PC Infecté (Rapports FRST)

[Hackoo]

Bonjour,
Je vous joins les 3 rapports de FRST d'un PC infecté afin de me fournir son Fixlist.txt
Merci !
FRST.txt
Addition.txt
Shortcut.txt

[Malekal_morte]

Salut,

Rien d'anormal.
Ton Windows n'est pas à jour.

A désinstaller tout ça.
Deux antivirus.... désinstalle celui en trop

Avira Antivirus
Avira Phantom VPN
Bitdefender Agent

et aussi :

CCleaner
Kaspersky Secure Connection
UsbFix Anti-Malware Premium

PS : CCleaner n'est pas vraiment utile, même si on le recommande de partout.
Si tu tiens à le garder, désactive la surveillance de CCleaner, ça se met au démarrage de Windows et le ralentit avec ces nettoyages incessants, voir : [https://www.malekal.com/supprimer-cclea ... e-windows/]
Pense aussi à désactiver la télémétrie. Elles remontent des informations aux serveurs Avast!



Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
Task: {0E673787-B9D8-47FB-8B2F-CDE412B155C3} - System32\Tasks\SpyHunter4Startup => C:\Users\bbbbbbbb\AppData\Local\Temp\Rar$EXb3632.41032\SpyHunter v4.21 [Adam Bedoui] [tunisia-sat.com]\SpyHunter v4.21\App\SpyHunter\SpyHunter4.exe [7175552 2015-12-18] (Enigma Software Group USA, LLC -> Enigma Software Group USA, LLC.) [Fichier non signé] <==== ATTENTION
R3 esgiguard; C:\Users\bbbbbbbb\AppData\Local\Temp\Rar$EXb3632.41032\SpyHunter v4.21 [Adam Bedoui] [tunisia-sat.com]\SpyHunter v4.21\App\SpyHunter\esgiguard.sys [15920 2015-12-17] (Enigma Software Group USA, LLC -> Enigma Software Group USA, LLC.) <==== ATTENTION
EmptyTemp:
RemoveProxy:
Hosts:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

[Hackoo]

Salut !
Je vous remrcie de votre réactivité, mais je voulais bien savoir si ces entrées sont bien infectées ou non ?

Code : Tout sélectionner

HKLM\...\Run: [] => [X]
HKU\S-1-5-21-3358598951-3072705166-2079282478-1000\...\Run: [] => [X]
HKU\S-1-5-21-3358598951-3072705166-2079282478-1000\...\Policies\system: [shell] explorer.exe <==== ATTENTION
HKU\S-1-5-21-3358598951-3072705166-2079282478-1000\...\MountPoints2: {c2a525e2-302a-11ea-a36b-001c23159b59} - H:\.\Setup.exe AUTORUN=1
HKU\S-1-5-21-3358598951-3072705166-2079282478-1000\...\Winlogon: [Userinit] C:\Windows\system32\userinit.exe [26624 2010-11-20] (Microsoft Windows -> Microsoft Corporation)
HKU\S-1-5-21-3358598951-3072705166-2079282478-1000\...\Winlogon: [Shell] C:\Windows\explorer.exe [2616320 2010-11-20] (Microsoft Windows -> Microsoft Corporation) <==== ATTENTION
HKU\S-1-5-18\...\Run: [] => [X]
2015-12-17] (Enigma Software Group USA, LLC -> Enigma Software Group USA, LLC.) <==== ATTENTION

EDIT :
NB: Je suis entrain d'apprendre comment créer un fichier fixlist.txt, donc je vous prie de me corriger s'il y a une grave erreur dans cette proposition de fixlist.txt. Merci !

Code : Tout sélectionner

Start
CreateRestorePoint:
Closeprocesses:
Emptytemp:
HKLM\...\Run: [] => [X]
HKU\S-1-5-21-3358598951-3072705166-2079282478-1000\...\Run: [] => [X]
HKU\S-1-5-21-3358598951-3072705166-2079282478-1000\...\MountPoints2: {c2a525e2-302a-11ea-a36b-001c23159b59} - H:\.\Setup.exe AUTORUN=1
HKU\S-1-5-21-3358598951-3072705166-2079282478-1000\...\Policies\system: [shell] explorer.exe <==== ATTENTION
HKU\S-1-5-21-3358598951-3072705166-2079282478-1000\...\Winlogon: [Shell] C:\Windows\explorer.exe [2616320 2010-11-20] (Microsoft Windows -> Microsoft Corporation) <==== ATTENTION
Task: {0E673787-B9D8-47FB-8B2F-CDE412B155C3} - System32\Tasks\SpyHunter4Startup => C:\Users\bbbbbbbb\AppData\Local\Temp\Rar$EXb3632.41032\SpyHunter v4.21 [Adam Bedoui] [tunisia-sat.com]\SpyHunter v4.21\App\SpyHunter\SpyHunter4.exe [7175552 2015-12-18] (Enigma Software Group USA, LLC -> Enigma Software Group USA, LLC.) [Fichier non signé] <==== ATTENTION
R3 esgiguard; C:\Users\bbbbbbbb\AppData\Local\Temp\Rar$EXb3632.41032\SpyHunter v4.21 [Adam Bedoui] [tunisia-sat.com]\SpyHunter v4.21\App\SpyHunter\esgiguard.sys [15920 2015-12-17] (Enigma Software Group USA, LLC -> Enigma Software Group USA, LLC.) <==== ATTENTION
RemoveProxy:
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: ipconfig /flushdns
CMD: netsh winsock reset catalog
CMD: netsh int ip reset c:\resetlog.txt
CMD: ipconfig /release
CMD: ipconfig /renew
CMD: netsh int ipv4 reset
CMD: netsh int ipv6 reset
CMD: bitsadmin /reset /allusers
End

[Malekal_morte]

A priori non.
J'ai jamais trop utilisé les CMD:

[Hackoo]

Je ne sais pas pourquoi ou il y a ATTENTION, pour moi ça devient douteux,par exemple ces deux lignes :
Pouvez-vous svp m'expliquer ces deux lignes càd représente quoi exactement, moi quand je vois ça, je dis que le shell de windows a été modifié ou quelque chose comme ça ?

Code : Tout sélectionner

HKU\S-1-5-21-3358598951-3072705166-2079282478-1000\...\Policies\system: [shell] explorer.exe <==== ATTENTION
HKU\S-1-5-21-3358598951-3072705166-2079282478-1000\...\Winlogon: [Shell] C:\Windows\explorer.exe [2616320 2010-11-20] (Microsoft Windows -> Microsoft Corporation) <==== ATTENTION

Autre chose comment désactiver la télémétrie ?
Merci encore une autre fois de votre patience !

[Malekal_morte]

Elles servent à rien fait.
Ce sont des clés qui peuvent être modifiés pour remplacer le menu démarrer par un malware.
Ca permet de bloquer un peu Windows.