Adobe.rar et VLC.rar au démarrage

[Kathy1]

Bonjour
Depuis quelques mois, à chaque démarrage j'ai deux encadrés qui s'affichent :
Windows Scrit Host Can not find script file C:\$RECYCLEBIN\Adobe.rar et Vice.rar (voir pièce jointe).
Je travaille sur Windows 10.
Protection de l'ordi : Trend Micro Internet Security for Windows.
Merci d'avance pour votre aide.
Kathy

[angelique]

Bonjour/Bonsoir,

c'est un problème qui vient généralement après l'insertion d'un support USB infecté.

• Télécharge sur ton Bureau pas ailleurs FRST.EXE:
  
  
  
  La page de téléchargement : le tutoriel FRST ou FRST
  
  
  
  !! Placez le programme sur le bureau et pas ailleurs!!
• Exécute FRST.EXE, accepte le disclaimer , Cochez tous les options et cliquez sur le bouton Scan.
  Le scan se lance, les éléments scannés apparaissent en haut.
  
  -------------
• Une fois le scan terminé, une popup vous le signale et deux rapports sont générés : FRST.txt et Addition.txt ( Ces deux rapports se trouvent sur le bureau avec le programme FRST. )
  
  -------------
  
  Utilise le site http://pjjoint.malekal.com/ pour envoyer ton rapport, et poste le lien dans ta prochaine réponse pour analyse.

[Kathy1]

Bonjour Angelique

Je vous remercie pour ces informations.

Comment savoir quel est mon support USB infecté ( clef , disque dur externe,...) ?

J'ai procédé à l'analyse avec FRST et voici les liens des résultats affichés sur le bureau

https://pjjoint.malekal.com/files.php?i ... 2x7z8z10f9
https://pjjoint.malekal.com/files.php?i ... 3j13i7k8r7
https://pjjoint.malekal.com/files.php?i ... 14z14k9x68

[angelique]

Adobe.rar et VLC.rar sont liés à des virus par clé USB.
Par contre, tu as aussi des programmes parasites issus d'InstallCore.

~~

Tu t'es fait avoir par un installer InstallCore, une plateforme de PUP (programmes potentiellement indésirables) qui est proposé sur des sites de téléchargement ou à travers de fausses mises à jour Java, Flash.
Cela propose d'installer Chromium pour forcer Yahoo!, ByteFence, Avast!, McAfee Security Advisor ou McAfee LiveSafe.
Pour ne plus te faire avoir à lire : PUPs InstallCore


~~

Tu as des programmes qui ont été installés à l'achat de l'ordinateur ou installés par la suite et qui sont pas forcément utiles.
Ils encombrent Windows et peuvent le ralentir.
Tu peux donc les désinstaller.
Vas dans le Panneau de configuration
puis programmes et fonctionnalités.
Désinstalle :

Amazon Assistant
App Explorer
Chromium
Java
Yahoo! Powered

Télécharge à coté de FRST.EXE , PAS AILLEURS !!!!! le fichier fixlist.txt en pièce jointe en bas du message.

➯ Relance FRST(clic droit exécuter en tant qu'administrateur) et clic sur le bouton corriger/fix
Un redémarrage peut être nécessaire (pas obligatoire).
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message avec ton commentaire.

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnements et endommager Windows /!\




2) réinitialiser les navigateurs:
==================================
Réinitialise tes navigateurs et/ou re-paramètre manuellement tes navigateurs WEB ( page de démarrage, moteur de recherche, etc ) mais aussi supprimer/désactiver les extensions inutiles/parasites.
Pour t'aider à effectuer ce ménage, clique ci-dessous sur le nom du navigateur WEB que tu utilises :
* Réinitialiser et réparer Mozilla Firefox
* Réinitialiser et réparer Google Chrome
* Réinitialiser et réparer Internet Explorer
(Ne pas utiliser Zeok)

3) Nettoyer Les virus par clé USB

1°) Brancher toutes les clefs USB et autres périphériques amovibles.
* TéléchargerRemediate VBS Worm
* Lance Remediate VBS Worm puis choisis l'option B
* Taper la lettre de la clef USB, par exemple, E et entrée
ATTENTION: NE PAS INDIQUER LE LECTEUR DE TON DISQUE DUR !
* Va dans "Mon ordinateur" puis disque "C", un rapport "Rem-VBS.log" doit s'y trouver.
Ouvre ce rapport avec le bloc-notes et copie/colle le contenu ici dans une prochaine réponse.

