Virus Trojan qui se cache et non détécté par Windows Defender [Résolu]

[Skaylla]

Bonjour à la communauté Malekal,

Hier en faisant 3 scans : Malwarebytes Anti-Malware (MBAM), Ease puis Frst, j'ai réalisé que j'avais un virus qui trainait depuis plusieurs semaines, sans que je ne sois alerté par Windows Defender et MB. Après nettoyage, celui-ci semble disparu, mais quand j'ai regardé la dernière analyse FRST, j'ai cru comprendre que Windows Defender était désactivé alors qu'il apparait activé en vert. Après vérification, je n'arrive pas à accéder à la partie protection contre les virus et menaces de WD, est-ce que ça signifie qu'il est toujours là ? J'ai quelques projets que je n'ose pas commencer de peur des conséquences que ce virus pourraient avoir.

Merci beaucoup pour votre aide.

Fichiers :
Frst : https://pjjoint.malekal.com/files.php?i ... c8h12i15e9
Addition : https://pjjoint.malekal.com/files.php?i ... 10d11y6j14
Shortcut : https://pjjoint.malekal.com/files.php?i ... l9y12n7i12

[Parisien_entraide]

Bonsoir

Je note le VPN Wire / Hola
Source douteuse Chinoise avec ce programme récent qui était sur Mac mais pas disponible sur leur store, uniquement sur le site Web Chinois avec visiblement une version PC maintenant : Shanghai Zherui Network Technology Co., Ltd.

C'est toi qui l'a installé ? (je note un ProtonVPN dans le firewall aussi)

Evite ce genre de fumisterie
"Comment devenir un HACKER en 2 minutes.mp4"
C'est pour cela que tu as installé Python ?

C'est légal ?

Adobe InDesign 2023
Adobe Photoshop 2023
Adobe Illustrator 2023


Au passage ton "navigateur" Chrome est un véritable Capharnaüm
WinRAR n'est pas à jour et vu les failles exploitées actuellement avec les progs de cracks en .rar/.zip ...
Wondershare à virer (mais cela pourra etre fait via un fix)

Je note un

tpmcompc un classic trojan bot (EMOTET) heureusement bloqué par defender sinon il récupérait un ransomware ou un voleur de données bancaires

Et donc :
Trojan:Script/Phonzy.B!ml
Trojan:Win32/Wacatac.H!ml

Malekal ou Angélique s'occuperont de ton cas

[angelique]

Bonjour/Bonsoir

Fait le ménage dans tes extensions Chrome !



Télécharge à coté de FRST64.EXE , PAS AILLEURS !!!!! le fichier fixlist.txt en pièce jointe en bas du message.

➯ Relance FRST64(clic droit exécuter en tant qu'administrateur) et clic sur le bouton corriger/fix

Un redémarrage peut être nécessaire, ne touche à rien et accepte le redémarrage

Un fichier texte apparaît peut être nommé fixlog.txt au même endroit que frst64.exe et que fixlist.txt, copie/colle le contenu ici dans un nouveau message avec ton commentaire.

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnements et endommager Windows /!\

[Skaylla]

Merci pour ta réponse Parisien Entraide,

Je vais essayer de te répondre points par points :

- Concernant, Hola, il me semble ne l'avoir jamais installé et hier justement en faisant un tour des mes logiciels et fichiers, je l'ai trouvé suspect et quand j'ai voulu le supprimer, je ne l'ai pas trouvé.

- Pour les VPN c'était bien moi, mais je pensais les avoir désinstallé, puisque ça ralentissait le pc et que ça ne me servait pas plus que ça.

- Concernant Python, tous mes problèmes informatiques partent de là, j'essaye de me former au reskin d'application, ducoup j'ai installé android app et il y a quelques mois, et un jour j'ai eu un message d'erreur au démarrage de Windows : "pythonw.exe : erreur système Impossible d'executer le code, car python311.dll est introuvable. la réinstallation du programme peut corriger ce problème." De là j'ai cherché à résoudre ce problème (chercher le fichier manquant sur le web, restauration du systeme, MAJ C++, invite de commande, j'ai quasi tout essayé, j'y suis depuis hier matin, et la dernière solution en date que j'ai trouvé était simplement d'installer Python , ce que j'ai fait, sachant que mes connaissances en info sont très limitées et en rallumant le pc le message avait disparu mais en faisant une analyse FRST j'ai vu que le fichier python31.dll était infecté par le virus.

- Concernant Adobe, c'était une licence Créative Cloud que j'avais en formation qui a expiré il y a quelques mois. Aujourd'hui je n'y ai plus accès, je peux juste voir les fichiers en .psd, mais pas les modifier.

- Pour Chrome, qu'est ce que tu appelles capharnaum ? Et comment tout arranger ça ^^

- Je pensais avoir déja virer wondershare

- Qu'est ce que tu entends par "WinRAR n'est pas à jour et vu les failles exploitées actuellement avec les progs de cracks en .rar/.zip ..." ?

Il y a quelque mois, j'avais posté ici suite à un virus et je me suis faites pirater tout mes mots de passe GMAIl et CB est ce qu'il peut s'agir du meme pirate/virus ?

Ok donc il y a deux virus ... ?

Merci pour tes observations !

