possible virus Résolu/Fermé

Question

Bonjour/bonsoir,

J'ai remarqué, sur le pc portable de mes parents, une notification de leur Anti-virus (leur AV est la suite de sécurité Orange) disant qu'un virus (ou quelque chose comme ça) avait été détecté. 
Ce virus (?) se nomme : Trojan.Multi.GenAutorunProc.a (il y a aussi indiqué juste en dessous : Objet : System Memory). 
De plus, en dessous il y a une autre alerte : C:\Users\sylvi\AppData\Roaming\Orange\OrangeInside\OrangeInside.exe (en dessous est indiqué : un individu mal intentionné peu utiliser un programme légitime afin de nuire à votre ordinateur ou aux données de l'utilisateur).

Je n'ai aucune idée de ce que sont ces choses et je ne sais pas si, comme proposé par l'anti-virus, je dois les éliminer.

Les bases de l'AV sont bien à jour et d'après une analyse complète, aucune menace n'est détectée. Je leur ait indiqué de ne pas allez sur leur boites mail, comptes bancaires etc le temps que je trouve une solution.

Auriez-vous une idée de ce que c'est, d'où cela pourrait venir et ce qu'il faut que je fasse pour régler ce problème ?

Merci beaucoup

billmaxime · Accepted Answer

re

pour voir ce qui tourne sur le pc, fait ceci et poste les rapports (que je lirai dans la matinée)

télécharge FRST de (Fabar) sur ton bureau --> clique ici

PS: prends celui correspondant à ton pc (32 ou 64 bits) -> clique ici

exécute le en tant qu'administrateur (clic droit) 

à la fin du scan, les rapports FRST et ADDITION s'afficheront sur ton bureau et dans C:\FRST\LOG 

poste les rapports via cjoint --> clique ici

@+

billmaxime · Answer

salut

leur AV est la suite de sécurité Orange 

la suite Orange a été installée par qui?

@+

billmaxime · Answer

re

C'est nous qui l'avons installé  

la suite Orange est payante je présume

le pc est sous W10?

@+

billmaxime · Answer

re

dans recherche, tape CMD et exécute la commande

dans la fenêtre qui s'ouvre, tape/copie-colle cette commande --> slmgr /dlv et clique sur Enter

poste 1 capture de la fenêtre qui s'ouvre via Cjoint --> clique ici

@+

billmaxime · Answer

re

ok, W10 est activé de manière légale, par contre je vois  KMS Pico dans la rapport --> KMSpico (HKLM\...\{8B29D47F-92E2-4C20-9EE0-F710991F5D7C}_is1) (Version:  - )

tu as cr@cker Office 2016 avec KMS Pico

pour la suite Orange, c'est Kaspersky qui est installé --> (Kaspersky Lab -> AO Kaspersky Lab) C:\Program Files (x86)\Orange\Suite de Sécurité 11\avp.exe

à toi de voir si tu veux le désinstaller

simple question : l'antivirus me propose d'éliminer les 2 choses qui sont, apparemment, problématiques. Si je clique sur "éliminer" le problème ne sera-t-il pas réglé ?  

quels sont les fichiers qui sont proposés pour la suppression?

@+

billmaxime · Answer

re

oui j'avoue qu'on avait fait ca parce qu'on a pas les moyens d'acheter les licences

regarde cette page pour 1 cle de licence à bas prix pour Office 2019 --> clique ici

ça peut paraitre bête mais je ne comprends pas ce que vous voulez dire, en gros à moi de voir si je veux désinstaller Kaspersky ? si je le désinstalle il y aura toujours un anti-virus ?

oui, il y aura Windows Defender installé par défault dans W10

en gros voilà ce qui est affiché : https://www.cjoint.com/c/JKhox12zVAH
je peux consulter le rapport fait par l'anti-virus, vous en voulez une capture d'écran ?

tu peux les supprimer, et ensuite faire 1 scan avec MBAM (Malwaresbytes), je te donnerai le lien de téléchargement de MBAM