Pour te protéger des infections amovibles type Wscript (Windows Script Host) et virus sur clé usb.
Télécharger et installer Marmiton
Clic sur Désactiver au niveau de Windows Script Host puis modifier pour prendre en compte les modifications.
Marmiton va bloquer les scripts malicieux (VBS, VBE, JavaScript etc).

Pour nettoyer les disques amovibles infecté par un virus par clé USB, suivre dans l'ordre les étapes du tutoriel : insère un à un tes clefs USB et disques durs externes que tu as pour les nettoyer. Envoie ensuite les rapports sur https://pjjoint.malekal.com/ et donne les liens menant à ces rapports pour que l'on puisse les consulter.

[Kathy1]

1). Pas possible de désinstaller Chromium et Yahoo Powered ( les icônes modifier et désinstaller restent gris clair et le clic est inefficace)

2). J'ai utilisé FRST. exe et je mets le fichier texte obtenu ci après :

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 10-08-2019
Exécuté par kathy (10-08-2019 16:36:17) Run:1
Exécuté depuis C:\Users\kathy\Desktop
Profils chargés: kathy (Profils disponibles: kathy)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
CreateRestorePoint:
ShortcutWithArgument: C:\Users\kathy\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.LNK -> C:\Program Files\internet explorer\iexplore.exe (Microsoft Corporation) -> hxxp://logiciens.com/go/10
HKU\S-1-5-21-3130282987-3759527691-1077907125-1001\...\Run: [Chromium] => c:\users\kathy\appdata\local\chromium\application\chrome.exe [1068544 2016-03-19] (The Chromium Authors) [Fichier non signé]
HKU\S-1-5-21-3130282987-3759527691-1077907125-1001\...\Run: [GoogleChromeAutoLaunch_A4A906A0C00969C69010D4C22F51FE8C] => C:\Users\kathy\AppData\Local\chromium\Application\chrome.exe [1068544 2016-03-19] (The Chromium Authors) [Fichier non signé]
Startup: C:\Users\kathy\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Claire.lnk [2019-03-06]
Startup: C:\Users\kathy\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Help.lnk [2019-03-06]
ShortcutTarget: Help.lnk -> C:\$.RECYCLEBIN\svshost.exe (Microsoft Corporation) [Fichier non signé]
GroupPolicy: Restriction ? <==== ATTENTION
Task: {17BFFA12-A833-4AD8-BC36-E1B72AA879A9} - System32\Tasks\Yahoo! Powered ronaf => C:\Windows\system32\wscript.exe "C:\ProgramData\{2E80EBE3-A4C2-6125-2204-FF67B84674A9}\doli.txt" "687474703a2f2f7761676e672e636f6d" "433a5c50726f6772616d446174615c7b32453830454245332d413443322d363132352d323230342d4646363742383436373441397d5c6c6972617261" "433a5c50726f6772616d446174615c7b32453830454245332d413443322d363132352d323230 (l'élément de données a 78 caractères en plus). <==== ATTENTION
Task: {76FD3B7B-97C3-4836-8235-8FAA20D71BF8} - System32\Tasks\{2E243D74-4C12-D03D-9D83-20CB5DBA8441} => C:\Users\kathy\AppData\Roaming\{395C0~1\HELPER~1.EXE <==== ATTENTION
Task: {BA596AF1-0CF5-4011-B238-4DD26D256CBB} - System32\Tasks\{5A0E0463-7F52-170C-61F3-661C247169CE} => C:\Users\kathy\AppData\Local\{479F7~1\Helper.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\Yahoo! Powered ronaf.job => Wscript.exe C:\ProgramData\{2E80EBE3-A4C2-6125-2204-FF67B84674A9}\doli.txt <==== ATTENTION
Task: C:\WINDOWS\Tasks\{2E243D74-4C12-D03D-9D83-20CB5DBA8441}.job => C:\Users\kathy\AppData\Roaming\{395C0~1\HELPER~1.EXE <==== ATTENTION
Task: C:\WINDOWS\Tasks\{5A0E0463-7F52-170C-61F3-661C247169CE}.job => C:\Users\kathy\AppData\Local\{479F7~1\Helper.exe <==== ATTENTION
CHR HomePage: Default -> hxxps://start-pagesearch.com/?s=acer&m=home&brw=ch
CHR StartupUrls: Default -> "hxxps://start-pagesearch.com/?s=acer&m=start&brw=ch"
R2 Amazon Assistant Service; C:\Program Files (x86)\Amazon\Amazon Assistant\amazonAssistantService.exe [105136 2018-02-22] (Amazon Services LLC -> )
C:\Program Files (x86)\Amazon
C:\$.RECYCLEBIN
REG: reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{42FA793A-4E94-4FA3-A638-9B4B6B1D6A25}" /f
Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\StartupFolder /v "McAfee Security Scan Plus.lnk" /f
EmptyTemp:


