Desinstaller Rising antivirus svp

lajeannine31 -  
Bonjour,

Alors voila il y a quelques jours ce fiche programme chinois s'est installé sur mon ordinateur à mon insu et impossible de le retirer. Dans panneau de configuration si il apparaît c'est en chinois et du coup impossible de l'enlever.

Merci d'avance !!

21 réponses

Résumé de la discussion

La discussion porte sur une infection par un programme chinois installé sans consentement et présentant des difficultés de suppression via le panneau de configuration lorsque l'interface apparaît en chinois. Plusieurs recommandations ont été suivies, notamment l'utilisation de FRST pour générer des rapports FRST.txt, Additionnal.txt et Shortcut.txt, puis l'envoi des résultats via pjjoint pour analyse. Les données listent des éléments détectés comme Baidu, QiYi et des composants de Rising, des modifications dans Run, des startup et des DLL malveillants, suivies d'un nettoyage et déplacement de fichiers. Enfin, les rapports FRST et les fichiers de correction indiquent que plusieurs éléments ont été déplacés ou supprimés, certains actions nécessitant un redémarrage pour finaliser le nettoyage et sécuriser le système.

Bobot (l’IA à votre service)
  1. lajeannine31 Auteur
    https://pjjoint.malekal.com/files.php?id=20150819_t9q10q8f15h9

    La vraiment di ça marche pas tant pis, j'ai redémarré l'ordi tout supprimé tout mis sur le bureau donc à priori ....
    merci :)
    0
    1. Malekal_morte- Modérateur
      yep mieux, il reste des broutilles

      Voici la correction à effectuer avec FRST.
      Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/#fix

      Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK.
      Copie/colle dedans ce qui suit :

      2015-08-16 16:34 - 2014-07-30 04:44 - 00091928 ____N (Beijing Rising Information Technology Co., Ltd.) C:\Windows\SysWOW64\vpatch.dll
      2015-08-16 10:39 - 2015-08-16 10:39 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Rising Antivirus
      2015-08-16 10:39 - 2015-08-16 10:30 - 00041784 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\system32\Drivers\hvm.sys
      2015-08-12 14:18 - 2015-08-12 14:18 - 00000150 __RSH C:\rising.ini

      Une fois, le texte coller dans le bloc-note.
      Menu Fichier puis Enregistrer sous.
      A gauche, place toi sur le bureau.
      Dans le champs en bas, nom du fichier mets : fixlist.txt
      Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.

      Relance FRST et clic sur le bouton Fix
      Selon comment un redémarrage est nécessaire (pas obligatoire).
      Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

      Redémarre l'ordinateur
      0
  2. lajeannine31 Auteur
    Alors en fait sur mon bureau il y a encore un fichier FRST mais quand je fais supprimer ils me disent que l'element est introuvable ..
    0
    1. Malekal_morte- Modérateur
      redémarre l'ordinateur au pire.
      0
  4. lajeannine31 Auteur
    Ah je comprends pas il me semblait pourtant bien en avoir refait un, peut etre ai-je envoye le mauvais... j'en refais un alors
    0
    3. lajeannine31 Auteur
      Je sais pas comment tu fais pour t'y retrouver dans tout ça mais merci en tous cas !
      0
      1. Malekal_morte- Modérateur
        Le rapport est à donner via pjjoint
        0
    4. Malekal_morte- Modérateur
      hoho que des succès.

      Refais un scan FRST et donne les rapports voir s'il reste des choses, mais ça doit être bon, j'espère.
      0
      1. lajeannine31 Auteur
        Résultats de correction de Farbar Recovery Scan Tool (x64) Version:16-08-2015
        Exécuté par Audrey (2015-08-16 21:29:36) Run:2
        Exécuté depuis C:\Users\Audrey\Downloads
        Profils chargés: Audrey (Profils disponibles: Audrey)
        Mode d'amorçage: Normal
        ==============================================

        fixlist contenu:
        HKLM-x32\...\Run: [RavTRAY] => C:\Program Files (x86)\Rising\RAV\RSTRAY.EXE -system

        R2 RsRavMon; C:\Program Files (x86)\Rising\RAV\ravmond.exe [X]

        R1 HyperVM; C:\WINDOWS\system32\drivers\hvm.sys [41784 2015-08-16] (Beijing Rising Information Technology Co., Ltd.)

