Desinstaller Rising antivirus svp

lajeannine31 -  
Bonjour,

Alors voila il y a quelques jours ce fiche programme chinois s'est installé sur mon ordinateur à mon insu et impossible de le retirer. Dans panneau de configuration si il apparaît c'est en chinois et du coup impossible de l'enlever.

Merci d'avance !!

21 réponses

Résumé de la discussion

La discussion porte sur une infection par un programme chinois installé sans consentement et présentant des difficultés de suppression via le panneau de configuration lorsque l'interface apparaît en chinois. Plusieurs recommandations ont été suivies, notamment l'utilisation de FRST pour générer des rapports FRST.txt, Additionnal.txt et Shortcut.txt, puis l'envoi des résultats via pjjoint pour analyse. Les données listent des éléments détectés comme Baidu, QiYi et des composants de Rising, des modifications dans Run, des startup et des DLL malveillants, suivies d'un nettoyage et déplacement de fichiers. Enfin, les rapports FRST et les fichiers de correction indiquent que plusieurs éléments ont été déplacés ou supprimés, certains actions nécessitant un redémarrage pour finaliser le nettoyage et sécuriser le système.

Bobot (l’IA à votre service)
  1. Malekal_morte- Modérateur
    Salut,

    Fais un nettoyage ZHPCleaner : https://forum.malekal.com/viewtopic.php?t=48954&start=

    puis :

    Suis le tutoriel FRST.
    (et bien prendre le temps de lire afin d'appliquer correctement - tout y est expliqué).
    Télécharge et lance le scan FRST, cela va générer trois rapports FRST :
    • FRST.txt
    • Shortcut.txt
    • Additionnal.txt


    Envoie, comme expliqué, ces trois rapports sur le site http://pjjoint.malekal.com et en retour donne les trois liens pjjoint qui mènent à ses rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

    1
    5. Malekal_morte- Modérateur
      Tente cela,

      Voici la correction à effectuer avec FRST.
      Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/#fix

      Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK.
      Copie/colle dedans ce qui suit :

      HKU\S-1-5-21-1287235584-786264263-2186423428-1001\...\Run: [apphide] => C:\Program Files (x86)\baidu\baidu.exe [69632 2015-07-22] ()
      Startup: C:\Users\Audrey\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\hwr.jar [2014-06-22] ()
      BHO-x32: GoodTab Class -> {1F91A9A1-01BA-4c81-863D-3BA0751E1419} -> C:\Program Files (x86)\MiuiTab\SupTab.dll Pas de fichier
      2015-08-12 13:43 - 2015-08-16 11:00 - 00000000 ____D C:\IQIYI Video
      2015-08-12 13:43 - 2015-08-16 09:58 - 00000000 ____D C:\qycache
      2015-08-12 13:43 - 2015-08-12 13:43 - 00000000 ____D C:\Users\Public\QiYi
      2015-08-12 13:42 - 2015-08-12 13:50 - 00000000 ____D C:\Users\Audrey\AppData\Roaming\WTools
      2015-08-12 13:34 - 2015-08-12 13:34 - 00000000 _____ C:\WINDOWS\prleth.sys
      2015-08-12 13:34 - 2015-08-12 13:34 - 00000000 _____ C:\WINDOWS\hgfs.sys
      Task: {C0054CE5-0542-4949-80A1-CCF136DC349F} - System32\Tasks\{66CA2F2B-0371-4943-8801-C0B457B1F95D} => pcalua.exe -a C:\Users\Audrey\AppData\Roaming\omniboxes\UninstallManager.exe -c -ptid=amt
      R1 rsutils; C:\Windows\System32\DRIVERS\rsutils.sys [71760 2015-04-09] (Beijing Rising Information Technology Co., Ltd.)
      R0 sysmon; C:\Windows\System32\DRIVERS\sysmon.sys [119256 2015-04-30] (Beijing Rising Information Technology Co., Ltd.)
      HKLM-x32\...\Run: [RSDTRAY] => C:\Program Files (x86)\Rising\RSD\popwndexe.exe [126808 2012-09-25] (Beijing Rising Information Technology Co., Ltd.)
      HKLM-x32\...\Run: [RavTRAY] => C:\Program Files (x86)\Rising\RAV\RSTRAY.EXE [111000 2014-05-15] (Beijing Rising Information Technology Co., Ltd.)
      C:\Program Files (x86)\Rising
      FF Plugin-x32: @rising.com.cn/nprising -> C:\Program Files (x86)\Rising\RAV\nprising.dll [2013-06-27] (Beijing Rising Information Technology Co., Ltd.)
      FF Plugin HKU\S-1-5-21-1287235584-786264263-2186423428-1001: @rising.com.cn/nprising -> C:\Program Files (x86)\Rising\RAV\nprising.dll [2013-06-27] (Beijing Rising Information Technology Co., Ltd.)
      R2 RsMgrSvc; C:\Program Files (x86)\Rising\RSD\RsMgrSvc.exe [196288 2015-08-16] (Beijing Rising Information Technology Co., Ltd.)
      R2 RsRavMon; C:\Program Files (x86)\Rising\RAV\ravmond.exe [277552 2014-05-15] (Beijing Rising Information Technology Co., Ltd.)

