Message au démarrage de Windows - Il existe un fichier ou programme nommé "C:\Program"

[bastardfromnowhere]

Bonjour,

Je sais pertinemment que Windows 7 est un produit obsolète et dangereux, cependant j'ai quelques potes avec des vieilles bécanes qui ont encore leur Windows 7 et récemment j'ai vu ce message apparaître au fur et à mesure sur différentes machines.
Lorsque l'on supprime ce fichier, il reapparaît quelques extinction réallumage plus tard. Je pense qu'il y a un soft qui le génère ...

Quelqu'un connaîtrait-t-il l'origine de la création de ce fichier à la racine ?
Simple et pur demande d'information pour enrichir mes connaissances.

Merci.

[MisterBean]

Salut,

Sans plus d’informations , difficile de répondre 

A la limite , fais une analyse FRST et vois si quelque chose ressort et/ou postes les rapports

 

[bastardfromnowhere]

Oui je comprends. Comme le soucis est lié strictement a Win7 me suis dit qu'il y avait peut-être deja quelqu'un au courant, juste avec ce symptome.

Je tenterais un rapport a l'occasion quand je remettrais la main sur le même phénomène.

Merci pour ta réponse en tout cas.

[whoami]

Bonjour,

j'ai quelques potes avec des vieilles bécanes qui ont encore leur Windows 7 et récemment j'ai vu ce message apparaître au fur et à mesure sur différentes machines.
...
Lorsque l'on supprime ce fichier, il reapparaît quelques extinction réallumage plus tard. Je pense qu'il y a un soft qui le génère ...

Typique d'une infection, le conseil de MisterBean est donc le bon.

Et effectivement, il vaudrait mieux ne plus utiliser W7 

[bastardfromnowhere]

 

Bon j'ai réussi à récup le fichier chez une pote.
Voici les logs.

J'ai du coup analysé, selon moi ce n'est pas une infection mais quelque chose qui se déclenche sur l'ordi dans le dernier cas à 18h19:

Code: [Sélectionner]

2022-02-17 18:19 - 2022-02-17 18:19 - 000088805 _____ C:\Programqui fait planter des services et programmes et du coup je pense qu'il ya un des programmes qui plante qui génère ce fichier à la racine.

Car après dans l'observateur d'évenement on observe des choses:

Code: [Sélectionner]

==================== Erreurs du Journal des événements: ========================

Erreurs Application:
==================
Error: (02/17/2022 06:19:29 PM) (Source: Application Error) (EventID: 1000) (User: )
Description: Nom de l’application défaillante LMS.exe, version : 11.0.6.1193, horodatage : 0x5730eb24
Nom du module défaillant : unknown, version : 0.0.0.0, horodatage : 0x00000000
Code d’exception : 0xc0000005
Décalage d’erreur : 0x02ce7584
ID du processus défaillant : 0x1258
Heure de début de l’application défaillante : 0x01d8240378ef9297
Chemin d’accès de l’application défaillante : C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\LMS\LMS.exe
Chemin d’accès du module défaillant: unknown
ID de rapport : c331d96e-9015-11ec-b6d4-a08cfdda3847

Error: (02/17/2022 06:19:29 PM) (Source: Application Error) (EventID: 1000) (User: )
Description: Nom de l’application défaillante jhi_service.exe, version : 11.0.6.1193, horodatage : 0x5730ebc4
Nom du module défaillant : unknown, version : 0.0.0.0, horodatage : 0x00000000
Code d’exception : 0xc0000005
Décalage d’erreur : 0x02ce7584
ID du processus défaillant : 0xdbc
Heure de début de l’application défaillante : 0x01d8240378da2637
Chemin d’accès de l’application défaillante : C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\DAL\jhi_service.exe
Chemin d’accès du module défaillant: unknown
ID de rapport : c323912e-9015-11ec-b6d4-a08cfdda3847

