Virus qui se réinstalle malgré suppression

[ben6688]

Bonjour !
Récemment, j'ai constaté des ralentissements en utilisation sur mon pc.

J'ai par la suite remarqué, avec HW Monitor et MSI Afterburner, que l'utilisation ainsi que les températures étaient anormalement élevées (GPU à 100% sur le bureau). Dès que j'ouvrais le gestionnaire des tâches pour vérifier quel programme consommait autant de ressources, l'utilisation du GPU retombait à 0%. Parfois, j'avais tout juste le temps de voir que svchost.exe utilisait énormément de ressources, avant qu'il ne retombe
à des valeurs normales.

J'ai donc installé Malwarebytes et lancé une analyse. Résultats :

MB_results1.txt

C'était donc, si j'interprète bien, un virus qui utilisait ma carte graphique pour miner de la cryptomonnaie. Je l'ai mis en quarantaine, puis supprimé (via Malwarebytes). J'ai ensuite désinstalé Malwarebytes, et 30min plus tard, rebelote, le GPU à 100%. Je réinstalle Malwarebytes, refais une analyse. Résultats :

MB_results2.txt

Je mets encore une fois en quarantaine et supprime le virus. Cette fois je laisse Malwarebytes installé (et ouvert).

Le lendemain, un site web est bloqué par Malwarebytes alors que je n'ai pas tenté d'y accéder.

Capture d’écran.png

Détails : fichier : C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe ; IP : 45.84.205.207 ; port : 443.

Si je comprends bien, il reste un programme malveillant dans Windows Powershell, qui tente de réinstaller le virus (c'est ça ?).
J'ai aussi effectué un scan avec ESET : un fichier détécté et supprimé, qui m'a l'air de correspondre.
C:\Users\Benoît\AppData\Roaming\Winsoft\core.ps1 PowerShell/CoinMiner.CH cheval de troie nettoyé par suppression

Enfin, j'ai lancé FRST, voici les liens des résultats.
FRST.txt : https://pjjoint.malekal.com/files.php?i ... j5i12t12c7
Addition : https://pjjoint.malekal.com/files.php?i ... 9l10f12q13
Shotcut : https://pjjoint.malekal.com/files.php?i ... 5y13t12k13

Ais-je besoin de formater mon pc / faire une clean install de windows ? Je n'ai pas envie de laisser des logiciels antivirus tourner tout le temps en arrière-plan...

Mais surtout, peut-on identifier d'où vient ce virus, afin que je ne refasse plus l'erreur à l'avenir ? Je pense déjà avoir quelques pistes...
-Je télécharge des mods pour des jeux, sur des sites non officiels donc, où le contenu est créé par la communauté.
-J'utilise une version "crackée" d'un logiciel (GuitarPro7) qu'un ami m'avait donnée par clef USB.
-Je télécharge parfois des vidéos youtube à l'aide de sites internet.
Je ne suis pas convaincu que cela vienne de là, puisque ça fait longtemps que j'utilise ces sites/logiciels, et que le problème est relativement récent. Mais je n'exclue pas ces possibilités.
Je serais plus prudent à l'avenir.

Merci beaucoup en tout cas de m'avoir lu, et j'espère que quelqu'un pourra m'aider.

[Parisien_entraide]

Bonjour


Malekal ou Angélique te diront ce qu'il en est

J'utilise une version "crackée" d'un logiciel (GuitarPro7) qu'un ami m'avait donnée par clef USB.
Je ne suis pas convaincu que cela vienne de là, puisque ça fait longtemps que j'utilise ces sites/logiciels, et que le problème est relativement récent.

Dans la mesure où tu ne sais pas si la détection est récente, (cela peut rester pendant des mois ou années avant détection) que tu utilises des cracks (c'est de l'inconscience) je ne pense pas que tu sois à même de déterminer si tu peut etre convaincu ou pas
Preuve en est, ça fuite en Lituanie
Au passage GuitarPRo7 a tout juste un an et demi

Les infections de 2022/2023 n'ont rien à voir avec les précédentes
viewtopic.php?t=71178


Tu utilises Brave qui avait une fonctionnalité activée par défaut avec la Crypto (Qui ne l était plus par défaut ensuite pour les nouvelles installations)
viewtopic.php?t=66172


Il y a du Wondershare qui traine (télémétrie mais pas de lien avec ton problème) , du discord, du steam (pour les deux ce sont des liens externes qui peuvent etre vérolés, ce qui est souvent le cas, on le voit dans le forum Steam)

Tu dis "

Je télécharge des mods pour des jeux, sur des sites non officiels donc, où le contenu est créé par la communauté."

Les mods infectés ca pullule (ou les liens qui envoient sur des mods)..


du Zoom (connu pour ses failles mais pas que)
viewtopic.php?p=486276#p486276


Au passage :

AdBlockUltimate
viewtopic.php?p=528497#p528497

[ben6688]

Bonjour, merci pour la réponse.

