Comment éviter l'installation de maliciels grâce à la campagne de spam Coronavirus ?

Guide de suppression de "Coronavirus Email Virus"

Qu'est-ce que "Coronavirus Email Virus" ?

Il existe plusieurs variantes de la campagne de spam Coronavirus. Les cybercriminels la diffusent dans le but de tromper les destinataires et les amener à infecter leurs ordinateurs avec des programmes malveillants tels que Agent Tesla, Emotet, LokiBot, Remcos, TrickBot, FormBook, Ave Maria, LimeRAT, CrimsonRAT et d'autres maliciels à haut risque. Ils envoient des courriels qui contiennent soit un lien vers un site web conçu pour télécharger un fichier malveillant ou afficher un contenu peu fiable (par exemple, des sites de phishing), soit une pièce jointe malveillante. Dans les deux cas, s'ils sont ouverts (exécutés), ces fichiers/pièces jointes installent un certain programme malveillant. Nous recommandons vivement d'ignorer ce courriel, il n'a rien à voir avec le Coronavirus proprement dit.

Cette variante de la campagne de spam est déguisée en lettre de l'Organisation mondiale de la santé (OMS) concernant les mesures de protection contre le nouveau Coronavirus. Elle suggère que le fichier joint ou le lien du site web inclus contient des informations sur la manière d'empêcher la propagation du Coronavirus et d'éviter d'être infecté par celui-ci. Cependant, les fichiers joints ou les fichiers téléchargés via le lien inclus sont conçus pour installer un programme malveillant. Comme nous l'avons mentionné dans l'introduction, cette campagne de spam Coronavirus est utilisée pour diffuser différents programmes malveillants. Quoi qu'il en soit, il est très probable que les cybercriminels qui se cachent derrière cette campagne tentent d'infecter les ordinateurs avec des chevaux de Troie ou des rançongiciels. Néanmoins, ils pourraient également utiliser la campagne Coronavirus pour diffuser d'autres types de maliciels. En général, ils diffusent des chevaux de Troie conçus pour voler des informations sensibles telles que les noms d'utilisateur, les mots de passe, les détails des cartes de crédit (ou d'autres informations bancaires), etc. ou ouvrent des portes dérobées à d'autres maliciels qui pourraient leur permettre de faire de même. Les rançongiciels sont un type de logiciel qui crypte les fichiers afin que les victimes ne puissent pas les décrypter sans un ou plusieurs outils qui ne peuvent généralement être achetés qu'auprès de ses développeurs. En clair, les victimes de rançon perdent souvent non seulement des données mais aussi de l'argent. Les recherches montrent que l'exécutable du fichier "CoronaVirus_Safety_Measures.rar" qui est joint à l'un des courriels de cette campagne de spam est conçu pour diffuser l'Agent Tesla. Un outil d'accès à distance qui, s'il est installé, permet de prendre le contrôle de l'ordinateur infecté. L'une de ses principales caractéristiques est l'enregistrement des touches - il peut être utilisé pour enregistrer les frappes du système (enregistrer les touches pressées). Cette fonction peut être utilisée pour voler des comptes, des informations d'identification et toute une série d'autres détails et informations personnelles. Néanmoins, quels que soient les maliciels que les cybercriminels à l'origine de cette campagne de spam tentent de distribuer, il ne faut pas ouvrir les pièces jointes ou les liens de sites web qu'elle contient. En les ouvrant, les destinataires risqueraient de subir des pertes financières, des pertes de données, des problèmes liés à la vie privée, à la sécurité de la navigation, de se faire voler leur identité et d'autres problèmes graves.

Voici d'autres exemples de campagnes de spam que les cybercriminels utilisent dans le but de tromper les destinataires et de leur faire installer des maliciels : "Greta Thunberg Email Virus", "Christmas Party Email" et "UPS Email Virus". Dans la plupart des cas, ces campagnes de spam sont déguisées en lettres officielles importantes provenant d'entreprises légitimes. Dans tous les cas, les destinataires qui ouvrent des pièces jointes ou des fichiers téléchargés par le biais de liens de sites web inclus dans ces courriels infectent leur système avec des maliciels à haut risque que les cybercriminels diffusent dans le but de générer des revenus d'une façon ou d'une autre.

Comment le "Coronavirus Email Virus" a-t-il infecté mon ordinateur ?