        R0 sysmon; C:\Windows\System32\DRIVERS\sysmon.sys [119256 2015-04-30] (Beijing Rising Information Technology Co., Ltd.)

        2015-08-16 13:24 - 2015-08-16 13:24 - 00000000 ____D C:\Program Files (x86)\Rising

        2015-08-12 14:18 - 2014-07-30 04:44 - 00091928 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\SysWOW64\vpatch.dll

        2015-08-12 14:18 - 2013-12-30 09:33 - 00256280 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\SysWOW64\ravext.dll

        2015-08-12 14:18 - 2012-09-06 02:30 - 00240472 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\SysWOW64\bsmain.exe

        2015-08-12 14:17 - 2015-04-30 03:17 - 00119256 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\system32\Drivers\sysmon.sys

        2015-08-12 14:17 - 2015-04-09 07:00 - 00071760 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\system32\Drivers\rsutils.sys

        2015-08-12 14:17 - 2012-02-29 09:49 - 00011888 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\system32\Drivers\rsndisp.sys

        2015-08-12 14:14 - 2015-08-12 14:18 - 00000000 ____D C:\ProgramData\Rising

        2015-08-12 13:56 - 2015-08-12 14:05 - 00000000 ____D C:\Users\Audrey\AppData\Local\5546

        HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\\RavTRAY => valeur supprimé(es) avec succès
        RsRavMon => Impossible d'arrêter le service.
        RsRavMon => service supprimé(es) avec succès
        HyperVM => Impossible d'arrêter le service.
        HyperVM => service supprimé(es) avec succès
        sysmon => Impossible d'arrêter le service.
        sysmon => service supprimé(es) avec succès

        "C:\Program Files (x86)\Rising" dossier déplacer:

        "C:\Program Files (x86)\Rising" => dossier déplacé(es) avec succès.

        C:\WINDOWS\SysWOW64\vpatch.dll => déplacé(es) avec succès.
        C:\WINDOWS\SysWOW64\ravext.dll => déplacé(es) avec succès.
        C:\WINDOWS\SysWOW64\bsmain.exe => déplacé(es) avec succès.
        C:\WINDOWS\system32\Drivers\sysmon.sys => déplacé(es) avec succès.
        C:\WINDOWS\system32\Drivers\rsutils.sys => déplacé(es) avec succès.
        C:\WINDOWS\system32\Drivers\rsndisp.sys => déplacé(es) avec succès.

        "C:\ProgramData\Rising" dossier déplacer:

        Impossible de déplacer "C:\ProgramData\Rising" => Planifié pour déplacement au redémarrage.

        C:\Users\Audrey\AppData\Local\5546 => déplacé(es) avec succès.

        Résultats du déplacement planifié des fichiers (Mode d'amorçage: Normal) (Date&Heure: 2015-08-16 21:32:24)<=

        C:\ProgramData\Rising => a été déplacé(e) avec succès

        Fin de Fixlog 21:32:24

        0
        1. Malekal_morte- Modérateur
          il reste bien des trucs,

          Voici la correction à effectuer avec FRST.
          Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/#fix

          HKLM-x32\...\Run: [RavTRAY] => C:\Program Files (x86)\Rising\RAV\RSTRAY.EXE -system
          R2 RsRavMon; C:\Program Files (x86)\Rising\RAV\ravmond.exe [X]
          R1 HyperVM; C:\WINDOWS\system32\drivers\hvm.sys [41784 2015-08-16] (Beijing Rising Information Technology Co., Ltd.)
          R0 sysmon; C:\Windows\System32\DRIVERS\sysmon.sys [119256 2015-04-30] (Beijing Rising Information Technology Co., Ltd.)
          2015-08-16 13:24 - 2015-08-16 13:24 - 00000000 ____D C:\Program Files (x86)\Rising
          2015-08-12 14:18 - 2014-07-30 04:44 - 00091928 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\SysWOW64\vpatch.dll
          2015-08-12 14:18 - 2013-12-30 09:33 - 00256280 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\SysWOW64\ravext.dll
          2015-08-12 14:18 - 2012-09-06 02:30 - 00240472 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\SysWOW64\bsmain.exe
          2015-08-12 14:17 - 2015-04-30 03:17 - 00119256 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\system32\Drivers\sysmon.sys
          2015-08-12 14:17 - 2015-04-09 07:00 - 00071760 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\system32\Drivers\rsutils.sys
          2015-08-12 14:17 - 2012-02-29 09:49 - 00011888 ____N (Beijing Rising Information Technology Co., Ltd.) C:\WINDOWS\system32\Drivers\rsndisp.sys
          2015-08-12 14:14 - 2015-08-12 14:18 - 00000000 ____D C:\ProgramData\Rising
          2015-08-12 13:56 - 2015-08-12 14:05 - 00000000 ____D C:\Users\Audrey\AppData\Local\5546