PS: regarde aussi cette page pour Orange Inside --> clique ici

il faudra encore exécuter 1 script de correction, dit moi juste si tu veux/ne veux pas désinstaller Kaspersky- suite Orange

@+

Marine.g · Answer

re

regarde cette page pour 1 cle de licence à bas prix pour Office 2019

merci, j'irai voir ca dans la journée

il faudra encore exécuter 1 script de correction, dit moi juste si tu veux/ne veux pas désinstaller Kaspersky- suite Orange

honnêtement je préférerai garder la suite orange, ils n'ont jamais eu de soucis avec (je l'ai aussi sur mon PC et aucun soucis non plus) et ça fait bien l'affaire donc je ne veux pas le désinstaller

tu peux les supprimer, et ensuite faire 1 scan avec MBAM (Malwaresbytes), je te donnerai le lien de téléchargement de MBAM

je viens de les éliminer/supprimer, j'attends votre réponse pour faire le scan avec MBAM

billmaxime · Answer

re

honnêtement je préférerai garder la suite orange, ils n'ont jamais eu de soucis avec (je l'ai aussi sur mon PC et aucun soucis non plus) et ça fait bien l'affaire donc je ne veux pas le désinstaller  

pas de souci, je vais modifier mon script le temps que tu exécutes l'analyse avec MBAM

regarde cette page pour le téléchargement et l'exécution de MBAM --> clique ici

poste le rapport après suppression des éléments néfastes détectés

@/+

billmaxime · Answer

re

tout à l'heure, c'est ceci que tu as supprimé



@+

billmaxime · Answer

re

je suis étonné que ceci soit détecté comme Malwares par MBAM, car c'est 1 produit Microsoft

Malware.AI.3771201136, C:\DOCUMENTS AND SETTINGS\PUBLIC\Desktop\Windows Movie Maker.lnk, Aucune action de l'utilisateur, 1000000, 0, , , , , , 
Malware.AI.3771201136, C:\USERS\PUBLIC\Desktop\Windows Movie Maker.lnk, Aucune action de l'utilisateur, 1000000, 0, , , , , 2E5AC65A2321DFF393780C43BBC54D03, 8A14B1DC6097938D6E7D02643856F93496C7AEA387A91B5FCA918A7DFA9EE385
Malware.AI.3771201136, C:\USERS\SYLVI\APPDATA\ROAMING\Microsoft\Internet Explorer\Quick Launch\Windows Movie Maker.lnk, Aucune action de l'utilisateur, 1000000, 0, , , , , 4467E18956F5B1575879BDEED55AA79D, E4017556114C7F9B7F6B8549E9AF4CE103C4558F98331394927B3BA54420D09E
Malware.AI.3771201136, C:\PROGRAM FILES (X86)\WINDOWS LIVE\PHOTO GALLERY\WINMOVIEMAKER.EXE, Aucune action de l'utilisateur, 1000000, 0, 1.0.32574, BEE16182DB4FACCBE0C7F670, dds, 00974120, A2CE37860DA2F9AD3702DABE671170E4, CE3792AEBC0FA81688C68B71B03D973372DE6F1AA0349F5F01DBC20324089619 

tu utilises le logiciel?

@+

Marine.g · Answer

re

tu utilises le logiciel?

Je l'avais utilisé pour un projet de cours oui (il y a 2ans), mais cela fait longtemps qu'on ne s'en sert plus

billmaxime · Answer

re

ok, alors met tout ce qui est détecté par MBAM en quarantaine et poste le nouveau rapport

@+

billmaxime · Answer

re

ok, tu as redémarré le pc?
 
