Dll Startupchecklibrary et Winscomrssrv manquants W11 Résolu/Fermé

Question

Bonjour, 
Je viens de migrer vers Windows 11 et Windows defender m'a trouvé un virus de type Trojan, alors qu'Avast n'était pas encore relancé après la migration. A priori Windows defender a traité le virus mais au démarrage j'ai deux pop-up qui me signalent des Dll manquants :startupchecklibrary et Winscomrssrv. J'ai trouvé la réponse Bazfile du 20 novembre 2019 avec FRST et le script à saisir. Je voulais juste savoir si je pouvais faire la même chose, avec le même script sachant que je suis sur Windows 11 ce n'était pas le cas sur la réponse de Bazfile puisque de 2019. 
Merci pour votre aide.
Bruno



Configuration: Windows / Edge 96.0.1054.62

MisteryBean · Answer

Bonjour,

Non , chaque script est unique à chaque PC , tu dois poster les rapports obtenus sur https://pjjoint.malekal.com/ ou sur https://security-x.fr/up/ et tu indiques les liens obtenus dans ta réponse

BrunoErcole · Answer

Merci pour votre aide, voici les liens :

Lien FRST.txt :
https://pjjoint.malekal.com/files.php?id=FRST_20211222_s8f5m6e8m14


Lien addition.txt :
https://pjjoint.malekal.com/files.php?id=20211222_x15l8u10k8c15


Lien shortcut.txt :
https://pjjoint.malekal.com/files.php?id=20211222_s14f14g7x13w13

Bruno

MisteryBean · Answer

RE_

Pour info , Avast n'est pas utile sur win10 et 11 ,, Windows defender est largement suffisant, la preuve , il a bloqué la partie active de l'infection

Si tu veux virer Avast , vois ICI

--------------------
--------------------------------------------

--> Copie ce qui se trouve ici : https://textup.fr/603849cu de start:: à end:: (sans le coller nulle part)

--> Ouvres FRST(ou FRST64) en administrateur et cliques sur Corriger
Si FRST semble se bloquer ou ne répond pas , laisse tourner

--> Un fichier fixlog est créé au même endroit que FRST , postes le

--> Dis moi si tu as toujours le problème .