      Relance FRST et clic sur le bouton Corriger / Fix
      Selon comment un redémarrage est nécessaire (pas obligatoire).
      Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

      Redémarre l'ordinateur

      puis réinitialise tes navigateurs:
      ==================================
      Réinitialise tes navigateurs et ou manuellement reparamètre tes navigateurs WEB (page de démarrage, moteur de recherche etc) mais aussi supprimer/désactiver les extensions inutiles/parasites :

      0
      1. lajeannine31 Auteur
        Résultats de correction de Farbar Recovery Scan Tool (x64) Version:14-08-2015 01
        Exécuté par Audrey (2015-08-16 12:49:10) Run:1
        Exécuté depuis C:\Users\Audrey\Downloads
        Profils chargés: Audrey (Profils disponibles: Audrey)
        Mode d'amorçage: Normal
        ==============================================

        fixlist contenu:
        HKU\S-1-5-21-1287235584-786264263-2186423428-1001\...\Run: [apphide] => C:\Program Files (x86)\baidu\baidu.exe [69632 2015-07-22] ()
        Startup: C:\Users\Audrey\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\hwr.jar [2014-06-22] ()
        BHO-x32: GoodTab Class -> {1F91A9A1-01BA-4c81-863D-3BA0751E1419} -> C:\Program Files (x86)\MiuiTab\SupTab.dll Pas de fichier
        2015-08-12 13:43 - 2015-08-16 11:00 - 00000000 ____D C:\IQIYI Video
        2015-08-12 13:43 - 2015-08-16 09:58 - 00000000 ____D C:\qycache
        2015-08-12 13:43 - 2015-08-12 13:43 - 00000000 ____D C:\Users\Public\QiYi
        2015-08-12 13:42 - 2015-08-12 13:50 - 00000000 ____D C:\Users\Audrey\AppData\Roaming\WTools
        2015-08-12 13:34 - 2015-08-12 13:34 - 00000000 _____ C:\WINDOWS\prleth.sys
        2015-08-12 13:34 - 2015-08-12 13:34 - 00000000 _____ C:\WINDOWS\hgfs.sys
        Task: {C0054CE5-0542-4949-80A1-CCF136DC349F} - System32\Tasks\{66CA2F2B-0371-4943-8801-C0B457B1F95D} => pcalua.exe -a C:\Users\Audrey\AppData\Roaming\omniboxes\UninstallManager.exe -c -ptid=amt
        R1 rsutils; C:\Windows\System32\DRIVERS\rsutils.sys [71760 2015-04-09] (Beijing Rising Information Technology Co., Ltd.)
        R0 sysmon; C:\Windows\System32\DRIVERS\sysmon.sys [119256 2015-04-30] (Beijing Rising Information Technology Co., Ltd.)
        HKLM-x32\...\Run: [RSDTRAY] => C:\Program Files (x86)\Rising\RSD\popwndexe.exe [126808 2012-09-25] (Beijing Rising Information Technology Co., Ltd.)
        HKLM-x32\...\Run: [RavTRAY] => C:\Program Files (x86)\Rising\RAV\RSTRAY.EXE [111000 2014-05-15] (Beijing Rising Information Technology Co., Ltd.)
        C:\Program Files (x86)\Rising
        FF Plugin-x32: @rising.com.cn/nprising -> C:\Program Files (x86)\Rising\RAV\nprising.dll [2013-06-27] (Beijing Rising Information Technology Co., Ltd.)
        FF Plugin HKU\S-1-5-21-1287235584-786264263-2186423428-1001: @rising.com.cn/nprising -> C:\Program Files (x86)\Rising\RAV\nprising.dll [2013-06-27] (Beijing Rising Information Technology Co., Ltd.)
        R2 RsMgrSvc; C:\Program Files (x86)\Rising\RSD\RsMgrSvc.exe [196288 2015-08-16] (Beijing Rising Information Technology Co., Ltd.)
        R2 RsRavMon; C:\Program Files (x86)\Rising\RAV\ravmond.exe [277552 2014-05-15] (Beijing Rising Information Technology Co., Ltd.)