Les recherches montrent que les cybercriminels diffusent des maliciels par le biais de cette campagne de spam, soit en incluant un lien vers un site web, soit en joignant un fichier malveillant à leur courrier électronique. Les formats de fichiers les plus couramment utilisés pour diffuser des maliciels par courrier électronique (pièces jointes et/ou liens de sites web) sont les suivants : Microsoft Office, document PDF, fichier exécutable comme .exe, fichier d'archive comme ZIP, RAR ou JavaScript. Généralement, ces fichiers infectent les systèmes lorsque les destinataires les exécutent (les ouvrent). Par exemple, si une pièce jointe (ou un fichier téléchargé via un lien) est un document MS Office et qu'elle est ouverte avec un document Microsoft Office 2010 ou ultérieur, elle demandera alors une autorisation pour activer les commandes de macros (édition). En obtenant une telle autorisation, le document malveillant est autorisé à installer un programme malveillant. Il convient de mentionner que les anciennes versions de MS Office (qui ont été développées avant l'année 2010) n'incluent pas le mode d'affichage protégé. Cela signifie qu'elles installent des maliciels sans demander aucune autorisation.

Comment éviter l'installation de maliciels ?

Aucun logiciel ne doit être téléchargé (ou installé) par l'intermédiaire de téléchargeurs (ou installateurs) tiers, de sites web non officiels, de réseaux Peer-to-Peer (par exemple, clients torrents, eMule), et d'autres outils et sources similaires. Il convient d'utiliser des sites web officiels et des liens directs. Les logiciels installés ne doivent pas être mis à jour via des outils tiers non officiels. La seule façon sûre d'y parvenir est d'utiliser des fonctions et/ou des outils mis en œuvre qui sont fournis par des développeurs officiels. Il en va de même pour l'activation de logiciels sous licence (payants). En outre, il n'est pas légal d'utiliser divers outils d'activation ("cracking") non officiels pour cela et ils provoquent souvent l'installation de maliciels. Les pièces jointes qui sont incluses dans des courriels non pertinents reçus d'adresses inconnues et suspectes ne doivent pas être ouvertes. Il convient de mentionner que les cybercriminels ont tendance à déguiser leurs courriels en courriels officiels, importants, légitimes, etc. Les pièces jointes et/ou les liens vers des sites web contenus dans des courriels ne doivent être ouverts que lorsqu'il n'y a aucune raison de croire qu'ils sont dangereux. Enfin, il est important d'analyser régulièrement le système d'exploitation avec un logiciel anti-espion ou une suite antivirus de bonne réputation et de supprimer les menaces détectées dès que possible. Si vous avez déjà ouvert la pièce jointe "Coronavirus Email Virus", nous vous recommandons d'exécuter un scan avec Combo Cleaner Antivirus pour Windows pour éliminer automatiquement les maliciels infiltrés.

Texte présenté dans une variante de la lettre électronique "Coronavirus Email Virus" :

Subject: Coronavirus (2019 -nCov) Safety Measures
Dear Sir/Madam,

Go through the attached document on safety measures regarding the spreading of corona virus.

This little measure can save you.

WHO is working closely with global experts, governments and partners to rapidly expand scientific knowledge on this new virus and to provide advice on measures to protect health and prevent the spread of this outbreak.

Symptoms to look out for; Common symptoms include fever, cough, shortness of breath, and breathing difficulties.

Regards

Dr Liang -

Intensive Care Physician

WHO Plague Prevention & Control

Capture d'écran d'une autre variante de la lettre électronique "Coronavirus Email Virus" :

Texte de ce courriel :

Subject: Re:SAFTY CORONA VIRUS AWARENESS WHO

Dear Sir,

Go through the attached document on safety measures regarding the spreading of corona virus.

Click on the button below to download

Symptoms common symptoms include fever, coughcshortness of breath and breathing difficulties.

Regards.

Dr. Stella

Specialist wuhan-virus-advisory

Capture d'écran d'un fichier malveillant qui est distribué par la campagne de spam "Coronavirus Email Virus" et est détecté comme une menace par un certain nombre de moteurs de détection de virus sur VirusTotal :

Une autre pièce jointe malveillante (un fichier VBS) distribuée par des campagnes de spam par courrier électronique liées à Coronavirus. Cette pièce jointe est conçue pour injecter Remcos RAT dans les systèmes :

Les escrocs ont récemment publié une autre variante de la campagne de spam liée au Coronavirus qui fait la promotion de Remcos RAT, Ave Maria trojan et LimeRAT :

Texte présenté dans ce courriel :