@+

billmaxime · Answer

re

non pas encore  

il faut le faire pour finaliser la correction de MBAM

ensuite, via programmes et fonctionnalités du panneau de configuration, désinstalle --> Wondershare

dit moi quand c'est fait

@+

billmaxime · Answer

re

Pouvez vous m'expliquer un peu plus @billmaxime  

non, mais je vois que le développement de Movie Maker a cesser en 2017 -->clique ici

PS: je ne me suis jamis servi de ce logiciel

@+

billmaxime · Answer

re

regarde ici pour Wondershare --> C:\Program Files (x86)\Wondershare\WAF\2.4.3.233\WsAppService.exe

et supprime le 

dit moi quand c'est fait

@+

billmaxime · Answer

re

désinstalle Windows Essential 2012 dans programmes et fonctionnaités du panneau de configuration



regarde cette page pour voir ce qu'il contient --> clique ici 

PS: MBAM a supprimé des fichiers de Movie Maker et de Photo Gallery

Malware.AI.3771201136, C:\DOCUMENTS AND SETTINGS\PUBLIC\Desktop\Windows Movie Maker.lnk, Supprimer au redémarrage, 1000000, 0, , , , , , 
Malware.AI.3771201136, C:\USERS\PUBLIC\Desktop\Windows Movie Maker.lnk, Supprimer au redémarrage, 1000000, 0, , , , , 2E5AC65A2321DFF393780C43BBC54D03, 8A14B1DC6097938D6E7D02643856F93496C7AEA387A91B5FCA918A7DFA9EE385
Malware.AI.3771201136, C:\USERS\SYLVI\APPDATA\ROAMING\Microsoft\Internet Explorer\Quick Launch\Windows Movie Maker.lnk, Supprimer au redémarrage, 1000000, 0, , , , , 4467E18956F5B1575879BDEED55AA79D, E4017556114C7F9B7F6B8549E9AF4CE103C4558F98331394927B3BA54420D09E
Malware.AI.3771201136, C:\PROGRAM FILES (X86)\WINDOWS LIVE\PHOTO GALLERY\WINMOVIEMAKER.EXE, Supprimer au redémarrage, 1000000, 0, 1.0.32574, BEE16182DB4FACCBE0C7F670, dds, 00974120, A2CE37860DA2F9AD3702DABE671170E4, CE3792AEBC0FA81688C68B71B03D973372DE6F1AA0349F5F01DBC20324089619

j'ai aussi terminé le script qu'il faudra exécuté 

@+

billmaxime · Answer

re

je viens de le désinstaller, est-ce que je re-tente de supprimer Wondershare ?  