        HKU\S-1-5-21-1287235584-786264263-2186423428-1001\Software\Microsoft\Windows\CurrentVersion\Run\\apphide => valeur supprimé(es) avec succès
        "C:\Users\Audrey\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\hwr.jar" => Impossible de déplacer.
        "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{1F91A9A1-01BA-4c81-863D-3BA0751E1419}" => clé supprimé(es) avec succès
        "HKCR\Wow6432Node\CLSID\{1F91A9A1-01BA-4c81-863D-3BA0751E1419}" => clé supprimé(es) avec succès
        C:\IQIYI Video => déplacé(es) avec succès.
        C:\qycache => déplacé(es) avec succès.
        C:\Users\Public\QiYi => déplacé(es) avec succès.
        C:\Users\Audrey\AppData\Roaming\WTools => déplacé(es) avec succès.
        C:\WINDOWS\prleth.sys => déplacé(es) avec succès.
        C:\WINDOWS\hgfs.sys => déplacé(es) avec succès.
        "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{C0054CE5-0542-4949-80A1-CCF136DC349F}" => clé supprimé(es) avec succès
        "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{C0054CE5-0542-4949-80A1-CCF136DC349F}" => clé supprimé(es) avec succès
        C:\WINDOWS\System32\Tasks\{66CA2F2B-0371-4943-8801-C0B457B1F95D} => déplacé(es) avec succès.
        "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{66CA2F2B-0371-4943-8801-C0B457B1F95D}" => clé supprimé(es) avec succès
        rsutils => Impossible d'arrêter le service.
        rsutils => service supprimé(es) avec succès
        sysmon => Impossible d'arrêter le service.
        sysmon => service impossible à supprimer
        HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\\RSDTRAY => valeur supprimé(es) avec succès
        HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\\RavTRAY => valeur impossible à supprimer.

        "C:\Program Files (x86)\Rising" dossier déplacer:

        Impossible de déplacer "C:\Program Files (x86)\Rising" => Planifié pour déplacement au redémarrage.

        "HKLM\Software\Wow6432Node\MozillaPlugins\@rising.com.cn/nprising" => clé supprimé(es) avec succès
        Impossible de déplacer "C:\Program Files (x86)\Rising\RAV\nprising.dll" => Planifié pour déplacement au redémarrage.
        "HKU\S-1-5-21-1287235584-786264263-2186423428-1001\Software\MozillaPlugins\@rising.com.cn/nprising" => clé supprimé(es) avec succès
        Impossible de déplacer "C:\Program Files (x86)\Rising\RAV\nprising.dll" => Planifié pour déplacement au redémarrage.
        RsMgrSvc => Impossible d'arrêter le service.
        RsMgrSvc => service supprimé(es) avec succès
        RsRavMon => Impossible d'arrêter le service.
        RsRavMon => service impossible à supprimer