*****************

Erreur: (0) Impossible de créer un point de restauration.
C:\Users\kathy\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.LNK => Raccourci argument supprimé(es) avec succès
"HKU\S-1-5-21-3130282987-3759527691-1077907125-1001\Software\Microsoft\Windows\CurrentVersion\Run\\Chromium" => supprimé(es) avec succès
"HKU\S-1-5-21-3130282987-3759527691-1077907125-1001\Software\Microsoft\Windows\CurrentVersion\Run\\GoogleChromeAutoLaunch_A4A906A0C00969C69010D4C22F51FE8C" => supprimé(es) avec succès
C:\Users\kathy\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Claire.lnk => déplacé(es) avec succès
C:\Users\kathy\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Help.lnk => déplacé(es) avec succès
C:\$.RECYCLEBIN\svshost.exe => déplacé(es) avec succès
C:\WINDOWS\system32\GroupPolicy\Machine => déplacé(es) avec succès
C:\WINDOWS\system32\GroupPolicy\GPT.ini => déplacé(es) avec succès
C:\WINDOWS\SysWOW64\GroupPolicy\GPT.ini => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{17BFFA12-A833-4AD8-BC36-E1B72AA879A9}" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{17BFFA12-A833-4AD8-BC36-E1B72AA879A9}" => supprimé(es) avec succès
C:\WINDOWS\System32\Tasks\Yahoo! Powered ronaf => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Yahoo! Powered ronaf" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{76FD3B7B-97C3-4836-8235-8FAA20D71BF8}" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{76FD3B7B-97C3-4836-8235-8FAA20D71BF8}" => supprimé(es) avec succès
C:\WINDOWS\System32\Tasks\{2E243D74-4C12-D03D-9D83-20CB5DBA8441} => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{2E243D74-4C12-D03D-9D83-20CB5DBA8441}" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{BA596AF1-0CF5-4011-B238-4DD26D256CBB}" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{BA596AF1-0CF5-4011-B238-4DD26D256CBB}" => supprimé(es) avec succès
C:\WINDOWS\System32\Tasks\{5A0E0463-7F52-170C-61F3-661C247169CE} => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{5A0E0463-7F52-170C-61F3-661C247169CE}" => supprimé(es) avec succès
C:\WINDOWS\Tasks\Yahoo! Powered ronaf.job => déplacé(es) avec succès
C:\WINDOWS\Tasks\{2E243D74-4C12-D03D-9D83-20CB5DBA8441}.job => déplacé(es) avec succès
C:\WINDOWS\Tasks\{5A0E0463-7F52-170C-61F3-661C247169CE}.job => déplacé(es) avec succès
"Chrome HomePage" => supprimé(es) avec succès
"Chrome StartupUrls" => supprimé(es) avec succès
Amazon Assistant Service => service non trouvé(e).
"C:\Program Files (x86)\Amazon" => non trouvé(e)
C:\$.RECYCLEBIN => déplacé(es) avec succès

========= reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{42FA793A-4E94-4FA3-A638-9B4B6B1D6A25}" /f =========

Erreurÿ: Erreurÿ: le systŠme n'a pas trouv‚ la cl‚ ou la valeur de Registre sp‚cifi‚e.


========= Fin de Reg: =========


========= reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\StartupFolder /v "McAfee Security Scan Plus.lnk" /f =========

L'op‚ration a r‚ussi.



========= Fin de Reg: =========


=========== EmptyTemp: ==========

BITS transfer queue => 10772480 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 47948755 B
Java, Flash, Steam htmlcache => 8688 B

3). J'ai réinitialisé Fire Foxe et Google Chrome

4). J'ai utilisé Remediate VSB Worm pour contrôler chacune de mes clefs USB et mes disques durs externes : le rapport est très long et je le mets en pièce jointe


5). J'ai installé Marmiton pour me protéger des virus.

6). MERCI

[Malekal_morte]

ok parfait.

Plus de message adobe.rar et vlc.rar ?

[Kathy1]

Non, plus de messages au démarrage : c'est clean et le démarrage est plus rapide.

Je vous remercie pour votre aide et je vais essayer de suivre tous vos conseils à l'avenir.

J'ai encore une question : à propos des mentions Spotlight-V100 Trashes storage.fb Recycled Temporalsystems WMPInfo.xlm, ...
qui apparaissent dans le contenu de certaines clefs USB.

Bravo pour votre travail !

[Malekal_morte]

De rien =)
Ce sont des fichiers à toi sauf recycled qui est la corbeille.