          Une fois, le texte coller dans le bloc-note.
          Menu Fichier puis Enregistrer sous.
          A gauche, place toi sur le bureau.
          Dans le champs en bas, nom du fichier mets : fixlist.txt
          Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.

          Relance FRST et clic sur le bouton Corriger / Fix
          Selon comment un redémarrage est nécessaire (pas obligatoire).
          Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

          Redémarre l'ordinateur

          0
          4. lajeannine31 Auteur
            ok je refais ça alors !
            0
            1. Malekal_morte- Modérateur
              On dirait qu'il y a des trucs qu'il n'a pu supprimer;

              Tu peux refaire un scan FRST et donner les rapports via pjjoint pour voir.
              0
              1. lajeannine31 Auteur
                Je crois que ça a marché, merci !!
                0
                1. lajeannine31 Auteur
                  Résultats de correction de Farbar Recovery Scan Tool (x64) Version:14-08-2015 01
                  Exécuté par Audrey (2015-08-16 12:49:10) Run:1
                  Exécuté depuis C:\Users\Audrey\Downloads
                  Profils chargés: Audrey (Profils disponibles: Audrey)
                  Mode d'amorçage: Normal
                  ==============================================

                  fixlist contenu:
                  HKU\S-1-5-21-1287235584-786264263-2186423428-1001\...\Run: [apphide] => C:\Program Files (x86)\baidu\baidu.exe [69632 2015-07-22] ()
                  Startup: C:\Users\Audrey\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\hwr.jar [2014-06-22] ()
                  BHO-x32: GoodTab Class -> {1F91A9A1-01BA-4c81-863D-3BA0751E1419} -> C:\Program Files (x86)\MiuiTab\SupTab.dll Pas de fichier
                  2015-08-12 13:43 - 2015-08-16 11:00 - 00000000 ____D C:\IQIYI Video
                  2015-08-12 13:43 - 2015-08-16 09:58 - 00000000 ____D C:\qycache
                  2015-08-12 13:43 - 2015-08-12 13:43 - 00000000 ____D C:\Users\Public\QiYi
                  2015-08-12 13:42 - 2015-08-12 13:50 - 00000000 ____D C:\Users\Audrey\AppData\Roaming\WTools
                  2015-08-12 13:34 - 2015-08-12 13:34 - 00000000 _____ C:\WINDOWS\prleth.sys
                  2015-08-12 13:34 - 2015-08-12 13:34 - 00000000 _____ C:\WINDOWS\hgfs.sys
                  Task: {C0054CE5-0542-4949-80A1-CCF136DC349F} - System32\Tasks\{66CA2F2B-0371-4943-8801-C0B457B1F95D} => pcalua.exe -a C:\Users\Audrey\AppData\Roaming\omniboxes\UninstallManager.exe -c -ptid=amt
                  R1 rsutils; C:\Windows\System32\DRIVERS\rsutils.sys [71760 2015-04-09] (Beijing Rising Information Technology Co., Ltd.)
                  R0 sysmon; C:\Windows\System32\DRIVERS\sysmon.sys [119256 2015-04-30] (Beijing Rising Information Technology Co., Ltd.)
                  HKLM-x32\...\Run: [RSDTRAY] => C:\Program Files (x86)\Rising\RSD\popwndexe.exe [126808 2012-09-25] (Beijing Rising Information Technology Co., Ltd.)
                  HKLM-x32\...\Run: [RavTRAY] => C:\Program Files (x86)\Rising\RAV\RSTRAY.EXE [111000 2014-05-15] (Beijing Rising Information Technology Co., Ltd.)
                  C:\Program Files (x86)\Rising
                  FF Plugin-x32: @rising.com.cn/nprising -> C:\Program Files (x86)\Rising\RAV\nprising.dll [2013-06-27] (Beijing Rising Information Technology Co., Ltd.)
                  FF Plugin HKU\S-1-5-21-1287235584-786264263-2186423428-1001: @rising.com.cn/nprising -> C:\Program Files (x86)\Rising\RAV\nprising.dll [2013-06-27] (Beijing Rising Information Technology Co., Ltd.)
                  R2 RsMgrSvc; C:\Program Files (x86)\Rising\RSD\RsMgrSvc.exe [196288 2015-08-16] (Beijing Rising Information Technology Co., Ltd.)
                  R2 RsRavMon; C:\Program Files (x86)\Rising\RAV\ravmond.exe [277552 2014-05-15] (Beijing Rising Information Technology Co., Ltd.)

