Infecté par tachyon antivirus [résolu]

[Barx]

Bonjour,

Je fais une recherche sur tachyon sur le forum et je n'ai rien trouvé.
Je me permets donc de faire une nouveau sujet.

Ce matin en réveillant le pc (resté allumé cette nuit), j'ai la surprise de voir que mon PC signale une alerte sécurité : il me demande de mettre a jour l'antivirus tachyon, que je n'ai bien évidemment pas installé.
J'ai passé Malwarebytes Anti-Malware (MBAM) (version free) et mis en quarantaine certaines choses.
A ce stade je n'ai pas rebooté car je sais que cela peut aggraver la situation.

Est-ce que quelqu'un peut me dire la procédure a suivre à ce stade. Je sais qu'il y a des outils de check, mais je ne sais pas le + approprié, et de toute façon je ne sais pas lire les résultats.

Merci de votre aide

nb : windows 10 v17763.973
processeur i5-4210U
memoire 8go

[Parisien_entraide]

Bonjour,

Le PC est resté allumé la nuit pour du téléchargement ?

Pour tachyon tu as un sujet ici https://www.commentcamarche.net/forum/a ... t-security


Suit La procédure de Malekal
__________________
Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST,
Attendre la fin du scan, un message indique que l'analyse est terminée.

Trois rapports FRST seront générés :
* FRST.txt
* Shortcut.
* Additionnal.txt

Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

(Les liens bleus mènent à des tutoriels explicatifs pas à pas, clic dessus pour avoir les instructions plus précises à suivre).

[Barx]

Super,
Merci pour la prise en charge rapide

Le PC est resté allumé, même pas pour telecharger. Juste pour ne pas attendre le lendemain quand je le réutilise


voici les liens
FRST.txt : https://pjjoint.malekal.com/files.php?i ... 12w14c11y7
Shortcut.txt : https://pjjoint.malekal.com/files.php?i ... g13x7e6t10
Additionnal.txt : https://pjjoint.malekal.com/files.php?i ... 11f11i10g8


C'est chaud, je viens de voir que j'ai un compte mail bloqué pour utilisation frauduleuse

[Malekal_morte]

Salut,

C'est venu avec un pack de malware donc il faut désinfecter le PC.
Tu dois pouvoir le désinstaller, c'est juste que les fenêtres sont en chinois.
Les boutons sont inversés (continuer / annuler).



Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
HKLM-x32\...\Run: [Cleaves] => "C:\Program Files (x86)\Plurality\Rostock.exe" varwvarwvarwvar.varivarevarcvar.varpvarwvar/varh2b0b2b0b0varor1or0h5hbvarhtml0Sw87evar1kp71YSHeivarDHLO
HKLM-x32\...\Run: [Manis] => "C:\Program Files (x86)\flashing\Wuxi.exe" varwvarwvarwvar.varivarevarcvar.varpvarwvar/varh2b0b2b0b0varor1or0h5hbvarhtml0Sw87evar1kp71YSHeivarDHLO
HKLM-x32\...\Run: [T5] => C:\Program Files (x86)\TACHYON\T5\ixTray.exe [3069224 2018-04-01] (INCA Internet Co.,Ltd. -> INCAInternet) <==== ATTENTION
HKLM\...\Run: [Esau] => "C:\Program Files (x86)\Plurality\Rostock.exe" varwvarwvarwvar.varivarevarcvar.varpvarwvar/varh2b0b2b0b0varor1or0h5hbvarhtml0Sw87evar1kp71YSHeivarDHLO
HKLM\...\Run: [Inopportune] => "C:\Program Files (x86)\flashing\Wuxi.exe" varwvarwvarwvar.varivarevarcvar.varpvarwvar/varh2b0b2b0b0varor1or0h5hbvarhtml0Sw87evar1kp71YSHeivarDHLO
HKU\S-1-5-21-2097821459-2670444906-1352251701-1001\...\Run: [Hoaxes] => "C:\Program Files (x86)\Plurality\Rostock.exe" varwvarwvarwvar.varivarevarcvar.varpvarwvar/varh2b0b2b0b0varor1or0h5hbvarhtml0Sw87evar1kp71YSHeivarDHLO
HKU\S-1-5-21-2097821459-2670444906-1352251701-1001\...\Run: [Toolbox] => "C:\Program Files (x86)\flashing\Wuxi.exe" varwvarwvarwvar.varivarevarcvar.varpvarwvar/varh2b0b2b0b0varor1or0h5hbvarhtml0Sw87evar1kp71YSHeivarDHLO
HKU\S-1-5-21-2097821459-2670444906-1352251701-1001\...\Run: [Uncalled] => "C:\Program Files (x86)\Plurality\Rostock.exe" varwvarwvarwvar.varivarevarcvar.varpvarwvar/varh2b0b2b0b0varor1or0h5hbvarhtml0Sw87evar1kp71YSHeivarDHLO
HKU\S-1-5-21-2097821459-2670444906-1352251701-1001\...\Run: [Cushy] => "C:\Program Files (x86)\flashing\Wuxi.exe" varwvarwvarwvar.varivarevarcvar.varpvarwvar/varh2b0b2b0b0varor1or0h5hbvarhtml0Sw87evar1kp71YSHeivarDHLO
HKU\S-1-5-21-2097821459-2670444906-1352251701-1001\...\Run: [tejon] => "C:\Program Files (x86)\Plurality\Rostock.exe" varwvarwvarwvar.varivarevarcvar.varpvarwvar/varh2b0b2b0b0varor1or0h5hbvarhtml0Sw87evar1kp71YSHeivarDHLO
Startup: C:\Users\Vex\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\forwarder.lnk [2020-01-05]
ShortcutTarget: forwarder.lnk -> C:\Program Files (x86)\Plurality\Rostock.exe (Pas de fichier)
Startup: C:\Users\Vex\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\forwarderforwarder.lnk [2020-01-05]
ShortcutTarget: forwarderforwarder.lnk -> C:\Program Files (x86)\flashing\Wuxi.exe (Pas de fichier)
GroupPolicy: Restriction ? <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
CHR HKU\S-1-5-21-2097821459-2670444906-1352251701-1001\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
R3 TKFsAvM; C:\WINDOWS\system32\TKFsAv64.sys [198808 2018-03-07] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
R3 TKFsFtM; C:\WINDOWS\system32\TKFsFt64.sys [28824 2018-03-07] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
R3 TKPcFt; C:\WINDOWS\system32\TKPcFtCb64.sys [54504 2018-01-30] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
R3 TKRgAc; C:\WINDOWS\system32\TKRgAc2k64.sys [115760 2018-01-29] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
R3 TKRgFt; C:\WINDOWS\system32\TKRgFtXp64.sys [68848 2018-02-04] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
R2 ixAptSvc; C:\Program Files (x86)\TACHYON\T5\ixAptSvc.exe [1920048 2018-01-29] (INCA Internet Co.,Ltd. -> INCAInternet) <==== ATTENTION
R2 ixAvSvc; C:\Program Files (x86)\TACHYON\T5\ixAvSvc.exe [2624056 2018-03-22] (INCA Internet Co.,Ltd. -> INCAInternet) <==== ATTENTION
R2 ixCommonSvc; C:\Program Files (x86)\TACHYON\T5\ixMgrSvc.exe [3831424 2019-11-13] (INCA Internet Co.,Ltd. -> INCAInternet) <==== ATTENTION
R2 ixFwSvc; C:\Program Files (x86)\TACHYON\T5\ixFwSvc.exe [2289824 2018-04-01] (INCA Internet Co.,Ltd. -> INCAInternet) <==== ATTENTION
R2 ixRealTimeSvc; C:\Program Files (x86)\TACHYON\T5\ixRtmSvc.exe [2594192 2018-04-01] (INCA Internet Co.,Ltd. -> INCAInternet) <==== ATTENTION
C:\Program Files (x86)\TACHYON
2020-02-01 00:20 - 2020-02-01 00:20 - 000000000 ____D C:\ProgramData\{D4DE00D6-D4EF-5083-97C9-00DC972E598D}
2020-02-01 00:12 - 2020-02-01 00:12 - 000000000 ____D C:\ProgramData\INCAInternet
2020-02-01 00:09 - 2020-02-01 10:52 - 000000000 ____D C:\ProgramData\4343729722236590625
2020-02-01 00:06 - 2020-02-01 00:06 - 000002001 _____ C:\Users\Public\Desktop\TACHYON Internet Security 5.0.lnk
2020-02-01 00:06 - 2020-02-01 00:06 - 000000000 ____D C:\ProgramData\TACHYON
2020-02-01 00:05 - 2020-02-01 00:05 - 000000000 ____D C:\Program Files (x86)\TACHYON
2020-01-31 23:47 - 2020-01-31 23:47 - 000000000 ____D C:\ProgramData\{F6A8C6A9-1290-72F5-E80F-76FEE8E82FAF}
2020-01-31 06:46 - 2020-01-31 06:46 - 000000000 ____D C:\Program Files (x86)\Reference Assemblies
EmptyTemp:
RemoveProxy:
Hosts:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)