Dear Industry Partners,

Due to recent announcement by Chinese's Government on spread of Corona Virus, customers traveling to/from WUH / SHA / BJS / CAN can opt to change their flights as The outbreak of coronavirus update china today continue see the attachment and the countries that has been affected below:

Booking and Ticketing Guidelines:

Below options are available for tickets issued on/ before 24th February 2020 and travelling till 29th March 2020

Re booking:
General Waiver Policy must be used for tickets issued on/ before 24th February 20 travel is to/from to/from WUH / SHA / BJS / CAN.
Travel to/from WUH must be via EK online points (SHA / BJS / CAN)
Customers can opt to change their flights within 7 days than originally booked

Reroute:
Reroute is permitted as per General Waiver Policy
Offer reroute within 7 days than originally booked as per General Waiver guidelines.
EK will not provide onward transportation or booking beyond the preferred destination.

Refund:

1. Travelling to/ from WUH: Refund option is only applicable for customers travelling 1 month from date of incident (23 January 2020 - 23 February 2020) as per General Waiver guidelines. Outside this period refund charges will be applicable as per fare terms and conditions.
2. Travelling to / from SHA / BJS / CAN : Refund option is available for customers travelling from 24 February to March 29th 2020. Outside this period refund charges will be applicable as per fare terms and conditions.

a. Refund request must be made using the refund form online *******. Inform our customers to update comments "Refund request due to Corona virus" when initiating request. This will fall in central refunds queue for manual action and will avoid refund charges being applied to tickets.

Please contact our call center on ******* OR visit ******* for more details

Encore une autre variante de la campagne de spam liée au Coronavirus qui est utilisée pour propager le Virus FormBook :

Texte présenté dans ce courriel :

Subject: CORONA-VIRUS AFFECTED COMPANY STAFF

TO WHOM IT MAY CONCERN Find the attached file of victims and predicting victims of corona Virus as at 22/02/20. This list contains pictures,countries,names and companies affected. Dr Li Wei 26 Shengli St, Jiang'an District, Wuhan, Hubei, China +862782814009 Hubei hxxp://www.zxhospital.com/

Capture d'écran des détections de la pièce jointe malveillante ("LIST.ARJ") dans VirusTotal :

Encore un autre spam lié à Coronavirus (écrit en italien) qui distribue le cheval de Troie TrickBot :

Texte présenté dans ce courriel :

Subject: Coronavirus: Informazioni importanti su precauzioni

Gentile Signore/Signora,

A causa del fatto che nella Sua zona sono documentati casi di infezione dal coronavirus, l'Organizzazione Mondiale della Sanità ha preparato un documento che comprende tutte le precauzioni necessarie contro l'infezione dal coronavirus. Le consigliamo vivamente di leggere il documento allegato a questo messaggio!

Distinti saluti,
Dr. Penelope Marchetti (Organizzazione Mondiale della Sanità - Italia)

Encore une autre variante de spam liée au Coronavirus. Ce courrier électronique transmet un document MS Excel malveillant ("COVID-19 Recomendaton_Precations_Desinfection.xlam") qui injecte le logiciel Skidware RAT dans le système :

Texte présenté dans ce courriel :

Dear Lord/Lady,

Due to the fact that cases of coronavirus infection are documented in your area, The World Health Organiation has prepared a document that includes all necessary precations against coronavirus infection.

We strongly recommend that you read document attached to this message!

Sincerely.

Dr. Penelope Marchetti,
World Health Organization (W H O).

Fenêtre pop-up demandant d'activer les macro-commandes une fois que la pièce jointe malveillante est ouverte :

Encore un autre document Microsoft Excel malveillant ("36978_1582552996_NHQEncl1.xls1") distribué au moyen de campagnes de spam par courrier électronique liées au Coronavirus. Ce document malveillant injecte CrimsonRAT dans le système à l'aide de macro-commandes :

Textr présenté dans ce document :

HEALTH ADVISORY: CORONA VIRUS
1. Traineers & workes from foreign countries attend courses at various indian Establishment and trg Inst.
2. The outbreak of CORONA VIRUS is cause of concern especially where forign personal have recently arrived or will be arriving at various Intt in near future.
3. In order to prevent spread of CORONA VIRUS at Training establishments, preventive measure needs to be taken & advisories is reqt to be circulated to all Instt & Establishments.
4. In view of above,you are requested to issue necessery directions to all concerned Medical Establishments. Treat matter most Urgent.

