Backdoor farfli

Bonjour,

On va commencer par un diagnostic du PC :

Bien lire toute la procédure avant de poster les rapports

Sont attendus les rapports FRST.txt et Addition.txt

Tous les rapports doivent être hébergés sur https://security-x.fr/up/ et tu indiques les liens obtenus dans ta réponse

---------------------------------------------------------------------------------------------

--> Le filtre SmartScreen peut déclencher une alerte. Cliquer sur Actions ou Informations complémentaires puis sur Exécuter quand même

---------------------------------------------------------------------------------------------

--> Télécharge la version FRST de Farbar, compatible avec ton système et enregistre le fichier sur ton Bureau

--> Pour un système en 32 bits
--> Pour un système en 64 bits

Comment savoir quelle version 32 bits ou 64 bits est exécutée sur mon système ?

--> Patiente le temps que ton navigateur te propose le téléchargement à enregistrer, sans cliquer nulle part, surtout pas sur les sponsors de la page.
--> Ferme toutes les applications, y compris ton navigateur
--> Double-clique sur FRST.exe et clique sur Oui pour accepter le Disclaimer
--> Sous Vista, Windows 7 / 8 et 10, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
--> Attendre qu'il indique L'outil est prêt à fonctionner
--> Sur le menu principal, clique sur Analyser et patiente le temps de l'analyse
--> A la fin du scan, les rapports FRST.txt et Addition.txt sont créés. Poste ces rapports dans ta prochaine réponse.
--> Les rapports sont enregistrés au même emplacement que l'outil et sous C:\FRST\Logs

RE_

Rapport Malwarebytes : https://up.security-x.fr/file.php?h=R4b196fa56dfdbfaded741307d8b72dc1

Je dois m'absenter (un imprévu) , je reviens en fin d'après midi .

En attendant , fais ceci pour réactiver Windows Defender :

Malwarebytes -> Paramètres -> Sécurité -> Centre de sécurité Windows -> décoches "Toujours ajouter Malwarebytes dans le centre de sécurité Windows" --> Redémarres l'ordinateur

A tout à l'heure

j'ai remarqué également des services via ccleaner qui me paraissent nouveau et impossible a désactiver
ou supprimer :
AppServicea
AppServiceb
AppServiced

RE_

--> Copie ce qui se trouve ici : https://textup.fr/582352yk de start:: à end:: (sans le coller nulle part)

--> Ouvres FRST(ou FRST64) en administrateur et cliques sur Corriger
Si FRST semble se bloquer ou ne répond pas , laisse tourner

--> Un fichier fixlog est créé au même endroit que FRST , postes le (comme les autres rapports)

--> Relances un scan Malwarebytes et postes le rapport (comme les autres rapports)

je ne pourrais te répondre que demain, merci encore

RE_

OK , pas de soucis

RE_

Pour Malwarebytes , tu dois mettre les detections en quarantaine .

Backdoor.Farfli, HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServiceb\PARAMETERS, Aucune action de l'utilisateur, 5178, 954916, 1.0.44958, , ame, , , 

Je te mets la procédure :

=> /!\ Sous Vista, Windows 7 et 8,il faut lancer le fichier par clic-droit ==>> Exécuter en tant qu'administrateur
=> mettre à jour le logiciel avant le scan.
=> Lance la détection par Analyser Maintenant
=> A la fin du scan, si des infections ont été trouvées , clique sur Quarantaine sélectionnée
=> Le PC va redémarrer
=> Postes le rapport

RE_

Le rapport que tu as posté indique toujours Aucune action de l'utilisateur , il faut bien les mettre en quarantaine .

Si ça revient chaque fois , lances l'analyse en mode sans echec

Que veux tu montrer avec les clés registre Windows defender ?

RE_

j'ai relancé en mode sans échec et fais une analyse avec malwarebytes, résultat les 10 éléments mis en quarantaine reviennent encore :'( 

OK, ce qui m'étonne , c'est que dans le premier fixlist , il n'a pas trouvé les services

AppServicea => service non trouvé(e).
AppServiceb => service non trouvé(e).
AppServiced => service non trouvé(e). 

On va tenter un autre fixlist

start::
closeprocesses:
createrestorepoint:
Unlock: HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServicea
deletekey: HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServicea
Unlock: HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServiceb
deletekey: HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServiceb
Unlock: HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServicec
deletekey: HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServicec
cmd: reg query HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServicec
cmd: reg query HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServiceb
cmd: reg query HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServicea
emptytemp:
end::

Postes le fixlog

--------------
--------------------------------

je voulais te montrer les disable antispyware et antivirus que je trouvais étrange. 