2) réinitialiser les navigateurs:
==================================
Réinitialise tes navigateurs et/ou re-paramètre manuellement tes navigateurs WEB ( page de démarrage, moteur de recherche, etc ) mais aussi supprimer/désactiver les extensions inutiles/parasites.
Pour t'aider à effectuer ce ménage, clique ci-dessous sur le nom du navigateur WEB que tu utilises :
* Réinitialiser et réparer Mozilla Firefox
* Réinitialiser et réparer Google Chrome
* Réinitialiser et réparer Internet Explorer
(Ne pas utiliser Zeok)

3)
Faire un nettoyage Malwarebytes Anti-Malware (MBAM ) version gratuite

4)
Refais un scan FRST et donne les nouveaux rapports via pjjoint

[Barx]

La partie FRST est en cours.
C'est long....

Comme l'antivirus windows a été remplacé par tachyon anti-virus, j'ai vu passer des pop up au sujet de fichiers protégés (notamment ceux de tachyon).
Est-ce que cela voudrait dire qu'il a empeché en partie FRST de faire le nettoyage?

[Barx]

voila les nouveaux fichiers
fixlog : https://pjjoint.malekal.com/files.php?i ... q7n15o9q10
je l'ai ouvert par curiosité, et je crois que le nettoyage n'a pas été jusqu'au bout

comme le process était long, je n'étais pas derriere l'écran à la fin mais j'ai un doute qu'il y ait eu un reboot.

voici la nouvelle analyse
Addition : https://pjjoint.malekal.com/files.php?i ... b10o911d11
FRST : https://pjjoint.malekal.com/files.php?i ... 612h9v9y14
shortcut : https://pjjoint.malekal.com/files.php?i ... 6e15c13o11

nb : voila une copie d'écran du type de message que j'ai eu pendant le process de nettoyage.
précisement, cette copie était, elle, lors du relancement de FRST
https://pjjoint.malekal.com/files.php?i ... f11k6s14r5

[Barx]

Je reviens vers vous car j'ai avancer sur mon pb grace au lien que vous m'aviez fourni vers 'commentcamarche'
J'ai cherché un peu pour desinstaller Tachyon : en utilisant le 'desinstallateur' windows, j'obtenais un écran de l'application en chinois/japonais.
ça ma bloqué car je ne voulais pas faire de bétise.
En cherchant sur internet, j'ai trouvé l'éditeur de Tachyon. Dans son aide en ligne il y a la procédure et les copies d'écran en anglais.
DONC j'ai réussi a désisntaller Tachyon.

Je me suis permis de relancer FRST avec le fixlist que vous m'aviez fourni (certains nettoyages n'avaient pas été fait à cause de Tachyon et il n'avait pas été au bout à cause du timeout de 45mn)
Cette fois, tout a fonctionné à merveille

je vous envoie les liens vers la log et la nouvelle analyse

[Barx]

fixlog : https://pjjoint.malekal.com/files.php?i ... i5v11b8l14
FRST : https://pjjoint.malekal.com/files.php?i ... 5r12z7d7j9
Addition : https://pjjoint.malekal.com/files.php?i ... j12k135u12
shortcut : https://pjjoint.malekal.com/files.php?i ... z6m5h12i10

J'ai passé malwarebytes : il n'y a plus de menace.
Dites moi si l'analyse de mes fichiers vous semble ok?

Merci beaucoup pour votre temps

[Malekal_morte]

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
EmptyTemp:
RemoveProxy:
Hosts:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)


Assure toi que Windows Defender fonctionne correctement.
C'est l'icône bouclier en bas à droite à côté de l'horloge.

[Barx]

Voila le resultat

frstlog : https://pjjoint.malekal.com/files.php?i ... 15i7b14v13
frst : https://pjjoint.malekal.com/files.php?i ... 1d7u8r10f9
additions : https://pjjoint.malekal.com/files.php?i ... 11s14t7d15
shortcut : https://pjjoint.malekal.com/files.php?i ... j7w15v5i15

[Malekal_morte]

ok,

Assure toi que Windows Defender fonctionne correctement.
C'est l'icône bouclier en bas à droite à côté de l'horloge.

[Barx]

Désolé, je ne l'avais pas précisé mais j'avais vérifié.

Il est vert
et quand je clique dessus, tous les icones sécurité sont verts

[Malekal_morte]

C'est bon alors, nous avons terminé.
Attention aux cracks et compagnie.

Pour ne plus te faire avoir.
A lire - Programmes parasites / PUPs : Les Adwares et PUP : comment s’en protéger
(Surtout active les détections LPIs pour détecter les programmes parasites et publicitaires)


Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?
Tu peux améliorer les protections et sécurité de Windows en suivant ces indications :