Voix qui me signale un virus

[Anomander]

Bonjour, je viens vers vous car il m'arrive un truc assez bizarre.
Lundi, alors que je suis sur mon ordi, une voix m'alerte que mon ordi est infecté par un virus et que me mots de passes et carte de crédits sont compromis. J'ai fait une analyse Norton qui trouve 3 virus W97M.Downloader et les supprime.
Hier, j'ai à nouveau eu le même message, mais cette fois Norton n'a rien trouvé, Malwarebytes non plus.
Je n'ai noté aucun impact sur les performances de mon ordi, mais ce message m'inquiète quand même.

[Malekal_morte]

Salut,

C'est quand tu surfs ?
Ca te demande d'appeler un numéro de tel ?

Pour voir :


Suis le tutoriel FRST.
(et bien prendre le temps de lire afin d'appliquer correctement - tout y est expliqué).
Télécharge et lance le scan FRST, cela va générer trois rapports FRST :
* FRST.txt
* Shortcut.txt
* Additionnal.txt

Envoie, comme expliqué, ces trois rapports sur le site http://pjjoint.malekal.com et en retour donne les trois liens pjjoint qui mènent à  ses rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

[Anomander]

Merci de prendre en charge mon problème
J'avais chrome d'ouvert au moment ou ça s'est déclenché, mais le message se coupe avant la fin et ne donne pas de n° de tel ou autre.
Voici les rapports :
FRST
http://pjjoint.malekal.com/files.php?id ... 15b10t8f12

Addition
http://pjjoint.malekal.com/files.php?id ... 2x7m10o6c5

Shortcut
http://pjjoint.malekal.com/files.php?id ... c8q11t5j13

[Malekal_morte]

Tu as volontairement installé Google Chrome Canary ?
Car tu as déjà Google Chrome "normal".

[Anomander]

Oui c'est pour une extension qui ne fonctionne pas avec chrome normal, mais je surfe pas dessus.

[Malekal_morte]

Pas l'air infecté en tout cas.

C'est juste bizarre ces deux cmd.exe ouvert sur ton rapport FRST.txt :

(Microsoft Corporation) C:\Windows\SysWOW64\cmd.exe
(Microsoft Corporation) C:\Windows\SysWOW64\cmd.exe

Touche Windows + R
tape taskmgr.exe
En bas à gauche clic pour afficher tous les processus.
Tu as des cmd.exe qui tournent ?

[Anomander]

Oui, il y en a deux avec comme description "interprétateur de commande windows" et comme nom d'utilisateur "martin bureau"
J'ai eu à nouveau le message ce soir: après avoir redémarré l'ordi j'ai ouvert une page chrome normal et chrome canary et c'est là qu'il s'est déclenché.

[Malekal_morte]

Lance Process Explorer : https://www.malekal.com/2010/11/12/tuto ... -explorer/
Chercher les cmd.exe
double-clic dessus,

donne le contenu de PATH.

Si tu fais clic droit et kill sur ces cmd.exe
ils reviennent ?

[Anomander]

Le path est le même pour les 2:

C:\Windows\SysWOW64\cmd.exe

Par contre ils sont à la tête d'une liste déroulante:
Pour l'un si on déroule on a le processus
C:\Program Files (x86)\Norton Security\Engine\22.2.0.31\conathst.exe

Et l'autre:
C:\Program Files (x86)\LastPass\nplastpass.exe

En faisant kill ils n'ont pas l'air de revenir pour l'instant.
Edit: En fait ils se relancent dès que j'ouvre chrome normal sachant que je n'ai ni norton identity safe ni lastpass sur canary.

[Malekal_morte]

La voix, elle t'a juste dit que le PC est infecté ?
Vraiment rien d'autres ? pas de numéro de tel, elle t'a pas dit d'aller sur un site en particulier ?

Le PC n'a pas l'air infecté, donc j'ai vraiment l'impression que ça ressemble plus à une arnaque (faux message) pour te faire faire quelque chose.

Tu as quoi comme extension sur ton Google Chrome ?

Eventuellement :

Fais un scan en ligne NOD32 : https://www.malekal.com/scan-antivirus-ligne-nod32/
Enregistre le rapport
Envoie le sur http://pjjoint.malekal.com
Donne le lien ici.

[Anomander]

Extensions chrome:
adblock, flashblock, ghostery (depuis hier), lastpass, neater bookmarks, personnal blocklist, IDM Integration Module, Norton Identity Safe, Norton Security Toolbar, WOT.

La voix ne donne pas de numéro de téléphone mais elle se coupe avant la fin du message.
Je reviendrai avec le rapport ESET.

[Anomander]

Le scan n'a rien trouvé.
Par rapport aux cmd.exe c'est normal finalement?

[Anomander]

Ce matin dans le gestionnaire de taches j'ai remarqué 3 processus qui n'avaient rien remarqué dans le champ "description": csrss.ex, winlogon.exe et atieclxx.exe. Quand je regarder le path avec process explorer ça m'indique [Error opening process]. C'est normal ?

[Malekal_morte]

oui car il faut lancer Process Explorer en administrateur.
Clic droit / executer en tant qu'administrateur.

[Anomander]

Ok, merci. Bon, j'ai pas eu de message hier, et apparemment l'ordi n'est pas infecté donc j'imagine qu'on peut considérer qu'il n'y a pas de réel problème. Je repasserai si jamais le message arrive de nouveau.
Merci de ton aide.