Mise à jour 20 mars 2020 - Les cybercriminels ont récemment lancé une nouvelle campagne de spam par courriel pour distribuer RedLineStealer. Ils envoient des milliers de courriels trompeurs demandant de l'aide pour effectuer des recherches médicales relatives au Coronavirus. Ils demandent aux utilisateurs d'installer un certain logiciel qui utilisera soi-disant l'ordinateur du destinataire pour effectuer divers calculs et, ainsi, aider les chercheurs. L'application qu'ils encouragent les utilisateurs à installer s'appelle Folding@home. Gardez maintenant à l'esprit que cette application existe réellement et qu'elle est tout à fait légitime. Cependant, cette campagne de spam n'est qu'un déguisement - au lieu d'installer l'application Folding@home mentionnée ci-dessus, les escrocs injectent RedLineStealer dans le système. Vous pouvez trouver un peu plus de détails dans l'article de Lawrence Abram's publié dans Beepling Computer.

Apparence du spam utilisé pour distribuer RedLineStealer en le déguisant en application Folding@home :

Texte présenté dans ce courriel :

Subject: Please help us Fighting corona-virus

Greetings from Mobility Research Inc and Folding@Thome As we all know, recently corona-virus is becoming a major threat to the human society. We are a leading institution working on the cure to solve this world-wide crisis. However, we need your help. With your contribution, you can speed up our process of finding the cure. The process is very simple, you will need to install an app on your computer, which will allow us to use it to run simulations of the cure. The process is very simple, you will need to install an app on your computer, which allow us to use it to run simulations of the cure. This is totally controllable by you and you can be switched on/off when you are comfortable to. This will greatly help us and perhaps stop the corona-virus before it is too late.
Thank you, your Mobility Research Inc and Folding@Thome

If you would like to read more about our organisation, click here:

Folding@Thome

Comment supprimer manuellement un malware ?

La plupart des infections par trojan peuvent être supprimées en lançant une analyse complète du système avec Combo Cleaner. La procédure manuelle complète ci-dessous s'adresse aux cas où la suppression automatique a échoué, où vous souhaitez vérifier qu'une analyse n'a rien laissé passer, ou lorsque la menace dispose de plusieurs points de persistance.

Outils nécessaires

Combo Cleaner Antivirus Essai gratuit de 7 jours

Outil d'analyse principal recommandé. Certifié VB100. Un essai gratuit de 7 jours est disponible.

Microsoft Defender Offline Gratuit · intégré

Intégré à Windows. Démarre dans un environnement sain pour détecter les rootkits.

Process Explorer Gratuit

Issu de Microsoft Sysinternals. Plus complet que le Gestionnaire des tâches - affiche les chemins complets et les signatures.

Autoruns Gratuit

Issu de Microsoft Sysinternals. Répertorie tous les emplacements où un malware peut assurer sa persistance sur votre système.

Microsoft Safety Scanner (MSERT) Gratuit

L'outil d'analyse à la demande officiel de Microsoft. Signatures toujours à jour - expire tous les 10 jours.

Phase 1~ 5 min

Contenir - limiter les dégâts

---

1

Se déconnecter du réseau

30 sAucun outil requis

Débranchez votre câble Ethernet et désactivez le Wi-Fi. Sur un ordinateur portable, la touche du mode avion est la solution la plus rapide.

Pourquoi c'est important

De nombreux trojans exfiltrent des données - mots de passe enregistrés dans le navigateur, sessions bancaires, captures d'écran - et acceptent des commandes à distance. Couper le réseau stoppe immédiatement les deux. Restez déconnecté jusqu'à la phase 4.

2

Démarrer en mode sans échec avec prise en charge réseau

3 min

Le mode sans échec charge un ensemble minimal de pilotes et empêche la plupart des malwares de se lancer automatiquement. L'option « avec prise en charge réseau » vous permet de télécharger des outils - ne réactivez le Wi-Fi qu'une fois le démarrage terminé.

Windows 11

Ouvrez Paramètres → Système → Récupération. Cliquez sur Redémarrer maintenant à côté de Démarrage avancé.

Votre ordinateur redémarre sur le menu « Choisir une option ». Cliquez sur Dépannage → Options avancées → Paramètres de démarrage → Redémarrer. Après le second redémarrage, appuyez sur 5 ou F5.

Windows 10

Cliquez sur le logo Windows, maintenez la touche Maj enfoncée, cliquez sur l'icône Marche/Arrêt et choisissez Redémarrer. Sur l'écran « Choisir une option », cliquez sur Dépannage → Options avancées → Paramètres de démarrage → Redémarrer. Appuyez sur F5.

