Trojan à l'installation de Adobe Creative Cloud Destop

[Embuscade]

Bonsoir,

J'installer ADOBE CREATIVE CLOUD DESKTOP, quand j'ai finie de répondre aux questionnaires, j'ai vus mon des fênêtes s'ouvrir rapidement et ce faire fermer sans que je les vois afficher, j'ai vus windows defender ce désactiver

puis j'ai trojan fichier dans une fenetre apparaitre et après ça j'ai pas eut le temps de faire quoi ce soit, et Window defender s'est réactiver par la suite.
Il y as écris ça dans le rapport.

J'utilise NextDNS, et du coup ça étais archiver >

ApplicationFrameHost_enaAlPShf1.png

]
Mais je reste un peu effrayer par l'idée d'être sous un trojan, pis ce n'est pas comme si j'avais beaucoup d'information sur le trojan qui m'as assaillie.

[Parisien_entraide]

Bonjour



Deux possibilités :

- Installation récente avec une version d'un site foireux (faux site)
- Détection suite à une mise à jour

Cela fait des années que ce truc est détecté suivant les versions, les anti virus et leur mise à jour, etc comme un "Malware"


Adobe Creative Cloud n'est techniquement pas un virus, c'est au mieux un malware ou un spyware du fait de son comportement, mais.. qui est accepté et défini en tant que faux positif (comme les fonts adobe qui "bavent" sur le net, c'est le meme soucis avec les google fonts)

Ca sera toujours le cas, d'autant plus que les accords Microsoft et Adobe sont assez forts (comme dernièrement l'intégration du lecteur PDF dans Edge)
La télémétrie de l'un est bonne pour l'autre et inversement :-)

En plus ce n'est pas fiable
https://www.theregister.com/2022/04/07/ ... d_malware/

Et la bascule sur le cloud est très critiquée
https://wikiless.org/wiki/Adobe_Creativ ... or&lang=en comme la panne de 2014 où plus personne ne pouvait bosser pendant plusieurs jours

Si un jour tu veux désinstaller il faut un outil spécifique
https://helpx.adobe.com/creative-cloud/ ... p-app.html


Pour te rassurer tu peux générer des rappports FRST (Malekal ou Angélique y jetteront un oeil)

La procédure de Malekal
__________________
Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST,
Attendre la fin du scan, un message indique que l'analyse est terminée.

Trois rapports FRST seront générés :
* FRST.txt
* Shortcut. ----> Ne pas oublier de cocher la case qui figure sur l'écran d'accueil
* Additionnal.txt

Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

[Embuscade]

https://pjjoint.malekal.com/files.php?i ... q8m6r12y14
https://pjjoint.malekal.com/files.php?i ... 1k13h6m515
https://pjjoint.malekal.com/files.php?i ... 5t11y8l7n9

Il n'y as bien que vous qui y avait accès à ces documents ?

[Malekal_morte]

Non mais je peux supprimer les rapports et Google ne devrait pas les indexer.

Apparemment tu as installé un KeyLogger :

Date: 2023-02-11 20:52:18
Description:
Antivirus Microsoft Defender a détecté un logiciel malveillant ou potentiellement indésirable.
Nom : TrojanSpy:Win32/Keylogger
ID : 2147494913
Gravité : Grave
Catégorie : Logiciel de surveillance de cheval de Troie
Chemin : file:_C:\NucleusCo-op\ProtoInputHooks64.dll
Origine de la détection : Ordinateur local
Type de détection : Chemin rapide
Source de détection : Protection en temps réel
Utilisateur : DESKTOP-L9BLS58\dayla
Nom du processus : C:\Program Files\Common Files\Adobe\Creative Cloud Libraries\libs\node.exe
Version de la veille de sécurité : AV: 1.381.3453.0, AS: 1.381.3453.0, NIS: 1.381.3453.0
Version du moteur : AM: 1.1.19900.2, NIS: 1.1.19900.2

~~

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
2023-02-11 20:52 - 2022-02-25 16:42 - 000000000 ____D C:\NucleusCo-op
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

~~

Supprime l'extension Adblock Plus de FireFox, tu as déjà uBlock.
Ca fait doublon et bouffe des ressources.

[Embuscade]

Ce fus long, bien merci.

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 09-02-2023 01
Exécuté par dayla (15-02-2023 16:05:42) Run:1
Exécuté depuis C:\Users\dayla\Downloads
Profils chargés: dayla
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
Start:
CloseProcesses:
CreateRestorePoint:
2023-02-11 20:52 - 2022-02-25 16:42 - 000000000 ____D C:\NucleusCo-op
EmptyTemp:
RemoveProxy:
Reboot:
End:̩
*****************

Processus fermé avec succès.
Le Point de restauration a été créé avec succès.
C:\NucleusCo-op => déplacé(es) avec succès

========= RemoveProxy: =========

"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-960343623-23293109-3106743519-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-960343623-23293109-3106743519-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

FlushDNS => terminé(e)
BITS transfer queue => 1310720 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 266796358 B
Java, Discord, Steam htmlcache, WinHttpAutoProxySvc/winhttp *.cache => 1332345776 B
Windows/system/drivers => 37631938 B
Edge => 2043321 B
Chrome => 1202493979 B
Brave => 1437441850 B
Firefox => 1180488952 B
Opera => 283682536 B

Temp, IE cache, history, cookies, recent:
Default => 9216 B
ProgramData => 9216 B
Public => 9216 B
systemprofile => 9216 B
systemprofile32 => 9730 B
LocalService => 9730 B
NetworkService => 419572 B
dayla => 3957393882 B

RecycleBin => 1038182199 B
EmptyTemp: => 10 GB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 16:33:48 ====

J'ai du mal à évaluer si il y as des informations sensibles ou non dans ce que fait FRST, est-ce le cas ?

[Parisien_entraide]

Bonjour

Est ce que tu vois ton nom, prénom, adresse, bref ton identité, des infos personnelles, qui pourraient t'identifier dans TES rapports ?
Je vais t'épargner la recherche, : NON :-)

[Embuscade]

Bha juste le "dayla" qui apparaît partout, j'aurais du l'enlever.

[Parisien_entraide]

Dayla c'est trop vague pour identifier qui que ce soit sans localisation (y a pas d'IP) par ex et autre contexte

[angelique]

Salut, dayla ne peut pas être exploitable, je ne sais pas ce ce que c'est , c'est juste un nom de session.

[Embuscade]

Je ne puis vous envoyer des message privée ? Arf c'est embêtant.

[Parisien_entraide]

Non parce que certains abusaient (perso j'ai ma boite qui a été saturée)
C'est un forum pas une hotline privée :-)

[Malekal_morte]

Je ne puis vous envoyer des message privée ? Arf c'est embêtant.

Le problème c'est que bcp envoient des messages pour un tout et pour un rien et très souvent pour demander de l'aide.
Si c'est pour supprimer des fichiers pjjoint ou autres demande ici.
Si c'est pour un truc que tu ne peux pas dire en public, utilise le bouton contact en bas du forum ou direct par ce lien : memberlist.php?mode=contactadmin