        Résultats du déplacement planifié des fichiers (Mode d'amorçage: Normal) (Date&Heure: 2015-08-16 12:55:27)<=

        C:\Program Files (x86)\Rising => déplacé(es) avec succès
        C:\Program Files (x86)\Rising\RAV\nprising.dll => a été déplacé(e) avec succès
        C:\Program Files (x86)\Rising\RAV\nprising.dll => a été déplacé(e) avec succès

        Fin de Fixlog 12:55:35

        0
        1. lajeannine31 Auteur
          Je crois que ça a marché, merci !!
          0
          1. Malekal_morte- Modérateur
            On dirait qu'il y a des trucs qu'il n'a pu supprimer;

            Tu peux refaire un scan FRST et donner les rapports via pjjoint pour voir.
            0
            1. lajeannine31 Auteur
              ok je refais ça alors !
              0
              4. Malekal_morte- Modérateur
                il reste bien des trucs,

                Voici la correction à effectuer avec FRST.
                Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/#fix

                HKLM-x32\...\Run: [RavTRAY] => C:\Program Files (x86)\Rising\RAV\RSTRAY.EXE -system
                R2 RsRavMon; C:\Program Files (x86)\Rising\RAV\ravmond.exe [X]
                R1 HyperVM; C:\WINDOWS\system32\drivers\hvm.sys [41784 2015-08-16] (Beijing Rising Information Technology Co., Ltd.)
                R0 sysmon; C:\Windows\System32\DRIVERS\sysmon.sys [119256 2015-04-30] (Beijing Rising Information Technology Co., Ltd.)
                2015-08-16 13:24 - 2015-08-16 13:24 - 00000000 ____D C:\Program Files (x86)\Rising
                2015-08-12 14:18 - 2014-07-30 04:44 - 00091928 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\SysWOW64\vpatch.dll
                2015-08-12 14:18 - 2013-12-30 09:33 - 00256280 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\SysWOW64\ravext.dll
                2015-08-12 14:18 - 2012-09-06 02:30 - 00240472 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\SysWOW64\bsmain.exe
                2015-08-12 14:17 - 2015-04-30 03:17 - 00119256 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\system32\Drivers\sysmon.sys
                2015-08-12 14:17 - 2015-04-09 07:00 - 00071760 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\system32\Drivers\rsutils.sys
                2015-08-12 14:17 - 2012-02-29 09:49 - 00011888 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\system32\Drivers\rsndisp.sys
                2015-08-12 14:14 - 2015-08-12 14:18 - 00000000 ____D C:\ProgramData\Rising
                2015-08-12 13:56 - 2015-08-12 14:05 - 00000000 ____D C:\Users\Audrey\AppData\Local\5546

                Une fois, le texte coller dans le bloc-note.
                Menu Fichier puis Enregistrer sous.
                A gauche, place toi sur le bureau.
                Dans le champs en bas, nom du fichier mets : fixlist.txt
                Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.

                Relance FRST et clic sur le bouton Corriger / Fix
                Selon comment un redémarrage est nécessaire (pas obligatoire).
                Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

                Redémarre l'ordinateur

                0
                1. lajeannine31 Auteur
                  Résultats de correction de Farbar Recovery Scan Tool (x64) Version:16-08-2015
                  Exécuté par Audrey (2015-08-16 21:29:36) Run:2
                  Exécuté depuis C:\Users\Audrey\Downloads
                  Profils chargés: Audrey (Profils disponibles: Audrey)
                  Mode d'amorçage: Normal
                  ==============================================

                  fixlist contenu:
                  HKLM-x32\...\Run: [RavTRAY] => C:\Program Files (x86)\Rising\RAV\RSTRAY.EXE -system

                  R2 RsRavMon; C:\Program Files (x86)\Rising\RAV\ravmond.exe [X]

                  R1 HyperVM; C:\WINDOWS\system32\drivers\hvm.sys [41784 2015-08-16] (Beijing Rising Information Technology Co., Ltd.)

                  R0 sysmon; C:\Windows\System32\DRIVERS\sysmon.sys [119256 2015-04-30] (Beijing Rising Information Technology Co., Ltd.)