Error: (02/17/2022 06:19:28 PM) (Source: Application Error) (EventID: 1000) (User: )
Description: Nom de l’application défaillante IAStorDataMgrSvc.exe, version : 15.2.0.1020, horodatage : 0x57d81123
Nom du module défaillant : unknown, version : 0.0.0.0, horodatage : 0x00000000
Code d’exception : 0xc0000005
Décalage d’erreur : 0x02ce7584
ID du processus défaillant : 0xda0
Heure de début de l’application défaillante : 0x01d82403788b98d7
Chemin d’accès de l’application défaillante : C:\Program Files\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe
Chemin d’accès du module défaillant: unknown
ID de rapport : c2cddfae-9015-11ec-b6d4-a08cfdda3847

Error: (02/17/2022 06:19:28 PM) (Source: .NET Runtime) (EventID: 1026) (User: )
Description: Application : IAStorDataMgrSvc.exe
Version du Framework : v4.0.30319
Description : le processus a été arrêté en raison d'une exception non gérée.
Informations sur l'exception : code d'exception c0000005, adresse d'exception 02CE7584

Error: (02/17/2022 06:19:28 PM) (Source: Application Error) (EventID: 1000) (User: )
Description: Nom de l’application défaillante TeamViewer_Service.exe, version : 15.26.4.0, horodatage : 0x61ee80b5
Nom du module défaillant : unknown, version : 0.0.0.0, horodatage : 0x00000000
Code d’exception : 0xc0000005
Décalage d’erreur : 0x02ce7584
ID du processus défaillant : 0xb3c
Heure de début de l’application défaillante : 0x01d824032ffae800
Chemin d’accès de l’application défaillante : C:\Program Files (x86)\TeamViewer\TeamViewer_Service.exe
Chemin d’accès du module défaillant: unknown
ID de rapport : c275ccce-9015-11ec-b6d4-a08cfdda3847

Error: (02/17/2022 06:19:27 PM) (Source: Application Error) (EventID: 1000) (User: )
Description: Nom de l’application défaillante AvWrapper.exe, version : 4.30.402.0, horodatage : 0x60dee25b
Nom du module défaillant : unknown, version : 0.0.0.0, horodatage : 0x00000000
Code d’exception : 0xc0000005
Décalage d’erreur : 0x02ce7584
ID du processus défaillant : 0x818
Heure de début de l’application défaillante : 0x01d824032fb330a0
Chemin d’accès de l’application défaillante : C:\Program Files (x86)\AVAST Software\Business Agent\AvWrapper.exe
Chemin d’accès du module défaillant: unknown
ID de rapport : c23cabce-9015-11ec-b6d4-a08cfdda3847

Error: (02/17/2022 06:19:27 PM) (Source: Application Error) (EventID: 1000) (User: )
Description: Nom de l’application défaillante armsvc.exe, version : 1.824.45.8876, horodatage : 0x619600e3
Nom du module défaillant : unknown, version : 0.0.0.0, horodatage : 0x00000000
Code d’exception : 0xc0000005
Décalage d’erreur : 0x02ce7584
ID du processus défaillant : 0x7cc
Heure de début de l’application défaillante : 0x01d824032f901840
Chemin d’accès de l’application défaillante : C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe
Chemin d’accès du module défaillant: unknown
ID de rapport : c229a0ce-9015-11ec-b6d4-a08cfdda3847

Erreurs système:
=============
Error: (02/18/2022 09:39:57 AM) (Source: DCOM) (EventID: 10010) (User: )
Description: Le serveur {BB6DF56B-CACE-11DC-9992-0019B93A3A84} ne s’est pas enregistré sur DCOM avant la fin du temps imparti.

Error: (02/17/2022 06:19:30 PM) (Source: Service Control Manager) (EventID: 7000) (User: )
Description: Le service TeamViewer n’a pas pu démarrer en raison de l’erreur :
Le canal de communication a été fermé.

Error: (02/17/2022 06:19:29 PM) (Source: Service Control Manager) (EventID: 7034) (User: )
Description: Le service Intel(R) Management and Security Application Local Management Service s’est terminé de façon inattendue pour la 1ème fois.

Error: (02/17/2022 06:19:29 PM) (Source: Service Control Manager) (EventID: 7034) (User: )
Description: Le service Intel(R) Dynamic Application Loader Host Interface Service s’est terminé de façon inattendue pour la 1ème fois.

