Infection trojan:Win32/Tiggre!rfn

[albert]

Bonjour suite a un message d alerte de windows defender le 13.01 : trojan:Win32/Tiggre!rfn ,
j'ai lance plusieurs scans defender qui avait bloque apparemment les virus , telecharge Malwarebytes Anti-Malware (MBAM), bitdefender et fait des scans rien d anormal depuis .Mais j ai des doutes et suivi la procedure decrite ici et les rapports ci joint .Je vous serais très reconnaissant si vous pouviez m’aider.Merci.

[albert]

fichiers pijoint https://pjjoint.malekal.com/files.php?i ... z9u10o5k11 https://pjjoint.malekal.com/files.php?i ... u13g5m6u13 https://pjjoint.malekal.com/files.php?i ... q7p14i15w8

[Malekal_morte]

Salut,

Il faut indiquer le fichier détecté.
Vérifie dans l'histoque Windows Defender : Comment afficher l'historique de mise à jour Windows Update.

Sinon trop de trucs de sécurité installé.
Inutiles, cela va ralentir le PC, créer des plantages.

Bitdefender + Malwarebytes + Kaspersky VPN + Safer Web + Trojan Remover

A désinstaller :

Supprime AdwCleaner
Malwarebytes
Safer Web
Trojan Remover
Wondershare (sert à rien et encombre le PC)[/url]

[albert]

kaspersky a ete desinstalle , remplace par bitdefender ,l historique des alertes defender i n y a rien et pourtant les alertes ont bien eu lieu ? j ai retrouve ca grace a windeflog view :

Code : Tout sélectionner

Filename          : iocDAAC9B5E-4E1B-8746-A8F5-EEB4FFAFDC69
Detect Time       : 13/01/2023 13:14:02
Threat Name       : Trojan:Win32/Tiggre!rfn
Severity          : Grave (5)
Category          : Cheval de Troie (8)
Detection User    : DESKTOP-72A7I4C\alain
Action            : Non applicable (9)
Origin            : Ordinateur local (1)
Process Name      : C:\Program Files (x86)\Kaspersky Lab\Kaspersky Anti-Virus 21.3\avp.exe
URL               : https://go.microsoft.com/fwlink/?linkid=37020&name=Trojan:Win32/Tiggre!rfn&threatid=2147723625&enterprise=0
Detect Path       : file:_C:\ProgramData\Kaspersky Lab\AVP21.3\Temp\tempio\iocDAAC9B5E-4E1B-8746-A8F5-EEB4FFAFDC69
Threat ID         : 2147723625
Detection ID      : {DE96708C-BDF1-4CA2-A0BA-E61460DBA109}
Computer Name     : DESKTOP-72A7I4C
Event Log Time    : 13/01/2023 13:14:03
==================================================

==================================================
Filename          : iocFC9FE650-CC59-AC4E-88EC-FE5D6882E7F7
Detect Time       : 13/01/2023 13:20:48
Threat Name       : Trojan:Win32/Tiggre!rfn
Severity          : Grave (5)
Category          : Cheval de Troie (8)
Detection User    : DESKTOP-72A7I4C\alain
Action            : Non applicable (9)
Origin            : Ordinateur local (1)
Process Name      : C:\Program Files (x86)\Kaspersky Lab\Kaspersky Anti-Virus 21.3\avp.exe
URL               : https://go.microsoft.com/fwlink/?linkid=37020&name=Trojan:Win32/Tiggre!rfn&threatid=2147723625&enterprise=0
Detect Path       : file:_C:\ProgramData\Kaspersky Lab\AVP21.3\Temp\tempio\iocFC9FE650-CC59-AC4E-88EC-FE5D6882E7F7
Threat ID         : 2147723625
Detection ID      : {BC637975-7785-4EDA-AD0E-1904122B1F37}
Computer Name     : DESKTOP-72A7I4C
Event Log Time    : 13/01/2023 13:20:48
==================================================

[albert]

J ai retrouve l historique complet grace a l observateur d evenements :

Code : Tout sélectionner

[ Name]  Microsoft-Windows-Windows Defender 
   [ Guid]  {11cd958a-c507-4ef3-b3f2-5fd9dfbd2c78} 
 