Preuve en est, ça fuite en Lituanie
Au passage GuitarPRo7 a tout juste un an et demi

Je n'ai pas compris, où veux-tu en venir ?

J'ai désinstallé depuis longtemps une partie des logiciels que tu cites ensuite (Brave, Wondershare, Zoom). J'en déduis qu'il reste des traces de ces logiciels, y a-t-il un moyen de les supprimer complètement ? Formatage du disque ?
Pour discord et Steam, tu as parlé de liens externes, de quoi s'agit-il ?
Concernant AdBlockUltimate, c'est vrai que je n'ai jamais vraiment réfléchi en l'installant. J'ai vu que tu recommandais uBlock Origin ici viewtopic.php?t=71117, je changerai donc.

Il n'y a donc aucun moyen de savoir d'où vient exactement le virus ?

[Parisien_entraide]

Tu disais "

J'utilise une version "crackée" d'un logiciel (GuitarPro7) qu'un ami m'avait donnée par clef USB.
-Je télécharge parfois des vidéos youtube à l'aide de sites internet.
Je ne suis pas convaincu que cela vienne de là, puisque ça fait longtemps que j'utilise ces sites/logiciels, et que le problème est relativement récent

Le "longtemps" est.. Relatif :-)

Pour les videos youtubes y a pas de danger à les télécharger
Par contre y a pas mal de comptes foireux, pour des astuces, cracks, mods de jeux etc qui sont donnés en lien sur certains comptes qui EUX sont malveillants
En fait il mettent en avant une video pour infecter les gens

Pour ce que tu cites ce sont possiblement des traces (en fait j'ai lu en diagonale) mais elles sont présentes
Je sais que BRAVE est assez ancré car il y a à peine 15 jours j'ai voulu l'installer pour quelqu'un et vu les services lancés au démarrage, la télemétrie active meme si tu ne lances pas le programme (sous pretexte d'aller vérifier les mises à jour) je l'ai viré avec REVO UNINSTALLER
Et là je ne sais si c'est du fait de ma version portable (légale) mais il restait les services actifs et je ne sais plus quoi (dont un dossier avec une .dll)
Il faudrait que je teste avec ma version installée

La règle en fait c'est de désinstaller avec REVO UNINSTALLER ou GEEK UNINSTALLER (sachant qu'ils ne sont efficaces que pour leur période d'essai)

Ublock Origin est la seule alternative viable, qui ne travaille pas avec des stés tierces qui ont des listes blanches ou qui en profitent comme GHOSTERY pour analyser ce qui est rejeté etc

Si tu lances STEAM, et que tu vas dans les discussions dont en FR , tu verras plein de sujets ou soit des gens se font voler des ITEMS, ou leur compte, ou se font infecter du fait de liens qui apparaissent dans les discussions chat et/ou discord pour acheter/Vendre des items, avoir des mods etc
Faudrait du reste que je fasse un jour un sujet là dessus..

Pour un nettoyage du registre, il y a un programme fiable " Argente Registry Cleaner "
viewtopic.php?t=68149

Téléchargement https://argenteutilities.com/en/downloads (et bien prendre Argente Registry Cleaner)

Mais lis bien tout ce que j'ai indiqué dont l'avertissement en fin de page
Perso je dois maintenant être à plus d'une dizaine de PC "nettoyés" et cela ne pose AUCUN problème dès lors que le PC est sain (pas de virus ou de fichiers windows foireux)

Donc à effectuer possiblement après le verdict de MALEKAL ou ANGELIQUE

[Malekal_morte]

Salut,

Non on ne peut pas savoir d'où cela vient.
Faudrait voir si tu as d'autres détections signalées par MBAM car sur les rapports FRST, rien d'anormal.
La réinitialisation de Windows peut supprimer une infection active mais pour le moment il ne semble pas y en avoir.

Tu as aussi beaucoup de plantages de Windows.
Après suppression de MBAM, tu as toujours ces ralentissements ?

[ben6688]

Salut,

La règle en fait c'est de désinstaller avec REVO UNINSTALLER ou GEEK UNINSTALLER (sachant qu'ils ne sont efficaces que pour leur période d'essai)
Pour un nettoyage du registre, il y a un programme fiable " Argente Registry Cleaner "

Ok, merci !

Tu as aussi beaucoup de plantages de Windows.
Après suppression de MBAM, tu as toujours ces ralentissements ?

Depuis je n'ai plus aucun problème (j'ai laissé Malwarebytes pour l'instant). J'ai d'ailleurs supprimé tous les mods pour mes jeux, dans le doute. Je viens de faire une analyse avec MBAM, ras.
Au niveau des plantages, en effet, ça m'arrivait souvent (en sortie de veille/en jeu), sans vraiment d'explication. J'avais également parfois des blue screens (Memory_management si je me rappelle bien).