Infection PC PowerShell [résolu]

[SpYY]

Bonjour,

J'ai vu plusieurs sujet parlant de ce virus mais je n'ose pas essayer une réparation via FRST moi-même malgré la lecture des tutos.

Depuis un bon moment, j'avais une fenêtre PowerShell intempestive mais je n'avais pas compris que cela pouvait être un virus.
Récemment, cette fenêtre est devenue insupportable avec le retour Windows en pleine tache (jeux etc...).
Je pense avoir eu ce virus via un téléchargement d'appli ou un crack.

J'ai donc réalisé plusieurs actions :
MalewareBytes
CCleaner (j'ai lu que ce n'était pas top car vol de données ?)
Adwcleaner
Hitman

Ces logiciels ont détéctés des trojans (powershell + Glupteba + Trojan.Crypt.MSIL Trojan.BitcoinStealer etc... + plusieurs sites bloqués avec un .duckdns ?) Plusieurs fichiers (uTorrent, DeamonTools, YoutubetoMP3converter (non utilisé depuis 2 ans))
Cependant, malgré la suppression/mise en quarantaine, les fenêtres Powershell s'ouvrent toujours.
J'ai même eu un problème de démarrage Windows (que j'ai pu solutionner en revenant à une version antérieure).

Je vous joint donc les 3 rapports de FRST afin de trouver une solution

Cordialement

FRST.txt https://pjjoint.malekal.com/files.php?i ... 0i6i7s10d6
Shortcut.txt https://pjjoint.malekal.com/files.php?i ... 4h10l11o12
Addition.txt https://pjjoint.malekal.com/files.php?i ... 5x13o13v10

[Parisien_entraide]

Bonsoir

Malekal ou Angélique fourniront un fix

Effectivement tu es infecté
Il y a au moins un script
Ypdates.ps1

De plus Defender a été désactivé avec le
Win32/DefenderTamperingRestore
(Du moins pour être exact c'est Defender qui indique que Defender n'est pas activé et qu'il a été désactivé. mais le résultat est le même)


Attention avec Winrar, qui n'est pas à jour (tu es en version 6.11) car c'est l'infection garantie avec les cracks
viewtopic.php?t=74424


A désinstaller (Et pas avec ta version de Revo qui est obsolète. La version gratuite fonctionne pleinement pendant 30 jours. Ensuite elle ne fait pas mieux que l'outil de Microsoft)

CCleaner
DaemonTools

Attention avec les disques durs et SSD.. Il te faut entre 10 et 15% de place libre sinon la maintenance ne se fait pas (et le TRIM pour les SSD, ce qui va faire vieillir les cellules prématurement)


POUR LES CRACKS (à lire en attendant le passage de Malekal ou Angélique)
viewtopic.php?p=544690#p544690

[SpYY]

Bonsoir Parisien_entraide,

Merci beaucoup pour ton retour rapide.

Concernant Windows Defender, il me semble qu'il s'est désactivé suite à l'activation de Malwaresbytes qui a pris la main ? Je l'ai réactivé.

Je viens d'installer la dernière version de Winrar, merci pour le sujet.

CCleaner et DeamonTools désinstallés avec l'outil Microsoft classique (je ne me rappelais même pas avoir Revo, depuis 2020...)
Quel est le logiciel à privilégier en remplacement de Deamon Tools pour monter un ISO ?

Merci pour l'information, j'ai commencé à faire du tri et j'en referais plus tard afin de libérer de l'espace.

Le sujet à l'air très intéressant concernant les cracks, ça fait peur... je lirais cela plus attentivement plus tard afin de ne plus me faire avoir...

Je viens de refaire une analyse :
FRST https://pjjoint.malekal.com/files.php?i ... 10z15y10z5
Shortcut https://pjjoint.malekal.com/files.php?i ... s5k6u15e11
Addition https://pjjoint.malekal.com/files.php?i ... i9t11m10k8

Cordialement

[Parisien_entraide]

L'indication de désactivation de Defender est antérieure de 8 jour à l'installation de MalwareBytes

Pour les alternatives .. Je ne sais quel est ton but (lire ouvrir exécuter ?)

https://www.malekal.com/ouvrir-monter-f ... ows-10-11/

Sinon il y a
https://wincdemu.sysprogs.org/

Quant à ne plus te faire avoir par les cracks.. Si le but est de te protéger des malwares contenus avec, ce n'est meme pas la peine d'y penser

Par ex Kaspersky évoque le trou dans la raquette

viewtopic.php?p=541514#p541514

[Malekal_morte]

