5112611c9_0006.0003_f11be525c43d8ba1 - Raccourci.lnk
2022-06-17 13:09 - 2022-06-17 13:09 - 014030720 _____ (ShieldApps) C:\Users\miras\Downloads\PCPrivacyShield2020Setup.exe
2022-06-17 13:09 - 2022-06-17 13:09 - 000000048 _____ C:\Users\miras\AppData\Local\computerid
2022-06-17 13:09 - 2022-06-17 13:09 - 000000000 ____D C:\Users\miras\AppData\Roaming\PC Privacy Shield 2020
2022-06-17 13:01 - 2022-07-15 12:02 - 000000000 ____D C:\ProgramData\scre..tion_2c2536e5112611c9_0006.0003_f11be525c43d8ba1
2022-06-17 13:01 - 2022-06-17 13:01 - 000000000 ____D C:\Users\miras\AppData\Local\Apps\2.0
C:\Program Files (x86)\PC Privacy Shield 2020
Reg: reg delete HKU\S-1-5-21-1933231312-4088983690-846722633-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run /v "PCPrivacyShield2020" /f
EmptyTemp:
̩
*****************

Processus fermé avec succès.
Erreur: (0) Impossible de créer un point de restauration.
HKLM\SOFTWARE\Microsoft\Windows Defender\\"DisableAntiSpyware"="0" => valeur restauré(es) avec succès
HKLM\SOFTWARE\Microsoft\Windows Defender\\"DisableAntiVirus"="0" => valeur restauré(es) avec succès
"HKU\S-1-5-21-1933231312-4088983690-846722633-1001\Software\Microsoft\Windows\CurrentVersion\Run\\PCPrivacyShield2020" => supprimé(es) avec succès
HKLM\SOFTWARE\Policies\Mozilla => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{6C8EB300-4F3C-4DD2-86A9-CACAFF4E0220}" => non trouvé(e)
"C:\Windows\System32\Tasks\App Explorer" => non trouvé(e)
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\App Explorer" => non trouvé(e)
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{C2A01FAC-1239-42DA-9A1E-272037D7A3B0}" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{C2A01FAC-1239-42DA-9A1E-272037D7A3B0}" => supprimé(es) avec succès
C:\Windows\System32\Tasks\Opera scheduled Autoupdate 1643279579 => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Opera scheduled Autoupdate 1643279579" => supprimé(es) avec succès
HKLM\System\CurrentControlSet\Services\ScreenConnect Client (b6a652aa-c19e-48d9-a29f-b80e85afc000) => supprimé(es) avec succès
ScreenConnect Client (b6a652aa-c19e-48d9-a29f-b80e85afc000) => service supprimé(es) avec succès
C:\Users\miras\Desktop\scre..tion_2c2536e5112611c9_0006.0003_f11be525c43d8ba1 - Raccourci.lnk => déplacé(es) avec succès
C:\Users\miras\Downloads\PCPrivacyShield2020Setup.exe => déplacé(es) avec succès
C:\Users\miras\AppData\Local\computerid => déplacé(es) avec succès
"C:\Users\miras\AppData\Roaming\PC Privacy Shield 2020" => non trouvé(e)
C:\ProgramData\scre..tion_2c2536e5112611c9_0006.0003_f11be525c43d8ba1 => déplacé(es) avec succès
C:\Users\miras\AppData\Local\Apps\2.0 => déplacé(es) avec succès
"C:\Program Files (x86)\PC Privacy Shield 2020" => non trouvé(e)

========= reg delete HKU\S-1-5-21-1933231312-4088983690-846722633-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run /v "PCPrivacyShield2020" /f =========

L'op‚ration a r‚ussi.



========= Fin de Reg: =========


=========== EmptyTemp: ==========

BITS transfer queue => 0 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 446624094 B
Java, Discord, Steam htmlcache => 0 B
Windows/system/drivers => 67517110 B
Edge => 0 B
Chrome => 0 B
Firefox => 1240965091 B
Opera => 313958832 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 1137 B
systemprofile32 => 1137 B
LocalService => 77973 B
NetworkService => 217197 B
miras => 67068861 B

RecycleBin => 214581 B
EmptyTemp: => 2 GB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 10:35:35 ====

[Malekal_morte]

La société abonne à des logiciels payants et fait payer un support annuelle.
Donc c'était sûr que cela venait d'eux.

Tu peux le laisser pour profiter de l'abonnement (mais faudra l'annuler ou opposition à la banque).
Sinon tu le désinstalle pour laisser Windows Defender comme antivirus, il est largement suffisant.

supprime C:\FRST et le reste utilisé.

Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?

[JoeBouvier]

Encore merci pour tes précieux conseils !