BrunoErcole · Answer

Bravo !!! Merci beaucoup, le démarrage est 100% clean, je n'ai plus ces pop-up de Dll manquants. Concernant AVAST, j'avais effectivement lu que l'antivirus de Windows était à présent correct, mais je me suis dit que si le nettoyage, suite à l'infection de type Trojan n'était pas propre, c'était peut-être dû à Windows Defender et que AVAST aurait peut-être fait un meilleur travail, je me trompe peut-être. Pourquoi faut-il désinstaller AVAST avec l'outil que tu me proposes STP ? La désinstallation classique depuis Windows est-elle insuffisante ? En parcourant le contenu du fichier fixlog ci-dessous, je note que Firefox est mentionné à 2 endroits alors que ce navigateur n'est pas installé, bizarre ! Voici le fichier contenu du fichier fixlog : Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 11-12-2021 Exécuté par bruno (22-12-2021 13:41:06) Run:1 Exécuté depuis C:\Users\bruno\OneDrive\Bureau Profils chargés: bruno & MSSQL$EBP Mode d'amorçage: Normal ============================================== fixlist contenu: closeprocesses: createrestorepoint: SearchScopes: HKU\S-1-5-21-3065443662-2705682930-4118030798-1001 -> DefaultScope {F7303A15-E6DE-465D-8869-CD9DAB76E81E} URL = SearchScopes: HKU\S-1-5-21-3065443662-2705682930-4118030798-1001 -> {F7303A15-E6DE-465D-8869-CD9DAB76E81E} URL = FirewallRules: [{72450370-5604-475B-B1F0-69A8030C1955}] => (Allow) C:\Users\bruno\AppData\Local\Temp\EPSON SX535WD Series_Home\Network\EpsonNetSetup\EpsonNetSetup3_4_1_FC_1_0_WW_Direct\ENEasyApp.exe => Pas de fichier FirewallRules: [{12E25460-C437-4624-A274-53653E61A413}] => (Allow) C:\Users\bruno\AppData\Local\Temp\EPSON SX535WD Series_Home\Network\EpsonNetSetup\EpsonNetSetup3_4_1_FC_1_0_WW_Direct\ENEasyApp.exe => Pas de fichier FirewallRules: [UDP Query User{CDCD562C-032A-40CF-8D5A-6833D40B2C3B}C:\users\bruno\dropbox\dossiers\informatique\informatique photo\foscam\searchtool.exe] => (Allow) C:\users\bruno\dropbox\dossiers\informatique\informatique photo\foscam\searchtool.exe => Pas de fichier FirewallRules: [TCP Query User{39CC3EE5-280B-404F-AE54-311BA4BB3FEB}C:\users\bruno\dropbox\dossiers\informatique\informatique photo\foscam\searchtool.exe] => (Allow) C:\users\bruno\dropbox\dossiers\informatique\informatique photo\foscam\searchtool.exe => Pas de fichier FirewallRules: [UDP Query User{E3D991DE-30CA-40E1-8086-098D54947C0F}C:\users\bruno\appdata\local\packages\microsoft.microsoftedge_8wekyb3d8bbwe empstate\downloads\6357136446017020001813519055 (1)\searchtool v1.0.0.5\searchtool.exe] => (Block) C:\users\bruno\appdata\local\packages\microsoft.microsoftedge_8wekyb3d8bbwe empstate\downloads\6357136446017020001813519055 (1)\searchtool v1.0.0.5\searchtool.exe => Pas de fichier FirewallRules: [TCP Query User{3780C45D-81BC-4417-89E6-1EE63A7B0CA8}C:\users\bruno\appdata\local\packages\microsoft.microsoftedge_8wekyb3d8bbwe empstate\downloads\6357136446017020001813519055 (1)\searchtool v1.0.0.5\searchtool.exe] => (Block) C:\users\bruno\appdata\local\packages\microsoft.microsoftedge_8wekyb3d8bbwe empstate\downloads\6357136446017020001813519055 (1)\searchtool v1.0.0.5\searchtool.exe => Pas de fichier FirewallRules: [UDP Query User{C98900DD-C5AF-4146-AB87-2F453EE37886}C:\users\bruno\dropbox\dossiers\informatique\informatique photo\foscam\ipcamera.exe] => (Allow) C:\users\bruno\dropbox\dossiers\informatique\informatique photo\foscam\ipcamera.exe => Pas de fichier FirewallRules: [TCP Query User{3233F1C9-9503-47AA-BFF5-E5ADA0252E4F}C:\users\bruno\dropbox\dossiers\informatique\informatique photo\foscam\ipcamera.exe] => (Allow) C:\users\bruno\dropbox\dossiers\informatique\informatique photo\foscam\ipcamera.exe => Pas de fichier FirewallRules: [{E808087D-A39B-47FD-8164-C4BA2D398EED}] => (Allow) C:\Users\bruno\AppData\Roaming\Zoom\bin\airhost.exe => Pas de fichier FirewallRules: [TCP Query User{2749455E-1041-4BA6-9230-BCA3FA19219F}D:\03_equipment search tool\for windows os\equipment search tool.exe] => (Allow) D:\03_equipment search tool\for windows os\equipment search tool.exe => Pas de fichier FirewallRules: [UDP Query User{0E8FEB45-87FA-441F-9FEC-AC50FE7ED7F3}D:\03_equipment search tool\for windows os\equipment search tool.exe] => (Allow) D:\03_equipment search tool\for windows os\equipment search tool.exe => Pas de fichier FirewallRules: [{FFCB2CE5-DB21-4529-826B-DBF69325AE91}] => (Allow) C:\WINDOWS\system32\winrmsrv.exe => Pas de fichier C:\WINDOWS\system32\winscomrssrv.dll HKLM\...\Policies\Explorer: [HideSCAHealth] 1 HKLM\Software\...