Bonjour,

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
Task: {8D162720-7D4E-4655-A13C-CB2E4AD27E02} - System32\Tasks\AddDefenderExclusion => C:\Windows\system32\WindowsPowerShell\v1.0\PowerShell.exe [455680 2024-02-17] (Microsoft Windows -> Microsoft Corporation) -> -ExecutionPolicy Bypass -WindowStyle Hidden -File "C:\Users\Damien\AppData\Local\Temp\AddDefenderExclusion.ps1" <==== ATTENTION
Task: {1EE694BC-020E-4751-B2D6-4B0042356382} - System32\Tasks\AddDefenderExclusion2 => C:\Windows\system32\WindowsPowerShell\v1.0\PowerShell.exe [455680 2024-02-17] (Microsoft Windows -> Microsoft Corporation) -> -ExecutionPolicy Bypass -WindowStyle Hidden -File "C:\Users\Damien\AppData\Local\Temp\AddDefenderExclusion2.ps1" <==== ATTENTION
Task: {21AB2B02-5059-44FF-862D-2C34D00B8369} - System32\Tasks\csssssa => C:\Windows\system32\WindowsPowerShell\v1.0\PowerShell.exe [455680 2024-02-17] (Microsoft Windows -> Microsoft Corporation) -> -ExecutionPolicy Bypass -WindowStyle Hidden -File "C:\Users\Damien\AppData\Local\Temp\csssssa.ps1" <==== ATTENTION
Task: {02CC7E5F-80EC-461D-A231-F4D3C12CC48D} - System32\Tasks\Ypdates => C:\Windows\system32\WindowsPowerShell\v1.0\PowerShell.exe [455680 2024-02-17] (Microsoft Windows -> Microsoft Corporation) -> -ExecutionPolicy Bypass -WindowStyle Hidden -File "C:\Users\Damien\AppData\Local\Temp\Ypdates.ps1" <==== ATTENTION
2025-01-20 22:41 - 2025-01-20 22:41 - 000477341 ___SH C:\ProgramData\alina love me 2.ps1
2025-01-20 20:27 - 2025-01-28 17:46 - 000000000 ___HD C:\Users\Damien\AppData\Roaming\Suberrors
2025-01-20 20:27 - 2025-01-28 17:46 - 000000000 ___HD C:\ProgramData\LuSjQIJBUyDq
2025-01-20 19:49 - 2025-01-28 17:46 - 000000000 ___HD C:\Users\Damien\AppData\Roaming\winrarar
2025-01-20 19:48 - 2025-01-28 17:46 - 000000000 ___HD C:\ProgramData\KYcjobPRNamB
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

Important :

Le contenu de la correction ne doit pas être vide et doit refléter le script donné précédemment.
Dans le cas où la correction est vide, essaye de faire la correction FRST comme ceci :

Place le programme FRST sur le bureau
Ouvre le bloc-note.
Colle le script donné plus haut.
Enregistre le fichier sur le sur le bureau de Windows (pas ailleurs) sous le nom de fixlist.txt.
Relance FRST puis Corriger.


~~

Refais un scan FRST et donne à nouveaux les rapports.

[SpYY]

Bonjour,

Merci beaucoup Parisien_entraide pour ces informations.

Merci Malekal_morte, j'ai effectué la correction, voici donc le fixlog et la nouvelle analyse de FRST

Fixlog https://pjjoint.malekal.com/files.php?i ... v7u11t14f5

FRST https://pjjoint.malekal.com/files.php?i ... c8x14z6i11
Shortcut https://pjjoint.malekal.com/files.php?i ... 2u14s12t12
Addition https://pjjoint.malekal.com/files.php?i ... 0q11t15g15

[Malekal_morte]

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
C:\Users\Damien\AppData\Local\nodejs
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

Important :

Le contenu de la correction ne doit pas être vide et doit refléter le script donné précédemment.
Dans le cas où la correction est vide, essaye de faire la correction FRST comme ceci :

Place le programme FRST sur le bureau
Ouvre le bloc-note.
Colle le script donné plus haut.
Enregistre le fichier sur le sur le bureau de Windows (pas ailleurs) sous le nom de fixlist.txt.
Relance FRST puis Corriger.

[SpYY]

Merci, je viens de refaire la correction + analyse au cas où :

Fixlog https://pjjoint.malekal.com/files.php?i ... h9u13q6o11
FRST https://pjjoint.malekal.com/files.php?i ... z5d15d5z10
Shortcut https://pjjoint.malekal.com/files.php?i ... p7u5k8r6v9
Addition https://pjjoint.malekal.com/files.php?i ... 7k11p14l11

J'ai oublié de préciser qu'au lancement de la correction, j'ai eu une fenêtre indiquant : "asus-framework.exe error" "Can't open AsIO3.sys!! Failed with error code 5: Accès refusé." (que ce soit la première correction comme la deuxième)

Bien cordialement

[Malekal_morte]

Tu as cette erreur systématiquement au démarrage ou c'était simplement après la correction FRST ?

[SpYY]

C'était simplement après les corrections FRST, je ne l'ai pas au démarrage.

[Malekal_morte]

ok, je pense que c'est bon,

Supprime C:\FRST et ses restes.

A lire : que faire après une attaque de virus informatique.
Change tes mots de passe et assure toi que Windows Defender fonctionne correctement (protections activées et qu'il n'y a pas d'exceptions ajoutées).

Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?

[SpYY]

Merci beaucoup pour votre rapidité et toutes les informations !

Bien cordialement