Discussion :

[pipitte]

Amis du forum bonjour .
Voilà mon soucis.En téléchargeant un logiciel , je me suis retrouvé avec une autre installation , comment elle a atterris là , je n'en sais rien . Ce logiciel s'appelle " Lightening media player " , apparemment c'est un lecteur vidéo . J'ai voulu le désinstaller , mais pas moyen , même avec Revo Uninstaller . J'ai fini par l'éliminer dans " program files " , mais il est toujours présent dans ma liste de programme installés . Si je clique pour l'enlever , j'ai droit à ce message " Windows ne trouve pas C.program files " . Mais le soucis c'est ensuite , car depuis , j'ai une fenêtre qui s'ouvre sans arrêt , Windows Script Host ( voir pièce jointe ) . J'ai regarder pour le désactiver en allant dans l'explorateur Windows afin de sélectionner et supprimer le fichier " VBScript " , mais pour cela je dois localiser l'onglet " types de fichiers " , mais je ne le trouve pas et cette fenêtre s'ouvre sans arrêt toute les 3 ou 4 minutes .Je ne suis pas un expert , et j'ai expliqué avec mes mots , j'espère juste qu'un membre du forum sera me donner la solution pour éliminer définitivement ce problème . Un grand merci par avance .

[SATS_FR]

Bonjour. Dommage de ne pas t'être renseigné sur ce logiciel avant de l'installer. C'est un virus/pup.
Fais une scrutation avec Malwarebytes.

[pipitte]

Merci pour votre réponse . J'ai fais une analyse complète avec Malwarebytes , il a détecté 99 éléments néfastes . Hélas la fenêtre est toujours là , sauf qu'il n'y a plus écrit la même chose . ( Photo ci-jointe ).

[l_autodidacte]

A partir du registre Windows :

- Modifier la donnée de la valeur Enabled de 0 à 1(de type REG_DWORD) dans HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings

- Faire la même chose pour HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings

[pipitte]

J'ai exécuté à la lettre la manipulation que vous m'avez indiqué .Mais désolé cela ne marche toujours pas , la fenêtre continue à s'ouvrir sans arrêt .

[l_autodidacte]

Les valeurs modifiées restent-elles toujours à la valeur 1 ?
Quel Antivirus est installé sur la machine ?

Par exemple, Smadav provoque une telle erreur en désactivant l'accès à WSH.

Il faut regarder dans la configuration de l'antivirus s'il y a lieu d'activer WSH.

[pipitte]

Les valeurs modifiés sont à " 0 " . J'utilise l'anti-virus Avast Premium . Par contre je ne suis pas un expert en informatique , c'est quoi le WSH ? , et ou puis je trouver cette configuration ? . Dans " program files " ?.

[l_autodidacte]

WSH = Windows Script Host

Puisque la valeur est remise à 0, il y a donc un processus qui le fait et persiste à mette ce 0 pour désactiver WSH.

1 - Pour savoir si Avast est la source de désactivation de WSH, essaie de désactiver Avast pendant 10 minutes en faisant un clic droit sur son icône
dans la barre des tâches(en bas à droite, tout étant déconnecté d'Internet), survole le menu contextuel "Gestions des agents Avast" et clique sur le
le sous-menu "Désactiver pour 10 minutes" puis confirme l'action.
2 - Ouvre le registre en Admin(ou Super Admin) fais les modifications selon ce que j'ai dit auparavant puis ferme le registre.
3 - Ré-ouvre le registre pour voir si la valeur reste à 1 ou non.

Si la valeur Enabled = 1, cela veut dire que c'est Avast qui est la cause du désagrément. Il faut alors rechercher dans sa configuration.



S'il n'y a pas d'option qui concerne WSH, essaie d'ajouter Wscript.exe et Cscript.exe à la liste d'exclusion d'Avast dans les paramètres comme indiqué par la flèche 2 de la capture ci-dessus.
Réactive Avast ensuite

[pipitte]

Bonjour . Je n'y comprends plus rien , par je ne sais pas quelle miracle , j'ai réussi à faire partir la fenêtre WSH . Je ne sais pas si c'est le fait d'avoir pu enlever totalement ce programme corrompu avec Revo Uninstaller , enfin bref , le problème c'est que maintenant j'ai une autre fenêtre qui s'affiche ( photo ci-joint ) , elle apparaît régulièrement et il suffit que je clique sur n'importe quels icônes pour qu'elle se ferme , mais elle revient toujours . Excusez du mot , mais j'ai vraiment récupéré une vrai " saloperie " .