                  HKU\S-1-5-21-1287235584-786264263-2186423428-1001\Software\Microsoft\Windows\CurrentVersion\Run\\apphide => valeur supprimé(es) avec succès
                  "C:\Users\Audrey\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\hwr.jar" => Impossible de déplacer.
                  "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{1F91A9A1-01BA-4c81-863D-3BA0751E1419}" => clé supprimé(es) avec succès
                  "HKCR\Wow6432Node\CLSID\{1F91A9A1-01BA-4c81-863D-3BA0751E1419}" => clé supprimé(es) avec succès
                  C:\IQIYI Video => déplacé(es) avec succès.
                  C:\qycache => déplacé(es) avec succès.
                  C:\Users\Public\QiYi => déplacé(es) avec succès.
                  C:\Users\Audrey\AppData\Roaming\WTools => déplacé(es) avec succès.
                  C:\WINDOWS\prleth.sys => déplacé(es) avec succès.
                  C:\WINDOWS\hgfs.sys => déplacé(es) avec succès.
                  "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{C0054CE5-0542-4949-80A1-CCF136DC349F}" => clé supprimé(es) avec succès
                  "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{C0054CE5-0542-4949-80A1-CCF136DC349F}" => clé supprimé(es) avec succès
                  C:\WINDOWS\System32\Tasks\{66CA2F2B-0371-4943-8801-C0B457B1F95D} => déplacé(es) avec succès.
                  "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{66CA2F2B-0371-4943-8801-C0B457B1F95D}" => clé supprimé(es) avec succès
                  rsutils => Impossible d'arrêter le service.
                  rsutils => service supprimé(es) avec succès
                  sysmon => Impossible d'arrêter le service.
                  sysmon => service impossible à supprimer
                  HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\\RSDTRAY => valeur supprimé(es) avec succès
                  HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\\RavTRAY => valeur impossible à supprimer.

                  "C:\Program Files (x86)\Rising" dossier déplacer:

                  Impossible de déplacer "C:\Program Files (x86)\Rising" => Planifié pour déplacement au redémarrage.

                  "HKLM\Software\Wow6432Node\MozillaPlugins\@rising.com.cn/nprising" => clé supprimé(es) avec succès
                  Impossible de déplacer "C:\Program Files (x86)\Rising\RAV\nprising.dll" => Planifié pour déplacement au redémarrage.
                  "HKU\S-1-5-21-1287235584-786264263-2186423428-1001\Software\MozillaPlugins\@rising.com.cn/nprising" => clé supprimé(es) avec succès
                  Impossible de déplacer "C:\Program Files (x86)\Rising\RAV\nprising.dll" => Planifié pour déplacement au redémarrage.
                  RsMgrSvc => Impossible d'arrêter le service.
                  RsMgrSvc => service supprimé(es) avec succès
                  RsRavMon => Impossible d'arrêter le service.
                  RsRavMon => service impossible à supprimer

                  Résultats du déplacement planifié des fichiers (Mode d'amorçage: Normal) (Date&Heure: 2015-08-16 12:55:27)<=

                  C:\Program Files (x86)\Rising => déplacé(es) avec succès
                  C:\Program Files (x86)\Rising\RAV\nprising.dll => a été déplacé(e) avec succès
                  C:\Program Files (x86)\Rising\RAV\nprising.dll => a été déplacé(e) avec succès