Error: (02/17/2022 06:19:29 PM) (Source: Service Control Manager) (EventID: 7034) (User: )
Description: Le service Intel(R) Rapid Storage Technology s’est terminé de façon inattendue pour la 1ème fois.

Error: (02/17/2022 06:19:28 PM) (Source: Service Control Manager) (EventID: 7031) (User: )
Description: Le service TeamViewer s’est terminé de manière inattendue. Ceci s’est produit 1 fois. L’action corrective suivante va être effectuée dans 2000 millisecondes : Redémarrer le service.

Error: (02/17/2022 06:19:28 PM) (Source: Service Control Manager) (EventID: 7031) (User: )
Description: Le service Avast Business CloudCare - ClientManager s’est terminé de manière inattendue. Ceci s’est produit 1 fois. L’action corrective suivante va être effectuée dans 2000 millisecondes : Exécuter le programme de récupération configuré.

Error: (02/17/2022 06:19:28 PM) (Source: Service Control Manager) (EventID: 7034) (User: )
Description: Le service Avast Business CloudCare - AvastAvWrapper s’est terminé de façon inattendue pour la 1ème fois.
Du coup quand je regarde dans l'observateur d'evenement pour voir ce qu'il se passe juste avant (car le FRST va pas assez loin) j'ai ce type de message:

Code: [Sélectionner]

Le processus Explorer.EXE a lancé le se mettre hors tension. de l’ordinateur EMELINE pour l’utilisateur EMELINE\utilisateur pour la raison suivante : Autre (non planifié)
.  Code : 0x0
.  Type d’extinction : se mettre hors tension.
.  Commentaire : .

Code: [Sélectionner]

Le processus C:\Windows\system32\winlogon.exe (EMELINE) a lancé le se mettre hors tension. de l’ordinateur EMELINE pour l’utilisateur EMELINE\utilisateur pour la raison suivante : Aucun titre à cette raison n’a pu être trouvé
.  Code : 0x500ff
.  Type d’extinction : se mettre hors tension.
.  Commentaire : .

Code: [Sélectionner]

Notification de fermeture de session utilisateur pour le Programme d’amélioration de l’expérience utilisateur

Code: [Sélectionner]

Le service Expérience d’application est entré dans l’état : en cours d’exécution.
Dites moi ce que vous en pensez ?
FRST
Addition
Fichier program

PS: j'ai trouvé un autre fichier dans la restauration système daté au mardi ‎8 ‎février ‎2022 que j'ai joint au Zip, j'ai le même schéma au niveau de l'observateur d'évenement.

 

[MisterBean]

 

Si on ouvre les deux fichiers program dans le bloc notes , on trouve ceci :

Code: [Sélectionner]