   EventID 1121 
 
   Version 0 
 
   Level 3 
 
   Task 0 
 
   Opcode 0 
 
   Keywords 0x8000000000000000 
 
  - TimeCreated 

   [ SystemTime]  2023-01-13T12:07:56.8118745Z 
 
   EventRecordID 21368 
 
  - Correlation 

   [ ActivityID]  {18b48a56-c4d4-410e-a246-11b9e10b3f42} 
 
  - Execution 

   [ ProcessID]  3804 
   [ ThreadID]  7084 
 
   Channel Microsoft-Windows-Windows Defender/Operational 
 
   Computer DESKTOP-72A7I4C 
 
  - Security 

   [ UserID]  S-1-5-18 
 

- EventData 

  Product Name Antivirus Microsoft Defender 
  Product Version 4.18.2211.5 
  Unused  
  ID 92E97FA1-2EDF-4476-BDD6-9DD0B4DDDC7B 
  Detection Time 2023-01-13T12:07:56.811Z 
  User DESKTOP-72A7I4C\alain 
  Path C:\Users\guill\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\N799TWD46EBFPK20FWGD.temp 
  Process Name C:\Program Files (x86)\Mozilla Thunderbird\thunderbird.exe 
  Security intelligence Version 1.381.2140.0 
  Engine Version 1.1.19900.2 
  RuleType ENT\ConsR 
  Target Commandline  
  Parent Commandline "C:\Program Files (x86)\Mozilla Thunderbird\thunderbird.exe"  
  Involved File  
  Inhertiance Flags 0x00000000 

   [ Name]  Microsoft-Windows-Windows Defender 
   [ Guid]  {11cd958a-c507-4ef3-b3f2-5fd9dfbd2c78} 
 
   EventID 1116 
 
   Version 0 
 
   Level 3 
 
   Task 0 
 
   Opcode 0 
 
   Keywords 0x8000000000000000 
 
  - TimeCreated 

   [ SystemTime]  2023-01-13T12:14:03.2679382Z 
 
   EventRecordID 21378 
 
   Correlation 
 
  - Execution 

   [ ProcessID]  2744 
   [ ThreadID]  10096 
 
   Channel Microsoft-Windows-Windows Defender/Operational 
 
   Computer DESKTOP-72A7I4C 
 
  - Security 

   [ UserID]  S-1-5-18 
 

- EventData 

  Product Name Antivirus Microsoft Defender 
  Product Version 4.18.2211.5 
  Detection ID {DE96708C-BDF1-4CA2-A0BA-E61460DBA109} 
  Detection Time 2023-01-13T12:14:02.974Z 
  Unused  
  Unused2  
  Threat ID 2147723625 
  Threat Name Trojan:Win32/Tiggre!rfn 
  Severity ID 5 
  Severity Name Grave 
  Category ID 8 
  Category Name Cheval de Troie 
  FWLink https://go.microsoft.com/fwlink/?linkid=37020&name=Trojan:Win32/Tiggre!rfn&threatid=2147723625&enterprise=0 
  Status Code 1 
  Status Description  
  State 1 
  Source ID 3 
  Source Name Protection en temps réel 
  Process Name C:\Program Files (x86)\Kaspersky Lab\Kaspersky Anti-Virus 21.3\avp.exe 
  Detection User DESKTOP-72A7I4C\alain 
  Unused3  
  Path file:_C:\ProgramData\Kaspersky Lab\AVP21.3\Temp\tempio\iocDAAC9B5E-4E1B-8746-A8F5-EEB4FFAFDC69 
  Origin ID 1 
  Origin Name Ordinateur local 
  Execution ID 1 
  Execution Name Suspendu 
  Type ID 8 
  Type Name Chemin rapide 
  Pre Execution Status 0 
  Action ID 9 
  Action Name Non applicable 
  Unused4  
  Error Code 0x00000000 
  Error Description L’opération a réussi.  
  Unused5  
  Post Clean Status 0 
  Additional Actions ID 0 
  Additional Actions String No additional actions required 
  Remediation User  
  Unused6  
  Security intelligence Version AV: 1.381.2140.0, AS: 1.381.2140.0, NIS: 1.381.2140.0 
  Engine Version AM: 1.1.19900.2, NIS: 1.1.19900.2 
                                                                                                                                                    + System 

  - Provider 

   [ Name]  Microsoft-Windows-Windows Defender 
   [ Guid]  {11cd958a-c507-4ef3-b3f2-5fd9dfbd2c78} 
 
