virus (iobit via driverbooster) + clés registre et dossiers/fichiers(iobit) [Résolu]

[roger-delamare35]

Bonjour,

Après installation de driver booster puis désinstallation avec revo unistaller en sûr, j'ai vu dans le gestionnaire des tâches que l'expérience d'entrée windows passait à 300 mo de mémoire, j'ai soupçonné aussi l'utilisation de l'hôte de l'expérience Windows + écran de verrouillage par défaut et extensions de support web.

J'ai utilisé roguekiller qui a supprimé "HKEY_USERS\S-1-5-21-2926588420-4169911991-1154136980-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings|ProxyServer" , +MBAM et avast sans succès.

Après avec regscanner j'ai cherché iobit et ai trouvé 17 clés (en lien:

trie-regscanner.txt

), en ayant une sauvegarde registre (regback) malheureusement vérolée, j'ai tenté de supprimer les clés avec les méthodes : "https://www.malekal.com/impossible-de-m ... e-windows/" mais impossible pour les 2 avec l'autorité "BUILTIN\Administrateurs", donc j'ai restaurer le registre(regback).

Enfin avec power run et multi commander j'ai trouvé : "C:\System Volume Information\SystemRestore\FRStaging\Program Files (x86)\IObit", "C:\System Volume Information\SystemRestore\FRStaging\ProgramData\IObit", "C:\System Volume Information\SystemRestore\FRStaging\Users\marcj\AppData\LocalLow\IObit", "C:\System Volume Information\SystemRestore\FRStaging\Users\marcj\AppData\Roaming\IObit", "C:\System Volume Information\SystemRestore\FRStaging\Program Files (x86)\IObit\Driver Booster\10.6.0\IObitDownloader.exe" et "C:\System Volume Information\SystemRestore\FRStaging\ProgramData\IObit\iobitpromotion.ini" + "C:\System Volume Information\SystemRestore\FRStaging\Program Files (x86)\IObit\Driver Booster\10.6.0\DriverBooster.exe" et "C:\Windows\Prefetch\DRIVERBOOSTER.EXE-7905D574.pf" ; J'ai supprimé et ça réapparaît sans cesse. Enfin voici un rapport FRST (ouvert avec power run).

FRST.txt

+

Addition.txt

(shortcut après) Un peu d'aide ne serait pas de refus. Merci.

[roger-delamare35]

Shortcut.txt

[Parisien_entraide]

Bonsoir

Malekal ou Angélique t'en diront plus mais dans le sujet tu indiques "Virus"... Comment as tu déterminé que tu avais un virus ?

Revo unistaller, il faut savoir qu'après la période d'essai il devient juste un désinstalleur basique et ne fait pas tout le boulot
IOBIT.. tous les produits IOBIT ont tendance à écrire des clés de registre qui ne sont pas toujours accessibles autrement que via un programme de type PowerRun (le mode adminstrateur de Windows est limité)

Ta clé avec le proxy est possiblement liées avec le programme Simple DNSCrypt

Il y a quelques erreurs sur ce windows
https://www.malekal.com/sfc-verifier-et ... -systemes/

Donc

Code : Tout sélectionner

sfc /SCANNOW

et

https://www.malekal.com/dism-reparer-fi ... indows-10/

Code : Tout sélectionner

DISM /Online /Cleanup-image /Restorehealth

mais je doute que cela puisse résoudre tes erreurs de registre bidouillées...

Au passage vire AVAST, c'est une source d'instabilité

[roger-delamare35]

Bonsoir,


Oui, alors en effet, je n'étais suis pas sûr, c'était plutôt de l'intuition. Disons, que c'était la réunion de la détection du proxy avec roguekiller (au passage, merci, je pensais qu'il était malicieux.), + les processus "hôte de l'expérience Windows" (Passant à 300mo de mémoire (je n'avais pas encore vu dans le gestionnaire des tâches)), "rechercher", "paramètre", "background task host", "écran de verrouillage par défaut" et "extensions de support web" en statut interrompu en permanence "pour améliorer les performances du système" (tiré par les cheveux, oui, c'était peut-être même déjà comme ça avant);
MAIS les clés de registre iobit dont les 2 dont je n'arrive pas à avoir le contrôle total, devenir le propriétaire et supprimer/modifier en privilège système dans regedit qui ont en data, les termes : "ProcessHacker", "PCHunter", "Avenger", "DCSProcX", "Gmer","Sy" ne m'inspirent pas (je vois que la majorité de ses clés ont été même modifiées aujourd'hui (je n'y ai pas touché aujourd'hui)), + les dossiers/fichiers iobit/driverbooster supprimés dans multicommander en privilège système réapparaissent après réactualisation m'inquiètent.