                  2015-08-16 13:24 - 2015-08-16 13:24 - 00000000 ____D C:\Program Files (x86)\Rising

                  2015-08-12 14:18 - 2014-07-30 04:44 - 00091928 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\SysWOW64\vpatch.dll

                  2015-08-12 14:18 - 2013-12-30 09:33 - 00256280 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\SysWOW64\ravext.dll

                  2015-08-12 14:18 - 2012-09-06 02:30 - 00240472 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\SysWOW64\bsmain.exe

                  2015-08-12 14:17 - 2015-04-30 03:17 - 00119256 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\system32\Drivers\sysmon.sys

                  2015-08-12 14:17 - 2015-04-09 07:00 - 00071760 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\system32\Drivers\rsutils.sys

                  2015-08-12 14:17 - 2012-02-29 09:49 - 00011888 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\system32\Drivers\rsndisp.sys

                  2015-08-12 14:14 - 2015-08-12 14:18 - 00000000 ____D C:\ProgramData\Rising

                  2015-08-12 13:56 - 2015-08-12 14:05 - 00000000 ____D C:\Users\Audrey\AppData\Local\5546

                  HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\\RavTRAY => valeur supprimé(es) avec succès
                  RsRavMon => Impossible d'arrêter le service.
                  RsRavMon => service supprimé(es) avec succès
                  HyperVM => Impossible d'arrêter le service.
                  HyperVM => service supprimé(es) avec succès
                  sysmon => Impossible d'arrêter le service.
                  sysmon => service supprimé(es) avec succès

                  "C:\Program Files (x86)\Rising" dossier déplacer:

                  "C:\Program Files (x86)\Rising" => dossier déplacé(es) avec succès.

                  C:\WINDOWS\SysWOW64\vpatch.dll => déplacé(es) avec succès.
                  C:\WINDOWS\SysWOW64\ravext.dll => déplacé(es) avec succès.
                  C:\WINDOWS\SysWOW64\bsmain.exe => déplacé(es) avec succès.
                  C:\WINDOWS\system32\Drivers\sysmon.sys => déplacé(es) avec succès.
                  C:\WINDOWS\system32\Drivers\rsutils.sys => déplacé(es) avec succès.
                  C:\WINDOWS\system32\Drivers\rsndisp.sys => déplacé(es) avec succès.

                  "C:\ProgramData\Rising" dossier déplacer:

                  Impossible de déplacer "C:\ProgramData\Rising" => Planifié pour déplacement au redémarrage.

                  C:\Users\Audrey\AppData\Local\5546 => déplacé(es) avec succès.

                  Résultats du déplacement planifié des fichiers (Mode d'amorçage: Normal) (Date&Heure: 2015-08-16 21:32:24)<=

                  C:\ProgramData\Rising => a été déplacé(e) avec succès

                  Fin de Fixlog 21:32:24

                  0
                  1. Malekal_morte- Modérateur
                    hoho que des succès.

                    Refais un scan FRST et donne les rapports voir s'il reste des choses, mais ça doit être bon, j'espère.
                    0
                    1. lajeannine31 Auteur
                      Je sais pas comment tu fais pour t'y retrouver dans tout ça mais merci en tous cas !
                      0
                      1. Malekal_morte- Modérateur
                        Le rapport est à donner via pjjoint
                        0
                    3. lajeannine31 Auteur
                      Ah je comprends pas il me semblait pourtant bien en avoir refait un, peut etre ai-je envoye le mauvais... j'en refais un alors
                      0
                      2. lajeannine31 Auteur
                        Alors en fait sur mon bureau il y a encore un fichier FRST mais quand je fais supprimer ils me disent que l'element est introuvable ..
                        0
                        1. Malekal_morte- Modérateur
                          redémarre l'ordinateur au pire.
                          0
                      • 1
                      • 2

                      Discussions similaires

                      Désinstaller et réinstaller Messenger
                      MayLyn

                      1 réponse
                      Comment désinstaller une application sous Mac
                      rory gallagher

                      24 réponses
                      désinstallation de office 2016
                      ILYC

                      6 réponses