S e r v i c e   P a c k   1   p   C : \ P r o g r a m   F i l e s   ( x 8 6 ) \ T e a m V i e w e r \ T e a m V i e w e r _ S e r v i c e . e x e   :   C : \ W i n d o w s \ S y s W O W 6 4 \ n t d l l . d l l   @   C : \ W i n d o w s \ S y s W O W 6 4 \ k e r n e l 3 2 . d l l   D   C : \ W i n d o w s \ S y s W O W 6 4 \ K E R N E L B A S E . d l l   h   C : \ W i n d o w s \ S y s t e m 3 2 \ a p i - m s - w i n - c o r e - s y n c h - l 1 - 2 - 0 . D L L   <   C : \ W i n d o w s \ S y s W O W 6 4 \ w s 2 _ 3 2 . d l l   <   C : \ W i n d o w s \ S y s W O W 6 4 \ m s v c r t . d l l   <   C : \ W i n d o w s \ S y s W O W 6 4 \ r p c r t 4 . d l l   >   C : \ W i n d o w s \ S y s W O W 6 4 \ s s p i c l i . d l l   B   C : \ W i n d o w s \ S y s W O W 6 4 \ C R Y P T B A S E . d l l   >   C : \ W i n d o w s \ S y s W O W 6 4 \ s e c h o s t . d l l   6   C : \ W i n d o w s \ S y s W O W 6 4 \ n s i . d l l   @   C : \ W i n d o w s \ S y s W O W 6 4 \ a d v a p i 3 2 . d l l   @   C : \ W i n d o w s \ S y s W O W 6 4 \ o l e a u t 3 2 . d l l   :   C : \ W i n d o w s \ S y s W O W 6 4 \ o l e 3 2 . d l l   :   C : \ W i n d o w s \ S y s W O W 6 4 \ g d i 3 2 . d l l   <   C : \ W i n d o w s \ S y s W O W 6 4 \ u s e r 3 2 . d l l   6   C : \ W i n d o w s \ S y s W O W 6 4 \ l p k . d l l   :   C : \ W i n d o w s \ S y s W O W 6 4 \ u s p 1 0 . d l l   :   C : \ W i n d o w s \ S y s t e m 3 2 \ i m m 3 2 . d l l   :   C : \ W i n d o w s \ S y s W O W 6 4 \ m s c t f . d l l   >   C : \ W i n d o w s \ S y s W O W 6 4 \ s h e l l 3 2 . d l l   >   C : \ W i n d o w s \ S y s W O W 6 4 \ s h l w a p i . d l l   ô   C : \ W i n d o w s \ w i n s x s \ x 8 6 _ m i c r o s o f t . w i n d o w s . c o m m o n - c o n t r o l s _ 6 5 9 5 b 6 4 1 4 4 c c f 1 d f _ 6 . 0 . 7 6 0 1 . 2 4 4 8 3 _ n o n e _ 2 b 2 0 0 f 6 6 4 5 7 7 e 1 4 b \ c o m c t l 3 2 . d l l   @   C : \ W i n d o w s \ S y s W O W 6 4 \ s e t u p a p i . d l l   @   C : \ W i n d o w s \ S y s W O W 6 4 \ c f g m g r 3 2 . d l l   <   C : \ W i n d o w s \ S y s W O W 6 4 \ d e v o b j . d l l   >   C : \ W i n d o w s \ S y s W O W 6 4 \ c l b c a t q . d l l   >   C : \ W i n d o w s \ S y s t e m 3 2 \ p r o p s y s . d l l   6   C : \ W i n d o w s \ S y s t e m 3 2 \ m s i . d l l   >   C : \ W i n d o w s \ S y s t e m 3 2 \ n t m a r t a . d l l   >   C : \ W i n d o w s \ S y s W O W 6 4 \ W l d a p 3 2 . d l l   >   C : \ W i n d o w s \ S y s t e m 3 2 \ c r y p t s p . d l l   <   C : \ W i n d o w s \ S y s t e m 3 2 \ r s a e n h . d l l   <   C : \ W i n d o w s \ S y s t e m 3 2 \ b c r y p t . d l l   P   C : \ W i n d o w s \ S y s W O W 6 4 \ b c r y p t p r i m i t i v e s . d l l   @   C : \ W i n d o w s \ S y s W O W 6 4 \ w i n t r u s t . d l l   >   C : \ W i n d o w s \ S y s W O W 6 4 \ c r y p t 3 2 . d l l   <   C : \ W i n d o w s \ S y s W O W 6 4 \ m s a s n 1 . d l l   @   C : \ W i n d o w s \ S y s W O W 6 4 \ i m a g e h l p . d l l   <   C : \ W i n d o w s \ S y s t e m 3 2 \ n c r y p t . d l l   >   C : \ W i n d o w s \ S y s W O W 6 4 \ u s e r e n v . d l l   >   C : \ W i n d o w s \ S y s W O W 6 4 \ p r o f a p i . d l l   :   C : \ W i n d o w s \ S y s t e m 3 2 \ g p a p i . d l l   @   C : \ W i n d o w s \ S y s t e m 3 2 \ I P H L P A P I . D L L   <   C : \ W i n d o w s \ S y s t e m 3 2 \ w i n n s i . d l l   @   C : \ W i n d o w s \ S y s t e m 3 2 \ d h c p c s v c . d l l   B   C : \ W i n d o w s \ S y s t e m 3 2 \ d h c p c s v c 6 . D L L   J   C : \ W i n d o w s \ S y s t e m 3 2 \ w b e m \ w b e m p r o x . d l l   B   C : \ W i n d o w s \ S y s t e m 3 2 \ w b e m c o m n 2 . d l l   F   C : \ W i n d o w s \ S y s t e m 3 2 \ R p c R t R e m o t e . d l l   H   C : \ W i n d o w s \ S y s t e m 3 2 \ w b e m \ w b e m s v c . d l l   J   C : \ W i n d o w s \ S y s t e m 3 2 \ w b e m \ f a s t p r o x . d l l   >   C : \ W i n d o w s \ S y s t e m 3 2 \ n t d s a p i . d l l   >   C : \ W i n d o w s \ S y s t e m 3 2 \ m s w s o c k . d l l   <   C : \ W i n d o w s \ S y s t e m 3 2 \ d n s a p i . d l l   T   C : \ P r o g r a m   F i l e s   ( x 8 6 ) \ B o n j o u r \ m d n s N S P . d l l   @   C : \ W i n d o w s \ S y s t e m 3 2 \ F W P U C L N T . D L L   @   C : \ W i n d o w s \ S y s t e m 3 2 \ r a s a d h l p . d l l   <   C : \ W i n d o w s \ S y s t e m 3 2 \ w s h i p 6 . d l l   @   C : \ W i n d o w s \ S y s t e m 3 2 \ n e t p r o f m . d l l   <   C : \ W i n d o w s \ S y s t e m 3 2 \ n l a a p i . d l l   @   C : \ W i n d o w s \ S y s t e m 3 2 \ n p m p r o x y . d l l   @   C : \ W i n d o w s \ S y s t e m 3 2 \ W S H T C P I P . D L L   @   C : \ W i n d o w s \ S y s t e m 3 2 \ w i n s p o o l . d r v   @   C : \ W i n d o w s \ S y s t e m 3 2 \ w t s a p i 3 2 . d l l   <   C : \ W i n d o w s \ S y s t e m 3 2 \ w i n s t a . d l l   @   C : \ W i n d o w s \ S y s t e m 3 2 \ n e t a p i 3 2 . d l l   @   C : \ W i n d o w s \ S y s t e m 3 2 \ n e t u t i l s . d l l   <   C : \ W i n d o w s \ S y s t e m 3 2 \ s r v c l i . d l l   <   C : \ W i n d o w s \ S y s t e m 3 2 \ w k s c l i . d l l   >   C : \ W i n d o w s \ S y s t e m 3 2 \ a p p h e l p . d l l      P O W R P R O F . D L L   