Sinon je ne savais pas pour Revo unistaller, du coup, je vais installer IObit Unistaller , non: j'hésite plutôt entre Bulk crap et Soft organizer comme indiqué dans : "https://www.malekal.com/desinstaller-pr ... logiciels/", je ne sais pas lequel est le mieux...

Pour sfc /scannow je l'ai fait y a pas si longtemps et après votre message refait (aucune violation d'intégrité), pour Dism: restauration réussie avec une image + récente (mais comme énoncé : aucun changement du registre/des dossiers/fichiers iobit); je ne voulais toucher à rien après l'analyse FRST pour éviter des changements qui pourraient interférer avec la désinfection.

Pour Avast je pensais moi aussi changer pour Windows defender (pas encore eu le temps), et le pare feu applicatif: Windows defender (la journalisation me dérange), donc après avoir consulté: "https://www.malekal.com/quel-est-le-mei ... ows-10-11/" : j'hésite entre Portmaster et Netlimiter, j'aimerais bien avoir votre avis la dessus (avec le meilleur rapport performances/légèreté/fonctions...). En tout cas, merci. . Et ok, j'attends le renfort de Malekal ou Angélique, désolé de vous déranger.


Cordialement,

[Parisien_entraide]

Tu as Geek uninstaller aussi (limité dans le temps aussi) mais il devrait faire le job

https://www.malekal.com/geek-uninstalle ... s-windows/

Pour le firewall sur je ne sais plus lequel des PC portables (celui en Win10 je crois) j'utilise https://www.malekal.com/windows-firewal ... -defender/
Pas de soucis

Dans un premier temps tu prends le script ici https://www.malekal.com/firewall-window ... -reglages/
Dans un deuxième temps hardconfigurator viewtopic.php?t=65877

Dans un troisième temps tu installes Windows firewall control

[roger-delamare35]

Ok, oui en effet pour Geek uninstaller, sur : "https://www.malekal.com/desinstaller-pr ... logiciels/" la description me paraissait de prime abord moins "sexy". Mais il s'avère finalement qu'il a l'air très bien.
Du coup, si j'ai bien compris, la version free de revo uninstaller a comme différence principale par rapport à la version pro de ne pas avoir accès à la base de données en ligne, ce qui rend son action peu fiable. Et donc comparativement, que Geek uninstaller en free reste bien meilleur.

J'ai aussi appris l'existence d'hibit uninstaller, je ne sais pas si les hibit sont gentils, mais pour les iobit, je trouve gollum plus élégant, après au moins il n'y en a pas 64...

Pour le firewall, j'avais déjà utilisé ce script. Mais j'ai dû survolé la page : "https://www.malekal.com/firewall-window ... -reglages/", car je n'avais pas fait attention à Windows firewall control. Sinon, je ne connaissais pas hardconfigurator qui à l'air excellent et c'est bien qu'il est maintenant disponible pour Windows 11 22h2. Sinon, je trouve toujours que c'est très bien documenté et détaillé. J'appliquerai ça après la désinfection.
Merci.