[l_autodidacte]

C'est normal d'avoir cette nouvelle fenêtre car le fichier vbscript(*.vbs) n'est plus associé à aucune application pour l'ouvrir.

Cette fenêtre est une suggestion de la part du système pour l'ouverture d'un fichier qui n'est plus reconnu.

Dans ton cas, tu ne peux plus lancer les fichiers vbscript(*.vbs).

Si tu utilises souvent des fichiers vbs, il est nécessaire de remettre Wscript.exe et Cscript.exe en place en le téléchargeant depuis une source sûre.
Si tu veux visualiser le fichier en lecture, tu peux choisir par exemple le bloc-note comme application.

[pipitte]

Merci . J'ai téléchargés les deux fichiers , mais je suis novice en informatique , et je ne voudrais pas aggraver la situation , donc clairement , je fais quoi avec ceux-ci maintenant ?.

[Gluups]

Bonjour,
Je suis étonné de voir marquée "résolue" une discussion qui se termine par "je fais quoi avec ces deux-ci maintenant ?"
Fausse manip ?

Alors pour mémoire on a eu successivement les problèmes suivants sur cette machine :

1. script indésirable installé
2. raccourci vers le script indésirable, exécuté au démarrage
3. association supprimée entre le type de fichiers .vbs et l'application Windows Script Host
   (C:\Windows\System32\WScript.exe)

Le message "fichier non trouvé" laisse entendre que le premier problème est résolu.
Je suggèrerais d'attendre d'avoir résolu le deuxième problème avant de résoudre le troisième, sauf si l'impossibilité d'exécuter des scripts pose un problème urgent.
La tentative d'exécuter le script a lieu au démarrage de la session, c'est bien ça ?

Il y a plusieurs endroits où stocker des raccourcis à exécuter au démarrage. Je pourrais donner une liste complète et laisser les passer en revue, mais j'ai un peu peur de désorienter, et puis pour être franc je ne suis pas sûr de tous me les rappeler.

Donc on va commencer par un, et si ce n'est pas ça on se rafraîchira les souvenirs par une recherche sur Internet, pour parcourir les suivants.

Dans la barre d'adresse d'un explorateur de fichiers, taper (puis valider par Entrée)

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

shell:startup

Qu'est-ce qui apparaît ?

N.B. Si il y a besoin de télécharger CScript et WScript parce qu'ils ne sont pas présents dans le répertoire C:\Windows\SYSTEM32, et le cas échéant C:\Windows\SysWOW64, ainsi que dans d'autres répertoires à titre de sauvegarde, là on a vraiment un gros problème, qui nécessite l'utilisation urgente d'un antivirus (d'ailleurs ça ne mange pas de pain, ça serait une précaution sage).

Donc pour en avoir le cœur net, dans une fenêtre de ligne de commandes (qu'on ouvre par les touches Windows R, suivies de CMD dans la zone de saisie, et la touche Entrée), taper ça :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

DIR C:\Windows\CScript.exe /S

et ... dire ce que ça donne.
Même chose avec WScript à la place de CScript, dire si ça donne quelque chose d'analogue.

Autre remarque : quand un outil délivre des messages d'information, il est très important d'apporter une attention soutenue à la lecture de ces messages, puis à leur transcription correcte. Un à-peu-près là-dessus peut avoir des conséquences graves.

[Gluups]

Je relis le message de MalwareBytes : l'accès à Windows Script Host a été désactivé.

Je ne m'attends pas à ce que le fichier ait disparu, mais il faudra ré-autoriser son utilisation, il faudra se donner un temps de recherche/réflexion.

Est-ce qu'on a un journal résultant de l'exécution de Malwarebytes ?
Ça permettrait de mieux comprendre ce qu'on fait.

Ça n'empêche pas de maintenir mon message précédent, de toute manière c'est une collecte d'information, alors ça ne fera pas de casse.