Les deux commencent par S e r v i c e   P a c k   1   p   C : \ P r o g r a m   F i l e s   ( x 8 6 ) \ T e a m V i e w e r \ T e a m V i e w e r _ S e r v i c e . e x e   : 

Il faudrait essayer de désactiver teamviewer du démarrage pour voir ce que ça donne .
Je pense qu'il se désactive via msconfig => Services

 

[bastardfromnowhere]

Oui j'avais bien vu apparaitre le TeamViewer dans le fichier 

Par contre peut tu m'indiquer comment tu as fait pour ne pas faire apparaitre les hiéroglyphes ?
Car moi dans le bloc note c'est pas aussi propre !! 

C'est balo que ce soit TeamViewer c'est ce qui me permet de les depanner 

[Vista_HP]

Bonjour,

AnyDesk pourrait remplacer TeamViewer ...

VH

[MisterBean]

 

Par contre peut tu m'indiquer comment tu as fait pour ne pas faire apparaitre les hiéroglyphes ?
Car moi dans le bloc note c'est pas aussi propre !! 

Je n'ai rien fait de plus , ces lignes apparaissent ainsi au milieu du texte dans le bloc note

C'est balo que ce soit TeamViewer c'est ce qui me permet de les depanner 

Si tu le désactives comme indiqué , la personne à qui appartient le PC peut toujours le lancer manuellement .
ça évite qu'il soit actif en permanence et ça permettra de vérifier si c'est lui qui crée ces fichiers.
Sur mon PC , il est désactivé en permanence et je le lance quand j'en ai besoin