Discussion :

[Jean R.]

Bonjour

Je viens de découvrir une chose étrange dans mon répertoire C:\Windows

J'ai 2 dossiers System32 : 1 avec un S majuscule, 1 avec un s minuscule.

Or que je sache pour les noms de fichiers et de répertoires Windows n'est pas sensible à la casse; donc ce sont les mêmes. Et il ne peut pas y avoir 2 dossiers ou fichiers dans le même répertoire avec le même nom.

Effectivement quand je double clique sur system32 (le pas bon car le bon est avec un S majuscule) il s'ouvre mais pour autant que je puisse voir je trouve le même contenu que dans System32. Par contre, ce contenu est mort: si j’essaie d'ouvrir un sous-dossier ou un fichier j'ai un panneau que cela fait référence à un emplacement non disponible pour un dossier, ou que Windows ne trouve pas pour un fichier.

En effet les propriétés me disent qu'il fait 18,5 ko donc à priori il est vide. Ou pas loin.

Je me suis dit d'abord que ça sentait le virus. Mais ça ressemble plutôt à un bug. Ou peut être que c'est normal. Quelqu'un a déjà vu ça ?

[hackoofr]

Téléchargez sur le bureau Malwarebyte's Anti-Malware

• => double-clic sur mbam-setup pour lancer l'installation
• => Installer simplement sans rien modifier
• => Faites les mises à jour (Clic sur "Mise à jour" puis "Recherche de mises à jour").
• => si la mise à jour a échoué, la faire après execution du logiciel => onglet "Mise à jour"
• => Quand le programme lancé ==> Cocher Exécuter un examen complet
• => Clic Rechercher
• => Eventuellement décocher les disques à ne pas analyser
• => Clic Lancer l'examen
• => En fin de scan ( 1h environ), si infection trouvée
• => Clic Afficher résultat
• => Fermer vos applications en cours
• => Si MalwareByte's n'a rien détecté, cliquez sur OK Un rapport va apparaître fermez-le.
• => Si MalwareByte's a détecté des infections, cliquez sur Afficher les résultats ensuite Vérifier si tout est coché et clic Supprimer la sélection.
• => Note : Si MalwareByte's a besoin de redémarrer pour terminer la suppression, acceptez en cliquant sur "OK".
  un rapport s'ouvre le copier et le coller dans la réponse
  
  
  
  

et complétez le travail avec : AdwCleaner
AdwCleaner est un outil visant à supprimer :

• Les adware (programmes publicitaires)
• Les PUP/LPIs (programmes potentiellement indésirables)
• Les toolbar (barres d'outil greffées au navigateur)
• Les hijacker (détournement de la page de démarrage)

Adwcleaner dispose d'un mode recherche et d'un mode suppression.
Si vous avez fait le mode recherche il faut alors passer au mode Suppression
Après vous allez redémarrer le PC et un autre Rapport va être ouvert ; Alors vous pouvez poster ce dernier Rapport
Donc télécharge AdwCleaner ( d'Xplode ) sur ton bureau.

Puis exécutez ce vbscript ListProcessCmdLine.vbs pour afficher tous les processus en cours d'exécution et les éléments à démarrage automatique puis Poster le résultat généré par ce dernier dans la réponse aussi

* Pour restaurer les fichiers et les dossiers cachés et supprimer les raccourcis infectés , Utilisez ShortcutRemover

[foetus]

Effectivement, Windows gère la casse dossiers Windows Program Files Users ... à les vieux trolls sont tenaces

Juste pour te dire, fait un dir à la console pour voir si ce n'est pas un lien, ou un fichier vide ou n'importe quoi...
Juste avant de faire des opérations lourdes : installation de ckleaners, faire des rapports CGI ...

[Jean R.]

Merci de vos réponses.

J'ai booté ma machine sous Linux. Dolphin ne s'emmêle pas les pinceaux comme l'explorateur Windows : il m'a montré que dans ce répertoire system32, je n'avait que le dossier Drivers avec dedans un unique fichier Keyp.sys

J'ai renommé sous Linux ce dossier system_32_sus et j'ai rebooté sous Seven.

Aucun problème, tout fonctionne apparemment.

Et maintenant je peux rentrer dans ce dossier avec l'explorateur Windows je ne vois que le dossier Drivers et dedans Keyp.sys

Je me suis empressé de le vérifier avec mon antivirus (AVG Free). Rien à signaler.

C'est quand même pas mal suspect: Keyp.sys étant un driver Microsoft de clavier, un keylogger aurait tout intérêt à le détourner en le remplaçant par sa propre version qui enverrait gentiment les frappes clavier sur internet. Je vais approfondir.

[foetus]

Un truc simple: un fichier authentique aura toujours le copyright Microsoft (Clic Droit -> Propriétés -> Détails)

Cela sent quand même une installation foirée à cause de la casse

Tu n'as pas installé un logiciel qui fonctionne mal?

[Jean R.]

Un truc simple: un fichier authentique aura toujours le copyright Microsoft (Clic Droit -> Propriétés -> Détails)

Cela sent quand même une installation foirée à cause de la casse

Tu n'as pas installé un logiciel qui fonctionne mal?

C'est un vieux driver : il est daté de 1995. Et à l'époque il n'y avait pas de signature.

Et les vieux logiciels que j'ai essayé de faire tourner sur ma bécane et qui ne fonctionnaient pas il y en a eu un paquet.

[hackoofr]

C'est quand même pas mal suspect: Keyp.sys étant un driver Microsoft de clavier, un keylogger aurait tout intérêt à le détourner en le remplaçant par sa propre version qui enverrait gentiment les frappes clavier sur internet. Je vais approfondir.

Je crois que c'est un keylogger effectivement
Pour vérifier édite le avec ton bloc notes et dis-nous est-ce qu'il éditable ou non ?

[Jean R.]

Je crois que c'est un keylogger effectivement
Pour vérifier édite le avec ton bloc notes et dis-nous est-ce qu'il éditable ou non ?

Il est éditable mais rempli d'hexa.
Emerge quelques chaines de caractères : This program can't run in DOS mode , @start_driver, des noms de dll ou des appels de fonctions de dll. Je n'ai rien vu de suspect.