[Parisien_entraide]

Geek uninstaller a aussi une durée de vie

IOBIT j'avais indiqué qu'il fallait ne pas utiliser ces outils
Leur façon de faire, comme laisser en place des .dll qui continuent de communiquer vers l'extérieur meme après désinstallation, ou de laisser des clés de registre qui ne sont pas accessibles en mode administrateur, qui meme si il n'est pas aussi puissant que le "root" sous Linux, n'ont pas lieu d'être, n'inspire pas confiance
A cela on y ajoute la télémétrie avec les services qui se lancent au démarrage du PC


Il existe aussi (mais pas eu le temps de tester)
https://uninstalr.com/


Edit : Concernant IOBIT et la sté System Care
viewtopic.php?p=544364

[roger-delamare35]

Bonsoir,

Ok, merci pour les infos sur les désinstalleurs. Après réflexion, pour les bloatwares/crapwares j'utiliserai plutôt un "debloater" comme BloatyNosy (aussi pour la télémétrie) . Et pour la désinstallation standard : celle de Windows avec regshot pour voir les modifications du registre et éventuellement les corriger à la main (à voir à l'usage). Et en cas de besoin (si problème pour désinstaller) j'utiliserai un de ses désinstalleurs. Et suivant l'usage, j'apprécie aussi les versions portables des applications.

En ce qui concerne l'infection, après un scan RogueKiller avant-hier j'ai eu 5 détections : [PUP.OnlineIO (Potentiellement Malicieux)] AdvinstAnalytics -- %localappdata%\AdvinstAnalytics;
et 4X (à peu près identique) : [Suspicious.Path (Potentiellement Malicieux)] HKEY_LOCAL_MACHINE\System\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules|{A8E7FE9A-238D-4757-871B-7ABAC584F19B} -- [%SystemDrive%\Users\maill\AppData\Roaming\uTorrent\uTorrent.exe]

Comme c'est un nouveau PC, je n'ai pas de donnnées importantes, donc je pensais à la restauration d'usine sans conserver les données personnelles. Y a-t-il des risques, défauts ou contre-indications à part pour les données personnelles ? J'aimerais si possible aussi savoir si ça efface totalement les infections ? Et laquelle privilégier : OEM (mon PC est un HP), ou Windows 11 (et local ou par cloud), parmi celles-ci laquelle est la plus sécurisée ? Et laquelle permet de retrouver les pilotes adaptés au matériel du PC (pas important qu'ils soient à jour), avec les applications préinstallées du constructeur (HP) même si la plupart n'ont pas d'intérêt ? Enfin, faut-il mettre Internet (si réinitialisation autrement que par cloud) pendant la procédure, à cause de l'infection ?

Pour IObit, c'est de ma faute, il est vrai que j'avais consulté ses 2 pages : "https://www.malekal.com/desinstaller-pr ... logiciels/", "https://www.malekal.com/tutoriel-iobit-driver-booster/" mais je suis allé trop vite et effectivement, je n'ai pas vu ses mentions sur le forum, et j'aurai dû faire des recherches plus poussées dessus et faire par exemple ça :https://www.malekal.com/analyser-fichie ... rge-virus/. Excusez ma phrase, je voulais plaisanter et aussi faire de la bonne presse à IObit.

Si vous me confirmez que la réinitialisation est adaptée à mon cas, et que je n'ai pas de problèmes ensuite avec, je mettrai le sujet en résolu.


Merci.

[Malekal_morte]

Il n'y a pas d'infection.
Il n'y a pas de problème en soi, les restes dans le registre n'ont pas d'importance.
Si tu préfères réinitialiser le PC, c'est toi qui vois mais ça ne me semble pas utile.

Tu peux aussi désinstaller Avast!, pas utile.
Laisse Windows Defender, largement suffisant.

[roger-delamare35]

Bonjour,

Ok, c'est une bonne nouvelle. Vous m'avez rassuré. Donc je ne vais pas réinitialiser.

J'avoue que le cumul des détections de roguekiller (sûrement des faux positifs), les clés avec "ProcessHacker", "PCHunter" que je n'arrivais pas à contrôler/modifier/supprimer en système... Ainsi que les dossiers/fichiers qui réapparaissaient après suppression m'inquiétaient... Je préférais quand même demander.

Pour Avast, ce sera fait. Et je vais aussi appliquer les conseils pour le pare-feu windows defender. Je suis désolé de vous avoir dérangé peut-être inutilement, mais au moins, j'aurais appris des choses et ça m'aidera à améliorer un peu la sécurité du PC.

Je vous remercie pour l'aide apportée et j'imagine que c'est à vous de mettre le sujet en résolu (j'ai pas réussi à éditer le titre du 1er message).