Infection par RAT possible ?

[Prostagma22]

Bonjour a tous,

Voila ma situation, depuis hier, après le téléchargement d'un logiciel pc je me suis retrouvé avec un message apparaissant de façon récurrente sur mon PC. Je précise que je suis sous W10.

Il s'agit d'un autolt error concernant un processus svchost.exe situé dans un fichier caché (user/appdata/roaming/microsoft/windows/).
Le premier soucis est que je ne vois pas de fichier de ce nom dans le dossier concerné.
Bon, ensuite, petite analyse avec un antivirus qui n'a rien détecté.

Je me tourne donc vers vous afin de trouver une solution a ce soucis.

J'ai dore et déjà produit les fichiers d'analyses que je vous envoie ici :

https://pjjoint.malekal.com/files.php?i ... q5g12l7r12

https://pjjoint.malekal.com/files.php?i ... 14h9m8c5z9


Je vous remercie pour l'aide que vous pourrez me donner a ce sujet.
A bientot !

[Malekal_morte]

Salut,



Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

Code : Tout sélectionner

CreateRestorePoint:
CloseProcesses:
 Task: {823ACF17-B952-410B-B18D-8DB714931D80} - System32\Tasks\System\SystemCheck => C:\Users\Alexandre\AppData\Roaming\Microsoft\Windows\svchost.exe [2017-05-24] () <==== ATTENTION
 C:\Users\Alexandre\AppData\Roaming\Microsoft\Windows\svchost.exe
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

[Prostagma22]

Merci de ta réponse rapide, voilà ce que me donne le fixlist comme résultat :

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 23-11-2017
Exécuté par Alexandre (24-11-2017 11:45:11) Run:2
Exécuté depuis C:\Users\Alexandre\Desktop\FIX PC
Profils chargés: Alexandre (Profils disponibles: Alexandre)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
HKLM-x32\...\Run: [lwsUpdate] => C:\Users\La B�lugue\AppData\Roaming\tws\hkg.exe [750320 2012-01-29] (AutoIt Team)
HKLM-x32\...\Run: [Acrobat Assistant 8.0] => C:\Program Files (x86)\Adobe\Acrobat 11.0\Acrobat\Acrotray.exe [3499640 2017-03-28] (Adobe Systems Inc.)
GroupPolicy: Restriction - Chrome <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
SearchScopes: HKU\S-1-5-21-1018055643-3188441719-92899929-1000 -> {902A214A-987B-49CA-8571-9F7579ECECA2} URL = hxxp://astromenda.com/results.php?f=4&q={searchTerms}&a=ast_dsites_14_34_ch&cd=2XzuyEtN2Y1L1Qzu0DtDyCyB0EyDtCzz0A0A0DtCzy0E0DzytN0D0Tzu0SzyyCyDtN1L2XzutAtFtDtFtCtDtFtAtN1L1CzutCyEtBzytDyD1V1StN1L1G1B1V1N2Y1L1Qzu2SyC0C0E0A0AtCzzzztG0EzzyDyBtG0DtB0DyDtG0Czy0CzytGyBtBzz0B0CyE0F0E0EyEzyyE2QtN1M1F1B2Z1V1N2Y1L1Qzu2S0FtDtCtD0FyCzytDtGzy0A0AyBtGyE0D0CtDtG0B0AzytDtGtAyBzz0EyCyB0A0E0AyByBzy2Q&cr=560391413&ir=
BHO: Pas de nom -> {9421DD08-935F-4701-A9CA-22DF90AC4EA6} -> Pas de fichier
Toolbar: HKLM - Pas de nom - {9421DD08-935F-4701-A9CA-22DF90AC4EA6} - Pas de fichier
Toolbar: HKLM - Pas de nom - {4BAAC1B8-0800-42C9-8FA6-08B211F356B8} - Pas de fichier
Toolbar: HKLM-x32 - Pas de nom - {4BAAC1B8-0800-42C9-8FA6-08B211F356B8} - Pas de fichier
S2 0278341505333209mcinstcleanup; C:\Users\LABLUG~1\AppData\Local\Temp\027834~1.EXE -cleanup -nolog [X] <==== ATTENTION
2017-09-08 18:44 - 2015-04-27 13:30 - 000000000 ____D C:\ProgramData\{129b3b63-1389-f10e-129b-b3b63138ed8c}
2017-09-08 18:44 - 2015-04-27 13:29 - 000000000 ____D C:\ProgramData\{ae155765-48f3-c7f8-ae15-5576548f5d95}
2017-09-08 18:44 - 2015-04-27 13:27 - 000000000 ____D C:\ProgramData\{790a3171-bfc1-711d-790a-a3171bfcc5c6}
Task: {22696F64-55A0-4949-B843-D3F446046357} - System32\Tasks\{29A4AC5B-6D25-4B66-9C81-213D2FA25224} => C:\Windows\system32\pcalua.exe -a "C:\Temp Chrome\ConvergedIO_HPCOM_V3.exe" -d "C:\Temp Chrome"
Task: {9AE392FC-8E1B-4B92-BB9A-2ED280ED4F5F} - System32\Tasks\{8DADCA1C-0DDC-478C-8FE4-5CA13C82B6B8} => C:\Windows\system32\pcalua.exe -a "C:\Users\La B�lugue\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\O4LNJIMF\sj668fr.exe" -d "C:\Users\La B�lugue\Desktop"
Task: {A7866557-8758-485C-8AF4-A96387767C93} - System32\Tasks\SystemAugment => c:\programdata\{6686ae02-ee2a-21b3-6686-6ae02ee2b80b}\5386674832081059886b.exe <==== ATTENTION
Task: {B0980996-5097-40EB-894A-F83B161F7B5A} - \ReimageUpdater -> Pas de fichier <==== ATTENTION
Task: {CADAAE0C-1769-48BA-B005-90BDEA9A8884} - System32\Tasks\{65BD366F-1F6F-4DD0-BD3F-C8B560DCF917} => C:\Windows\system32\pcalua.exe -a "C:\Program Files (x86)\SaLePlus\m0mIwkmpjd6IPc.exe" -c /s /n /i:"ExecuteCommands;UninstallCommands" ""
Task: {DD159344-1E54-4392-856A-C797F855F9AC} - System32\Tasks\{19F0BA69-FF0C-4EA8-A35B-C28B5F81538B} => C:\Windows\system32\pcalua.exe -a "C:\Temp Chrome\WindowsPhone.exe" -d "C:\Temp Chrome"
Task: C:\WINDOWS\Tasks\SystemAugment.job => c:\programdata\{6686ae02-ee2a-21b3-6686-6ae02ee2b80b}\5386674832081059886b.exe <==== ATTENTION
c:\programdata\{6686ae02-ee2a-21b3-6686-6ae02ee2b80b}
C:\Users\La B�lugue\AppData\Roaming\tws
C:\Program Files (x86)\SaLePlus
Reg: reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SweetIM"
Hosts:
EmptyTemp:

