Trojan/cheval de Troie miner

[zip]

Salut problème de cheval de Troie.
Merci pour votre retour.
https://pjjoint.malekal.com/files.php?i ... 11o138i514
https://pjjoint.malekal.com/files.php?i ... w14b10e6g6
https://pjjoint.malekal.com/files.php?i ... 2k10c10x10
Malwarebytes m'envoie Malwarebytes me renvoies ceci également.
www.malwarebytes.com

-Détails du journal-
Date de l’événement de protection: 26/04/2025
Heure de l’événement de protection: 10:27
Fichier journal: 3b3517a0-2278-11f0-a0da-b42e99f07f11.json

-Informations du logiciel-
Version: 5.2.11.183
Version de composants: 131.0.5227
Version de pack de mise à jour: 1.0.98409
Licence: Essai

-Informations système-
Système d’exploitation: Windows 10 (Build 19045.5737)
Processeur: x64
Système de fichiers: NTFS
Utilisateur: System

-Détails du site Web bloqué-
Site Web malveillant: 1
, C:\Windows\svshost.exe, Bloqué, -1, -1, 0.0.0, ,

-Données du site Web-
Catégorie: Trojan
Domaine: quai-eu.kryptex.network
Adresse IP: 104.238.177.160
Port: 7035
Type: En sortie
Fichier: C:\Windows\svshost.exe

[devadip]

Slt
Tous tes liens ne montrent aucun rapport.

[zip]

https://pjjoint.malekal.com/files.php?i ... z5l9p13j15
https://pjjoint.malekal.com/files.php?i ... 15j14q6z10
https://pjjoint.malekal.com/files.php?i ... 11c11e1212
Ca devrait étre mieux comme ca pardon

[Parisien_entraide]

Bonsoir

Malekal ou Angélique te diront ce qu'il en est mais déjà, en dehors de ce Trojan

Kingsoft
Je ne conseille pas
viewtopic.php?p=515541#p515541


Idem OverWolf
viewtopic.php?f=45&t=75817

Ton WinRar n'est pas à jour (Du reste un 7zip décompacte les .rar)
Les risques (dont avec les trojan)
viewtopic.php?t=74424


WebCompanion
C'est un programme parasite connu depuis longtemps
https://www.malekal.com/supprimer-adawa ... companion/


Je note un ccleaner (Au passage tu as téléchargé AVAST mais ne l'installe pas)
A lire : https://www.malekal.com/avez-vraiment-besoin-ccleaner/


Des lignes curieuses... En fait en lien avec l'infection

2025-04-24 18:28 - 2025-03-09 18:03 - 000000819 _____ C:\Windows\mid.ps1
2025-04-24 18:28 - 2025-02-20 02:22 - 119512576 _____ () C:\Windows\svshost.exe
2025-04-24 18:28 - 2023-06-10 23:29 - 000000202 _____ C:\Windows\bb.bat

Pour le mid.ps1 c'est classique d un script powershell donc d'une infection comme déjà vu ici avec le
Backdoor:MSIL/Quasar!atmn
Donc un trojan (cheval de Troie) d'accès à distance (RAT)

Ce que tu as trouvé c'est MBAM qui a donné l'information ?

[zip]

Bonsoir oui c'est MBAM qui m'a trouvé ca et bloqué le site.

[Malekal_morte]

Bonsoir,

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-1914216881-988073014-3738352656-1001\...\Run: [Web Companion] => C:\Program Files (x86)\Lavasoft\Web Companion\Application\WebCompanion.exe [9123248 2021-10-12] (Lavasoft Software Canada Inc. -> Lavasoft) <==== ATTENTION
Task: {A75F4B25-FC0C-4680-B4C1-3066AAC1F5C9} - System32\Tasks\Microsoft\Windows\Bluetooth\UninstallDeviceTask => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [455680 2024-02-16] (Microsoft Windows -> Microsoft Corporation) -> -ExecutionPolicy Bypass -WindowStyle Hidden -File C:\WINDOWS\mid.ps1 <==== ATTENTION
Task: {42021767-D790-40D2-9A75-5A1FCE9AD766} - System32\Tasks\MSI Task Host - Detect_Monitor => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [455680 2024-02-16] (Microsoft Windows -> Microsoft Corporation) -> -ExecutionPolicy ByPass -WindowStyle Hidden C:\Users\antoi\AppData\Roaming\Winsoft\core.ps1 <==== ATTENTION
R2 CurrentSong; C:\Users\antoi\Downloads\build-master-917b5ae\nssm.exe [368640 2017-04-26] (Iain Patterson) [Fichier non signé] <==== ATTENTION
S2 DCIService; C:\Program Files (x86)\Lavasoft\Web Companion\Service\x64\DCIService.exe [3413424 2021-10-12] (Lavasoft Software Canada Inc. -> ) <==== ATTENTION
C:\Users\antoi\Downloads\build-master-917b5ae
025-04-24 18:28 - 2025-03-09 18:03 - 000000819 _____ C:\Windows\mid.ps1
2025-04-24 18:28 - 2025-02-20 02:22 - 119512576 _____ () C:\Windows\svshost.exe
2025-04-24 18:28 - 2023-06-10 23:29 - 000000202 _____ C:\Windows\bb.bat
C:\Program Files (x86)\Lavasoft
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

Important :

Le contenu de la correction ne doit pas être vide et doit refléter le script donné précédemment.
Dans le cas où la correction est vide, essaye de faire la correction FRST comme ceci :

Place le programme FRST sur le bureau
Ouvre le bloc-note.
Colle le script donné plus haut.
Enregistre le fichier sur le sur le bureau de Windows (pas ailleurs) sous le nom de fixlist.txt.
Relance FRST puis Corriger.



2) réinitialiser les navigateurs:
==================================
Réinitialise tes navigateurs et/ou re-paramètre manuellement tes navigateurs WEB ( page de démarrage, moteur de recherche, etc ) mais aussi supprimer/désactiver les extensions inutiles/parasites.
Pour t'aider à effectuer ce ménage, clique ci-dessous sur le nom du navigateur WEB que tu utilises :

• Réparer Mozilla Firefox (premier paragraphe)
• Réparer Google Chrome (premier paragraphe)
• Comment réparer ou réinitialiser Microsoft Edge

3) Désinstalle CCleaner, totalement inutile et ralentit Windows

4) Faire un nettoyage Malwarebytes Anti-Malware (MBAM) version gratuite

5) Refais un scan FRST et donne les nouveaux rapports via pjjoint