\Authentication\Credential Providers: [{C885AA15-1764-4293-B82A-0586ADD46B35}] -> HKLM\SOFTWARE\Policies\Mozilla\Firefox: Restriction <==== ATTENTION Task: {2A0C1488-27A7-48BF-A742-738CCA643B37} - System32\Tasks\Microsoft\Windows\WDI\SrvHost => rundll32.exe winscomrssrv.dll,SrvMainHost <==== ATTENTION Task: {3B95EBAC-1F2F-46F9-8DA4-65BE9CDE92A8} - System32\Tasks\Microsoft\Windows\Windows Error Reporting\winrmsrv => winrmsrv.exe /startup (Pas de fichier) <==== ATTENTION Task: {5215E064-9618-461A-9293-89852EB53E09} - System32\Tasks\Microsoft\Windows\Wininet\Winlogui => winlogui.exe -o pool.minexmr.com:4444 -u 8AcZ5MRXZXdMCubCBiwgCccuy33fvvCtj3wT3fozHiHKWzo2Lq1oKodXBdDn6GyiwMSCdTcJvT1Xeho63jFg61DoErrq4LR -p x (Pas de fichier) <==== ATTENTION Task: {5D7C13D7-451E-48BD-8D3B-8AD653F78550} - System32\Tasks\Apple Diagnostics => C:\Program Files (x86)\Common Files\Apple\Internet Services\EReporter.exe (Pas de fichier) Task: {68401DD6-39A9-4D0D-9DBF-634625AC97F9} - System32\Tasks\Microsoft\Windows\Application Experience\StartupCheckLibrary => rundll32.exe StartupCheckLibrary.dll,DllMainRunLibrary <==== ATTENTION Task: {CCDFC0B8-01A3-4E74-A820-4F13F51D269E} - System32\Tasks\Microsoft\Windows\Mobile Broadband Accounts\MNO Metadata Parser => C:\WINDOWS\System32\MbaeParserTask.exe (Pas de fichier) HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION Edge Extension: (Pas de nom) -> AutoFormFill_5ED10D46BD7E47DEB1F3685D2C0FCE08 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\AutoFormFill [non trouvé(e)] Edge Extension: (Pas de nom) -> BookReader_B171F20233094AC88D05A8EF7B9763E8 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\BookViewer [non trouvé(e)] Edge Extension: (Pas de nom) -> LearningTools_7706F933-971C-41D1-9899-8A026EB5D824 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\LearningTools [non trouvé(e)] Edge Extension: (Pas de nom) -> PinJSAPI_EC01B57063BE468FAB6DB7EBFC3BF368 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\PinJSAPI [non trouvé(e)] FF Plugin-x32: @google.com/zxwebplugin -> C:\WINDOWS\system32 pzxwebplugin.dll [Pas de fichier] S1 WinSetupMon; system32\DRIVERS\WinSetupMon.sys [X] C:\WINDOWS\system32\winrmsrv.exe C:\WINDOWS\system32\winlogui.exe emptytemp: Processus fermé avec succès. Le Point de restauration a été créé avec succès. "HKU\S-1-5-21-3065443662-2705682930-4118030798-1001\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\DefaultScope" => supprimé(es) avec succès HKU\S-1-5-21-3065443662-2705682930-4118030798-1001\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{F7303A15-E6DE-465D-8869-CD9DAB76E81E} => supprimé(es) avec succès "HKLM\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules\{72450370-5604-475B-B1F0-69A8030C1955}" => supprimé(es) avec succès "HKLM\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules\{12E25460-C437-4624-A274-53653E61A413}" => supprimé(es) avec succès "HKLM\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules\UDP Query User{CDCD562C-032A-40CF-8D5A-6833D40B2C3B}C:\users\bruno\dropbox\dossiers\informatique\informatique photo\foscam\searchtool.exe" => supprimé(es) avec succès "HKLM\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules\TCP Query User{39CC3EE5-280B-404F-AE54-311BA4BB3FEB}C:\users\bruno\dropbox\dossiers\informatique\informatique photo\foscam\searchtool.exe" => supprimé(es) avec succès "HKLM\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules\UDP Query User{E3D991DE-30CA-40E1-8086-098D54947C0F}C:\users\bruno\appdata\local\packages\microsoft.microsoftedge_8wekyb3d8bbwe empstate\downloads\6357136446017020001813519055 (1)\searchtool v1.0.0.5\searchtool.exe" => supprimé(es) avec succès "HKLM\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules\TCP Query User{3780C45D-81BC-4417-89E6-1EE63A7B0CA8}C:\users\bruno\appdata\local\packages\microsoft.microsoftedge_8wekyb3d8bbwe empstate\downloads\6357136446017020001813519055 (1)\searchtool v1.0.0.5\searchtool.exe" => supprimé(es) avec succès "HKLM\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules\UDP Query User{C98900DD-C5AF-4146-AB87-2F453EE37886}C:\users\bruno\dropbox\dossiers\informatique\informatique photo\foscam\ipcamera.exe" => supprimé(es) avec succès "HKLM\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules\TCP Query User{3233F1C9-9503-47AA-BFF5-E5ADA0252E4F}C:\users\bruno\dropbox\dossiers\informatique\informatique photo\foscam\ipcamera.exe" => supprimé(es) avec succès "HKLM\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules\{E808087D-A39B-47FD-8164-C4BA2D398EED}" => supprimé(es) avec succès "HKLM\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules\TCP Query User{2749455E-1041-4BA6-9230-BCA3FA19219F}D:\03_equipment search tool\for windows os\equipment search tool.exe" => supprimé(es) avec succès "HKLM\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules\UDP Query User{0E8FEB45-87FA-441F-9FEC-AC50FE7ED7F3}D:\03_equipment search tool\for windows os\equipment search tool.exe" => supprimé(es) avec succès "HKLM\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules\{FFCB2CE5-DB21-4529-826B-DBF69325AE91}" => supprimé(es) avec succès "C:\WINDOWS\system32\winscomrssrv.dll" => non trouvé(e) "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\HideSCAHealth" => supprimé(es) avec succès HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers\{C885AA15-1764-4293-B82A-0586ADD46B35} => supprimé(es) avec succès HKLM\SOFTWARE\Policies\Mozilla => supprimé(es) avec succès "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{2A0C1488-27A7-48BF-A742-738CCA643B37}" => supprimé(es) avec succès "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{2A0C1488-27A7-48BF-A742-738CCA643B37}" => supprimé(es) avec succès C:\WINDOWS\System32\Tasks\Microsoft\Windows\WDI\SrvHost => déplacé(es) avec succès "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\WDI\SrvHost" => supprimé(es) avec succès "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{3B95EBAC-1F2F-46F9-8DA4-65BE9CDE92A8}" => supprimé(es) avec succès "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{3B95EBAC-1F2F-46F9-8DA4-65BE9CDE92A8}" => supprimé(es) avec succès C:\WINDOWS\System32\Tasks\Microsoft\Windows\Windows Error Reporting\winrmsrv => déplacé(es) avec succès "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\Windows Error Reporting\winrmsrv" => supprimé(es) avec succès "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{5215E064-9618-461A-9293-89852EB53E09}" => supprimé(es) avec succès "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{5215E064-9618-461A-9293-89852EB53E09}" => supprimé(es) avec succès C:\WINDOWS\System32\Tasks\Microsoft\Windows\Wininet\Winlogui => déplacé(es) avec succès "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\Wininet\Winlogui" => supprimé(es) avec succès "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{5D7C13D7-451E-48BD-8D3B-8AD653F78550}" => supprimé(es) avec succès "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{5D7C13D7-451E-48BD-8D3B-8AD653F78550}" => supprimé(es) avec succès C:\WINDOWS\System32\Tasks\Apple Diagnostics => déplacé(es) avec succès "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Apple Diagnostics" => supprimé(es) avec succès "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{68401DD6-39A9-4D0D-9DBF-634625AC97F9}" => supprimé(es) avec succès "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{68401DD6-39A9-4D0D-9DBF-634625AC97F9}" => supprimé(es) avec succès C:\WINDOWS\System32\Tasks\Microsoft\Windows\Application Experience\StartupCheckLibrary => déplacé(es) avec succès "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\Application Experience\StartupCheckLibrary" => supprimé(es) avec succès "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{CCDFC0B8-01A3-4E74-A820-4F13F51D269E}" => supprimé(es) avec succès "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{CCDFC0B8-01A3-4E74-A820-4F13F51D269E}" => supprimé(es) avec succès C:\WINDOWS\System32\Tasks\Microsoft\Windows\Mobile Broadband Accounts\MNO Metadata Parser => déplacé(es) avec succès "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\Mobile Broadband Accounts\MNO Metadata Parser" => supprimé(es) avec succès HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer => supprimé(es) avec succès HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\MicrosoftEdge\ExtensionsStore\datastore\Config\AutoFormFill_5ED10D46BD7E47DEB1F3685D2C0FCE08 => supprimé(es) avec succès HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\MicrosoftEdge\ExtensionsStore\datastore\Config\BookReader_B171F20233094AC88D05A8EF7B9763E8 => supprimé(es) avec succès HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\MicrosoftEdge\ExtensionsStore\datastore\Config\LearningTools_7706F933-971C-41D1-9899-8A026EB5D824 => supprimé(es) avec succès HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\MicrosoftEdge\ExtensionsStore\datastore\Config\PinJSAPI_EC01B57063BE468FAB6DB7EBFC3BF368 => supprimé(es) avec succès HKLM\Software\Wow6432Node\MozillaPlugins\@google.com/zxwebplugin => supprimé(es) avec succès HKLM\System\CurrentControlSet\Services\WinSetupMon => supprimé(es) avec succès WinSetupMon => service supprimé(es) avec succès "C:\WINDOWS\system32\winrmsrv.exe" => non trouvé(e) "C:\WINDOWS\system32\winlogui.exe" => non trouvé(e) =========== EmptyTemp: ========== BITS transfer queue => 1310720 B DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 11622014 B Java, Flash, Steam htmlcache => 1124 B Windows/system/drivers => 209923 B Edge => 399565 B Chrome => 243107 B Firefox => 17680742 B Opera => 0 B Temp, IE cache, history, cookies, recent: Default => 0 B ProgramData => 0 B Public => 0 B systemprofile => 0 B systemprofile32 => 0 B LocalService => 30456 B NetworkService => 30456 B bruno => 34010108 B MSSQL$EBP => 34010108 B RecycleBin => 116981 B EmptyTemp: => 95 MB données temporaires supprimées. ================================ Le système a dû redémarrer. Fin de Fixlog 13:41:39