   EventID 1116 
 
   Version 0 
 
   Level 3 
 
   Task 0 
 
   Opcode 0 
 
   Keywords 0x8000000000000000 
 
  - TimeCreated 

   [ SystemTime]  2023-01-13T12:20:48.9691080Z 
 
   EventRecordID 21381 
 
   Correlation 
 
  - Execution 

   [ ProcessID]  2744 
   [ ThreadID]  10136 
 
   Channel Microsoft-Windows-Windows Defender/Operational 
 
   Computer DESKTOP-72A7I4C 
 
  - Security 

   [ UserID]  S-1-5-18 
 

- EventData 

  Product Name Antivirus Microsoft Defender 
  Product Version 4.18.2211.5 
  Detection ID {BC637975-7785-4EDA-AD0E-1904122B1F37} 
  Detection Time 2023-01-13T12:20:48.956Z 
  Unused  
  Unused2  
  Threat ID 2147723625 
  Threat Name Trojan:Win32/Tiggre!rfn 
  Severity ID 5 
  Severity Name Grave 
  Category ID 8 
  Category Name Cheval de Troie 
  FWLink https://go.microsoft.com/fwlink/?linkid=37020&name=Trojan:Win32/Tiggre!rfn&threatid=2147723625&enterprise=0 
  Status Code 1 
  Status Description  
  State 1 
  Source ID 3 
  Source Name Protection en temps réel 
  Process Name C:\Program Files (x86)\Kaspersky Lab\Kaspersky Anti-Virus 21.3\avp.exe 
  Detection User DESKTOP-72A7I4C\alain 
  Unused3  
  Path file:_C:\ProgramData\Kaspersky Lab\AVP21.3\Temp\tempio\iocFC9FE650-CC59-AC4E-88EC-FE5D6882E7F7 
  Origin ID 1 
  Origin Name Ordinateur local 
  Execution ID 1 
  Execution Name Suspendu 
  Type ID 0 
  Type Name Concret 
  Pre Execution Status 0 
  Action ID 9 
  Action Name Non applicable 
  Unused4  
  Error Code 0x00000000 
  Error Description L’opération a réussi.  
  Unused5  
  Post Clean Status 0 
  Additional Actions ID 0 
  Additional Actions String No additional actions required 
  Remediation User  
  Unused6  
  Security intelligence Version AV: 1.381.2140.0, AS: 1.381.2140.0, NIS: 1.381.2140.0 
  Engine Version AM: 1.1.19900.2, NIS: 1.1.19900.2

[Malekal_morte]

C'est détecté dans l'exécutable de Kaspersky, donc rien de grave.
On en revient au problème de multiplier les logiciels de sécurité.

[albert]

OK ce qui est bizarre c est les applications qui ne s ouvraient plus : thunderbird , firefox ..icones disparues du bureau ... certaines ont meme disparu du menu demarrer ? .. les precedents averissements de defender sont ils normaux aussi ?
Source : Microsoft-Windows-Windows Defender
Date : 13/01/2023 13:07:56
ID de l’événement :1121
Catégorie de la tâche :Aucun
Niveau : Avertissement
Mots clés :
Utilisateur : Système
Ordinateur : DESKTOP-72A7I4C
Description :
Microsoft Defender exploit Guard a bloqué une opération qui n’est pas autorisée par votre administrateur informatique.
pour plus d’informations, contactez votre administrateur informatique.
ID : 92E97FA1-2EDF-4476-BDD6-9DD0B4DDDC7B
Durée de détection : 2023-01-13T12:07:56.811Z
Utilisateur : DESKTOP-72A7I4C\alain
Chemin d’accès : C:\Users\guill\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\N799TWD46EBFPK20FWGD.temp
Nom du processus : C:\Program Files (x86)\Mozilla Thunderbird\thunderbird.exe
Ligne de commande cible :
Ligne de commande parents : "C:\Program Files (x86)\Mozilla Thunderbird\thunderbird.exe"
Dossier concerné :
Indicateur d'héritage : 0x00000000
Version de la veille de sécurité : 1.381.2140.0
Version du moteur : 1.1.19900.2
Version du produit : 4.18.2211.5


Source : Microsoft-Windows-Windows Defender
Date : 13/01/2023 13:10:11
ID de l’événement :5007
Catégorie de la tâche :Aucun
Niveau : Information
Mots clés :
Utilisateur : Système
Ordinateur : DESKTOP-72A7I4C
Description :
La configuration Antivirus Microsoft Defender a changé. S’il s’agit d’un événement inattendu, vous devez revoir les paramètres car cela peut être le résultat d’un programme malveillant.
Ancienne valeur : Default\IsServiceRunning = 0x0
Nouvelle valeur : HKLM\SOFTWARE\Microsoft\Windows Defender\IsServiceRunning = 0x1