*****************


==== Fin de Fixlog 11:45:11 ====

[angelique]

Bonjour,

Ce n'est pas du tout le fixlist.txt que Malekal t'a demandé de faire.

[Prostagma22]

Bonjour,

Oui effectivement je viens de voir ça, je suis un peu fatigué j'ai copié-collé le mauvais texte dans le notepad ( j'étais en train de lire une autre page en même temps)

Voilà le fichier correct, le fixlog généré suite a l'application du fixlist de Malekal

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 23-11-2017
Exécuté par Alexandre (24-11-2017 11:49:50) Run:3
Exécuté depuis C:\Users\Alexandre\Desktop\FIX PC
Profils chargés: Alexandre (Profils disponibles: Alexandre)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
CreateRestorePoint:
CloseProcesses:
Task: {823ACF17-B952-410B-B18D-8DB714931D80} - System32\Tasks\System\SystemCheck => C:\Users\Alexandre\AppData\Roaming\Microsoft\Windows\svchost.exe [2017-05-24] () <==== ATTENTION
C:\Users\Alexandre\AppData\Roaming\Microsoft\Windows\svchost.exe
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
*****************

Erreur: (0) Impossible de créer un point de restauration.
Processus fermé avec succès.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{823ACF17-B952-410B-B18D-8DB714931D80} => clé supprimé(es) avec succès
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{823ACF17-B952-410B-B18D-8DB714931D80} => clé supprimé(es) avec succès
C:\WINDOWS\System32\Tasks\System\SystemCheck => déplacé(es) avec succès
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\System\SystemCheck => clé supprimé(es) avec succès
C:\Users\Alexandre\AppData\Roaming\Microsoft\Windows\svchost.exe => déplacé(es) avec succès
C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.

========= RemoveProxy: =========

HKU\S-1-5-21-3336451737-3993136863-2591901236-1002\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-3336451737-3993136863-2591901236-1002\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

BITS transfer queue => 10510336 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 65026561 B
Java, Flash, Steam htmlcache => 1869080 B
Windows/system/drivers => 0 B
Edge => 22608505 B
Chrome => 489873311 B
Firefox => 0 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Users => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 128 B
systemprofile32 => 0 B
LocalService => 20480 B
NetworkService => 547664 B
Alexandre => 22077242832 B

RecycleBin => 3812 B
EmptyTemp: => 21.1 GB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 11:49:55 ====

[Malekal_morte]

voila,

Termine par un nettoyage Malwarebytes Anti-Malware (MBAM) version gratuite
Evite les analyses et nettoyages réguliers ZHPCleaner, AdwCleaner, pas utile.

Change tes mots de passe, ils ont été probablement volés.