                  Fin de Fixlog 12:55:35

                  0
                  1. Malekal_morte- Modérateur
                    Tente cela,

                    Voici la correction à effectuer avec FRST.
                    Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/#fix

                    Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK.
                    Copie/colle dedans ce qui suit :

                    HKU\S-1-5-21-1287235584-786264263-2186423428-1001\...\Run: [apphide] => C:\Program Files (x86)\baidu\baidu.exe [69632 2015-07-22] ()
                    Startup: C:\Users\Audrey\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\hwr.jar [2014-06-22] ()
                    BHO-x32: GoodTab Class -> {1F91A9A1-01BA-4c81-863D-3BA0751E1419} -> C:\Program Files (x86)\MiuiTab\SupTab.dll Pas de fichier
                    2015-08-12 13:43 - 2015-08-16 11:00 - 00000000 ____D C:\IQIYI Video
                    2015-08-12 13:43 - 2015-08-16 09:58 - 00000000 ____D C:\qycache
                    2015-08-12 13:43 - 2015-08-12 13:43 - 00000000 ____D C:\Users\Public\QiYi
                    2015-08-12 13:42 - 2015-08-12 13:50 - 00000000 ____D C:\Users\Audrey\AppData\Roaming\WTools
                    2015-08-12 13:34 - 2015-08-12 13:34 - 00000000 _____ C:\WINDOWS\prleth.sys
                    2015-08-12 13:34 - 2015-08-12 13:34 - 00000000 _____ C:\WINDOWS\hgfs.sys
                    Task: {C0054CE5-0542-4949-80A1-CCF136DC349F} - System32\Tasks\{66CA2F2B-0371-4943-8801-C0B457B1F95D} => pcalua.exe -a C:\Users\Audrey\AppData\Roaming\omniboxes\UninstallManager.exe -c -ptid=amt
                    R1 rsutils; C:\Windows\System32\DRIVERS\rsutils.sys [71760 2015-04-09] (Beijing Rising Information Technology Co., Ltd.)
                    R0 sysmon; C:\Windows\System32\DRIVERS\sysmon.sys [119256 2015-04-30] (Beijing Rising Information Technology Co., Ltd.)
                    HKLM-x32\...\Run: [RSDTRAY] => C:\Program Files (x86)\Rising\RSD\popwndexe.exe [126808 2012-09-25] (Beijing Rising Information Technology Co., Ltd.)
                    HKLM-x32\...\Run: [RavTRAY] => C:\Program Files (x86)\Rising\RAV\RSTRAY.EXE [111000 2014-05-15] (Beijing Rising Information Technology Co., Ltd.)
                    C:\Program Files (x86)\Rising
                    FF Plugin-x32: @rising.com.cn/nprising -> C:\Program Files (x86)\Rising\RAV\nprising.dll [2013-06-27] (Beijing Rising Information Technology Co., Ltd.)
                    FF Plugin HKU\S-1-5-21-1287235584-786264263-2186423428-1001: @rising.com.cn/nprising -> C:\Program Files (x86)\Rising\RAV\nprising.dll [2013-06-27] (Beijing Rising Information Technology Co., Ltd.)
                    R2 RsMgrSvc; C:\Program Files (x86)\Rising\RSD\RsMgrSvc.exe [196288 2015-08-16] (Beijing Rising Information Technology Co., Ltd.)
                    R2 RsRavMon; C:\Program Files (x86)\Rising\RAV\ravmond.exe [277552 2014-05-15] (Beijing Rising Information Technology Co., Ltd.)

                    Relance FRST et clic sur le bouton Corriger / Fix
                    Selon comment un redémarrage est nécessaire (pas obligatoire).
                    Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

                    Redémarre l'ordinateur

                    puis réinitialise tes navigateurs:
                    ==================================
                    Réinitialise tes navigateurs et ou manuellement reparamètre tes navigateurs WEB (page de démarrage, moteur de recherche etc) mais aussi supprimer/désactiver les extensions inutiles/parasites :

                    0
                    • 1
                    • 2

                    Discussions similaires

                    Désinstaller et réinstaller Messenger
                    MayLyn

                    1 réponse
                    Comment désinstaller une application sous Mac
                    rory gallagher

                    24 réponses