[Parisien_entraide]

Applique le Fix d'Angélique qu'elle a longuement tapoté avec ses petites mimines, on verra après

[Skaylla]

Coucou Angélique et merci beaucoup pour le temps que tu as pris pour le script !

Comme demandé, j'ai fais les tri de mes extensions. et j'ai suivi tes reco pour la correction frst dont voici le fichier "fixlog" :

https://pjjoint.malekal.com/files.php?i ... 8n12f9o9z6

En revanche je n'ai pas encore désinstaller les VPNs et pas encore python, je le désinstalle aussi ? Vu que c'était pour le fichier python311.dll ? Est-ce que je dois changer tous mes mots de passes ?

Merci pour tes réponses

[Malekal_morte]

Vérifie que Windows Defender est fonctionnel.
Si ce n'est pas le cas, utilisez le script de ce tutoriel : https://www.malekal.com/impossible-dact ... -defender/

Si Windows Defender ne fonctionne toujours pas, pour réparer Windows defender : réparer Windows 10 sans perte de données
Et sinon effectivement faudra réinitialiser.

[Parisien_entraide]

En complément de ce qu'indique MALEKAL il te faut déjà à la base installer les versions 64bits de Python ET 32Bits

Ensuite il y a ce bug https://github.com/python/cpython/issues/100320
Corrigé normalement dans la version 3.12, sachant qu'il y a actuellement la 3.13
https://github.com/python/cpython

[Skaylla]

Bonjour Malekal et Parisien entraide,

Après vérification "WD" fonctionne normalement à nouveau.

Pour "python" je n'ai plus le message d'erreur système, depuis que j'ai installé "python-3.11.5-amd64" y'a 2 jours, est-ce que je dois malgré tout suivre la procédure github ? ça semble assez technique est-ce que c'est à ma portée ?

Merci pour votre aide, j'ai l'impression que mon PC ne fait plus de bruit comme avant, c'est tellement rassurant.

[Parisien_entraide]

Si tu n'as plus le pb pourquoi t'embêter ?

[Skaylla]

Oui, on va éviter alors ^^

En tout cas merci beaucoup pour votre aide et merci encore à Angélique pour le script !

Excellente fin de week-end à vous !

[angelique]

A mon avis , tu avais une entrée malveillante qu'on a supprimé qui réclamait python pour fonctionner:

Startup: C:\Users\Norac\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\OpenWith.lnk [2023-08-03]
ShortcutTarget: OpenWith.lnk -> C:\Users\Norac\AppData\Roaming\XAudio2_9\pythonw.exe (Python Software Foundation -> Python Software Foundation)
C:\Users\Norac\AppData\Roaming\XAudio2_9\pythonw.exe => déplacé(es) avec succès
C:\Users\Norac\AppData\Roaming\XAudio2_9 => déplacé(es) avec succès

Change tous tes MDP Ѡeb par précaution.

Suppression de FRST

Pour supprimer automatiquement tous les fichiers/dossiers créés par FRST et l'outil lui-même, renommez FRST/FRST64.exe en uninstall.exe et exécutez-le. La procédure nécessite un redémarrage

[Skaylla]

Bonjour Angélique, je pensais que le sujet était clôturé et je tombe à peine sur ton message.

Je voulais savoir pourquoi tu me conseilles de supprimer FRST ? Car il m'a permi lundi, en faisant un scan, de réaliser que j'avais encore "hola" et "wirevpn" qui étaient installés sur mon pc, alors que j'ai tenté de les supprimer plusieurs fois ! Du coup, je me suis aidé de "Unlocked portable" pour forcer la suppression et internet/parametre/option/connexion/notification, pour supprimer "hola" de mon navigateur, seulement aujourd'hui en analysant le fichier addition, j'ai cru comprendre que Windows Defender était à nouveau disabled pour la partie protection en temps réel, impossible de cocher la case car ça m'indique : "vous utilisez d'autres fournisseurs d'antivirus" et effectivement je me sers de MB et Eset, mais ça me semble bizarre. Est-ce normal ? Merci : )

[Skaylla]

Bonjour Angélique, je pensais que le sujet était clôturé et je tombe à peine sur ton message.

Je voulais savoir pourquoi tu me conseilles de supprimer FRST ? Car il m'a permi lundi, en faisant un scan, de réaliser que j'avais encore "hola" et "wirevpn" qui étaient installés sur mon pc, alors que j'ai tenté de les supprimer plusieurs fois ! Du coup, je me suis aidé de "Unlocked portable" pour forcer la suppression et internet/parametre/option/connexion/notification, pour supprimer "hola" de mon navigateur, seulement aujourd'hui en analysant le fichier addition, j'ai cru comprendre que Windows Defender était à nouveau disabled pour la partie protection en temps réel, impossible de cocher la case car ça m'indique : "vous utilisez d'autres fournisseurs d'antivirus" et effectivement je me sers de MB et Eset, mais ça me semble bizarre. Est-ce normal ? Merci : )

Voici les liens des fichiers FRST de ce matin :

- Addition : https://pjjoint.malekal.com/files.php?i ... 14r11f12w5
- FRST : https://pjjoint.malekal.com/files.php?i ... 5h13x10l12

[angelique]

MBAM et les autres antivirus désactive WD.

FRST est mis à jour régulièrement, aucun intérêt de le conserver.