Source : Microsoft-Windows-Windows Defender
Date : 13/01/2023 13:10:20
ID de l’événement :5007
Catégorie de la tâche :Aucun
Niveau : Information
Mots clés :
Utilisateur : Système
Ordinateur : DESKTOP-72A7I4C
Description :
La configuration Antivirus Microsoft Defender a changé. S’il s’agit d’un événement inattendu, vous devez revoir les paramètres car cela peut être le résultat d’un programme malveillant.
Ancienne valeur : HKLM\SOFTWARE\Microsoft\Windows Defender\ServiceStartStates = 0x1
Nouvelle valeur : Default\ServiceStartStates = 0x0

Source : Microsoft-Windows-Windows Defender
Date : 13/01/2023 13:10:20
ID de l’événement :5007
Catégorie de la tâche :Aucun
Niveau : Information
Mots clés :
Utilisateur : Système
Ordinateur : DESKTOP-72A7I4C
Description :
La configuration Antivirus Microsoft Defender a changé. S’il s’agit d’un événement inattendu, vous devez revoir les paramètres car cela peut être le résultat d’un programme malveillant.
Ancienne valeur : Default\ProductAppDataPath = C:\ProgramData\Microsoft\Windows Defender
Nouvelle valeur : HKLM\SOFTWARE\Microsoft\Windows Defender\ProductAppDataPath = C:\ProgramData\Microsoft\Windows Defender

[Malekal_morte]

Arrange toi pour n'avoir que BitDefender si tu veux le garder et sinon que Windows Defender.
Ca évitera les problèmes.

Désactive Windows Defender Application Guard : Désactive Windows Defender Application Guard.
Vérifie aussi que le dispositif d'accès contrôlé aux dossiers n'est pas actif : Comment activer le dispositif d’accès contrôlé aux dossiers de Windows 10, 11

[albert]

Merci , il n y pas Windows Defender Application Guard reserve aux editions pro d apres le lien que tu as mis , et le dispositif d'accès contrôlé aux dossiers n est pas actif . J ai la version d essai de bitdefender , si je continue pas avec je reviendrai sur windows defender .Une question : si je choisis de garder bitdefender , windows defender que l on doit garder je presume , restera il inactif sans riques de gener ou devrais je faire d autres choses ?

[Malekal_morte]

Si désinstalles BitDefender, Windows Defender devrait se réactiver.
Comme cela tu as un antivirus qui protège le PC.
Mais les blocages des applications n'ont rien à voir avec cela.


Tu peux ouvrir Sécurité Windows
Puis Applications et Navigation isolée.
Donne une capture d'écran

Clic droit sur le menu Démarrer
PowerShell (Admin)
Copie/colle :

Disable-WindowsOptionalFeature -FeatureName "Windows-Defender-ApplicationGuard" -Online

Cela te dit quoi ?
Si ça mouline et aucune erreur, redémarre le PC.
Ensuite teste, si cela résout les problèmes de fonctionnement et ouverture d'application.

[albert]

les captures d ecran ...mais la commande n est pasreconnue

[Malekal_morte]

Essaye ça :

Sécurité Windows > Contrôle des applications et du navigateur
Et en bas Exploit Protection (j'espère qu'il est dispo sur l'édition Famille, j'en ai pas pour vérifier).
Cliquez sur Paramètres d’Exploit de Protection
Dans l'onglet Paramètres Systèmes, vérifiez que tout est configuré sur Valeur par défaut
Puis allez dans l'onglet Paramètres des programmes et vérifiez si Thunderbird.exe y est.
Si oui cliquez dessus et supprimer.

S'inspirer de ce tutoriel : https://www.malekal.com/activer-desacti ... ows-10-11/

[albert]

merci , j ai regarde le tuto mais mon pc est redevenu normal , les desinstallations conseillees et les redemarrages ont du resoudre le probleme . Suite au telechargement de procees explorer j ai un ligne en rouge sur l analyse virus total , dans le dossier C:\Program Files (x86)\ASUS\AXSP\4.00.38 c est une appli apparemment d asus com service : atkexComSvc.exe . Y a t il un risque ou fausse alerte ?

[Parisien_entraide]

Bonjour

C'est une fausse alerte
Ce truc est compris normalement dans la suite ASUS AI (lien avec le hardware, les sondes, etc..)
Un antivirus peut "couiner" car ce programme est capable d'enregistrer les entrées du clavier et de la souris (là par contre je ne sais dans quel but)

[albert]

Merci .. virus total d apres ce que j ai lu peut se baser sur plusieurs antivirus et certains pas toujours d accord , la d apres ce que j ai compris l analyse donne 1 sur 76 qui peut le considerer douteux .Surement une fausse alerte alors ...