oui, et dit moi ce que ça donne

@+

billmaxime · Answer

re ok, je vais l'inclure dans le script ok, fait ceci: ouvre FRST copie tout le texte ci-dessous: Start:: CreateRestorePoint: CloseProcesses: (Wondershare Technology Co.,Ltd -> Wondershare) C:\Program Files (x86)\Wondershare\WAF\2.4.3.233\WsAppService.exe (SweetLabs Inc. -> SweetLabs, Inc) C:\Users\sylvi\AppData\Local\Host App Service\Engine\HostAppServiceUpdater.exe Task: {97CF4A7B-936E-4516-B23C-782052547C93} - \Microsoft\Windows\UNP\RunCampaignManager -> Pas de fichier <==== ATTENTION Task: {B7277E92-6890-4856-A9A3-9C0D0AA8BD82} - System32\Tasks\Microsoft\Windows\OrangeUpdate_Install => C:\Program Files (x86)\Orange Update\install.bat [0 2020-02-25] () <==== ATTENTION FF HKLM\...\Firefox\Extensions: [light_plugin_ACF0E80077C511E59DED005056C00008@kaspersky.com] - C:\Program Files (x86)\Orange\Orange Security Suite 10.1\FFExt\light_plugin_firefox\addon.xpi => non trouvé(e) FF HKLM-x32\...\Firefox\Extensions: [light_plugin_ACF0E80077C511E59DED005056C00008@kaspersky.com] - C:\Program Files (x86)\Orange\Orange Security Suite 10.1\FFExt\light_plugin_firefox\addon.xpi => non trouvé(e) FF ExtraCheck: C:\Program Files (x86)\mozilla firefox\defaults\pref\kl_prefs_62fbb8f7_c917_4cf7_957a_aad2b8fa768c.js [2019-05-22] <==== ATTENTION (Pointe vers un fichier *.cfg) FF ExtraCheck: C:\Program Files (x86)\mozilla firefox\kl_config_62fbb8f7_c917_4cf7_957a_aad2b8fa768c.cfg [2019-05-22] <==== ATTENTION R2 WsAppService; C:\Program Files (x86)\Wondershare\WAF\2.4.3.233\WsAppService.exe [493792 2017-11-07] (Wondershare Technology Co.,Ltd -> Wondershare) (Wondershare Technology Co.,Ltd -> Wondershare) C:\Program Files (x86)\Wondershare\WAF\2.4.3.233\WsAppService.exe Lenovo App Explorer (HKU\S-1-5-21-1459797427-583710248-207340248-1000\...\Host App Service) (Version: 0.272.1.560 - SweetLabs for Lenovo) <==== ATTENTION Lenovo App Explorer (HKU\S-1-5-21-1459797427-583710248-207340248-1001\...\Host App Service) (Version: 0.273.3.880 - SweetLabs for Lenovo) <==== ATTENTION CustomCLSID: HKU\S-1-5-21-1459797427-583710248-207340248-1001_Classes\CLSID\{23066764-9BDD-4FBD-8B1F-F4547CF2684F}\InprocServer32 -> C:\Users\sylvi\AppData\Local\Microsoft\OneDrive\18.070.0405.0002\amd64\FileSyncShell64.dll => Pas de fichier 2017-12-29 13:12 - 2017-09-27 17:30 - 000489984 _____ (Newtonsoft) [Fichier non signé] [Fichier en cours d'utilisation] C:\Program Files (x86)\Wondershare\WAF\2.4.3.233\Newtonsoft.Json.dll 2017-12-29 13:12 - 2017-11-07 16:37 - 000088064 _____ (Wondershare) [Fichier non signé] [Fichier en cours d'utilisation] C:\Program Files (x86)\Wondershare\WAF\2.4.3.233\WsAppCollect.dll 2017-12-29 13:12 - 2017-11-07 16:37 - 000200192 _____ (Wondershare) [Fichier non signé] [Fichier en cours d'utilisation] C:\Program Files (x86)\Wondershare\WAF\2.4.3.233\WsAppCommon.dll FirewallRules: [{0B0EF6B8-E4DE-4570-875D-1AB180832599}] => (Allow) C:\Program Files (x86)\CyberLink\PowerDVD14\PowerDVD14Agent.exe => Pas de fichier FirewallRules: [{6A0BB278-9584-4D28-B9EF-C88C082999BA}] => (Allow) C:\Program Files (x86)\CyberLink\PowerDVD14\Kernel\DMS\CLMSServerPDVD14.exe => Pas de fichier FirewallRules: [{004E14EA-9830-44AE-A371-85D61080A4BB}] => (Allow) C:\Program Files (x86)\Apowersoft\Apowersoft Screen Recorder Pro 2\Apowersoft Screen Recorder Pro 2.exe => Pas de fichier FirewallRules: [{81A4E502-53B0-443A-AFF6-85AB79B7162F}] => (Allow) C:\Program Files (x86)\Apowersoft\Apowersoft Screen Recorder Pro 2\Apowersoft Screen Recorder Pro 2.exe => Pas de fichier FirewallRules: [{355A3C1B-EBF4-40B8-B238-87DE2DE02AA9}] => (Allow) C:\Users\sylvi\AppData\Local\Temp\7zS43B7\setup\hpznui40.exe => Pas de fichier EmptyTemp: Reboot: End:: quand le script est copié, clique sur corriger dans FRST laisse la correction se faire avec FRST et redémarre le pc quand il te le sera demandé quand le pc aura redémarré, tu auras 1 fichier FIXLOG sur le bureau, poste le via 1 copier dans ta réponse @+

billmaxime · Answer

re

tu peux faire les 2, mais copier/coller le rapport FIXLOG est la procédure que j'ai décrite 

si tu as des questions...

@+

Possible virus

26 réponses

Discussions similaires