MisteryBean · Answer

RE_

Serait été mieux de poster le fixlog comme les autres rapports car comme ça , ça encombre le sujet.

Pourquoi faut-il désinstaller AVAST avec l'outil que tu me proposes STP ? La désinstallation classique depuis Windows est-elle insuffisante ?  

C'est justement indiqué dans le lien :-) 
Tu peux le désinstaller normalement , mais il reste toujours des traces ou la désinstallation peut planter , l'outil sert à ça .

En parcourant le contenu du fichier fixlog ci-dessous, je note que Firefox est mentionné à 2 endroits alors que ce navigateur n'est pas installé, bizarre ! 

Comme tout programmes , il reste toujours des traces , si tu veux tout supprimer , fais comme précédemment avec ceci :

start::closeprocesses:createrestorepoint: C:\Users\bruno\AppData\Roaming\Mozillaemptytemp:end::

Une fois fais , ce sera OK , tu pourras faire ce qui suit :

Pour supprimer automatiquement tous les fichiers/dossiers créés par FRST et l'outil lui-même, renomme FRST/FRST64.exe en uninstall.exe et exécute-le. 

La procédure nécessite un redémarrage

BrunoErcole · Answer

Encore merci, désolé d'avoir encombré le sujet avec le contenu du fichier fixlog. Je saurai pour la prochaine fois.

MisteryBean · Answer

OK , tout est bon ?

BrunoErcole · Answer

Oui tout est tout bon.
Merci et joyeuses fêtes

Dll Startupchecklibrary et Winscomrssrv manquants W11

8 réponses

Fin de Fixlog 13:41:39

Discussions similaires