Pas de soucis , il ont une valeur à zéro

--------------
--------------------------------

Pour l'exclusion , on verra ensuite

EDIT:

dans le deuxième les services Appservicea , Appserviceb, Appservicec qui ont l'air de poser problème(ils sont apparu après l installation du logiciel contaminé 

C'était quoi le logiciel contaminé ?

--> Copie ce qui se trouve ci dessous de start:: à end:: (sans le coller nulle part)

--> Ouvres FRST(ou FRST64) en administrateur et cliques sur Corriger

--> Un fichier fixlog est créé au même endroit que FRST , postes le

start::
closeprocesses:
createrestorepoint:
Unlock: HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServicea
deletekey: HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServicea
Unlock: HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServiceb
deletekey: HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServiceb
Unlock: HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServicec
deletekey: HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServicec
cmd: reg query HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServicec
cmd: reg query HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServiceb
cmd: reg query HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\AppServicea
emptytemp:
end::

RE_

FRST ne trouve pas les services , relances malwarebytes pour voir s'il les détecte

RE_

OK , en rentrant , fais ceci :

--> Copie ce qui se trouve ci dessous de start:: à end:: (sans le coller nulle part)

--> Ouvres FRST(ou FRST64) en administrateur et cliques sur Corriger

--> Un fichier fixlog est créé au même endroit que FRST , postes le

start::
virustotal: C:\Program Files (x86)\Datacolor\Spyder4Pro\Utility\SpyderUtility.exe
virustotal: C:\Windows\system32\1XVU42MI0W.tmp 
virustotal: C:\Windows\system32\Drivers\U168J2r.sys
end::

RE_

Pour T , aucune idée , c'est un peu bizarre , on verra tout a l'heure .

Il y a un driver suspect qui est protégé , je n'arrive pas à avoir d'info dessus

VirusTotal: C:\Windows\system32\Drivers\U168J2r.sys => <==== ATTENTION (Accès refusé) 

Essaie de refaire ceci : https://forums.commentcamarche.net/forum/affich-37345024-backdoor-farfli#24 en mode sans echec

RE_

Pour spyderpro, pas de souci , il est sain

-------------------------------------

Regardes si tu vois le fichier sys en gras dans le dossier drivers :
C:\Windows\system32\Drivers\U168J2r.sys

Si oui , analyses sur virustotal
Si ok , postes l'URL du résultat

RE_

OK , il est sain .

Relances un scan FRST et postes les nouveaux rapports pour vérification

RE_

OK , c'est propre .

Concernant T qui t'empêche de redémarrer , est ce que ce ne serait pas µtorrent ? car tu ne l'avais pas au début de la désinfection , et là , on voit qu'il tourne en arrière plan ?

vide la quarantaine de Malwarebytes :

Historique des détections --> Éléments en quarantaine --> Coches tout --> Supprimer

Puis désinstalles le pour voir si c'est lui

-------------
------------------------------

Si pareil , gestionnaire des tâches => onglet démarrage => Désactives tout sauf défender => Redémarres le PC deux fois et vois si c'est pareil

Le seconde , c'est le gestionnaire des tâches , on le vois sur ta capture .

Pour T (compliqué à trouver vu qu'il n'apparait pas dans les rapports FRST) , fais ceci :

=> Touches Windows + R
=> Tapes regedit et valides
=> Cliques sur ordinateur
=> Touches ctrl + F
=> Tapes t dans la barre de recherche et coches les 4 cases
=> Cliques sur suivant
=> Fais une capture s'il trouve quelque chose

RE_

C'est un peu la misère :-(

Est ce que ce "t" apparait dans le gestionnaire des tâches , onglet processus ou détails ?

RE_

Est ce que tu as le problème pour soit arrêter , soit pour redémarrer ?

Quand tu redémarres , toutes les applis sont fermées ?

Essaie ceci :

=> Quand tu as le message , cliques sur annuler
=> Dans cortana/rechercher , tapes cmd
=> Cliques sur invite de commande en administrateur
=> Dans l'invite , tapes (ou copie/colle) tasklist /m >> c:/tasklist.txt
=> Un fichier tasklist.txt sera créé à la racine de C: , postes le