Windows 8

Accédez à l'écran d'accueil, tapez avancé, puis sélectionnez Paramètres → Options de démarrage avancées → Redémarrer maintenant → Dépannage → Options avancées → Paramètres de démarrage → Redémarrer → F5.

Remarque : Windows 8 n'est plus pris en charge depuis janvier 2023 - continuer à l'utiliser vous expose à un risque de réinfection bien plus élevé.

Windows 7

Cliquez sur Démarrer → Arrêter → Redémarrer → OK. Pendant le démarrage du système, appuyez plusieurs fois sur F8 jusqu'à ce que le menu Options de démarrage avancées de Windows s'affiche, puis choisissez Mode sans échec avec prise en charge réseau.

Remarque : Windows 7 n'est plus pris en charge depuis janvier 2020 - continuer à l'utiliser vous expose à un risque de réinfection bien plus élevé.

Phase 2~ 15 min

Identifier - trouver ce qui se cache

---

3

Inspecter les processus en cours avec Process Explorer

Outil : Process Explorer5 min

Téléchargez Process Explorer depuis Microsoft Sysinternals. Exécutez-le en tant qu'administrateur. Cliquez sur Options → Verify Image Signatures et sur View → Lower Pane View → DLLs.

Triez par « Verified Signer ». Tout processus non signé exécuté depuis %AppData%, %LocalAppData%, %Temp% ou %ProgramData% est suspect. Faites un clic droit → Properties pour afficher le chemin complet de l'image. Faites un clic droit → « Search Online » pour rechercher les noms de processus inconnus.

Pourquoi pas simplement le Gestionnaire des tâches

Le Gestionnaire des tâches masque les chemins complets des fichiers, n'affiche pas les signatures numériques et regroupe les processus d'une manière qui permet facilement à un malware de passer inaperçu. Process Explorer est l'outil qu'utilisent les ingénieurs de Microsoft eux-mêmes.

4

Cartographier tous les points de persistance avec Autoruns

Outil : Autoruns 14.x10 min

Téléchargez Autoruns. Faites un clic droit sur Autoruns.exe et choisissez Exécuter en tant qu'administrateur - sans élévation des privilèges, Autoruns ne peut pas inspecter les ruches de registre protégées.

Dans le menu, activez Options → Hide Microsoft Entries et Options → Hide Empty Locations, puis cliquez sur Refresh.

Les trojans modernes ne se limitent pas au démarrage. Parcourez les onglets suivants et recherchez les entrées non signées ou inconnues :

• Logon - les clés Run/RunOnce classiques
• Scheduled Tasks - une cachette fréquente, notamment les tâches qui exécutent PowerShell, MSHTA ou rundll32
• Services - les services non signés situés dans des dossiers autres que ceux de Microsoft
• WMI - les abonnements aux événements constituent un mécanisme de persistance discret (MITRE T1546.003)
• Image Hijacks - détournement de la valeur « Debugger » des options d'exécution des fichiers image (Image File Execution Options)
• AppInit - DLL chargées dans chaque processus doté d'une interface graphique
• Browser plug-ins - modules complémentaires non signés dans tous les navigateurs installés

Conseil de pro

Faites un clic droit sur une entrée suspecte → « Jump to Image » pour afficher le fichier réel. Un clic droit → « Search Online » ouvre VirusTotal pour le hachage du fichier. Ne supprimez rien pour l'instant - notez simplement les chemins des fichiers et les noms des entrées. Nous les supprimerons après les analyses.

5

Vérifier le fichier hosts et les paramètres DNS

3 minIntégré à Windows

Les trojans redirigent souvent les domaines de banques, d'antivirus et de mises à jour vers des serveurs contrôlés par l'attaquant, en modifiant le fichier hosts ou les paramètres DNS.

Fichier hosts : Ouvrez le Bloc-notes en tant qu'administrateur, puis ouvrez C:\Windows\System32\drivers\etc\hosts. Les entrées légitimes sont commentées avec #. Toute correspondance IP-domaine non commentée est suspecte - en particulier les redirections pour microsoft.com, windowsupdate ou votre banque.

Paramètres DNS : Ouvrez l'Invite de commandes en tant qu'administrateur et exécutez ipconfig /all. Vérifiez que vos serveurs DNS pointent vers votre FAI, votre routeur ou un résolveur public connu (Cloudflare 1.1.1.1, Google 8.8.8.8). Ouvrez ensuite Paramètres → Réseau et Internet → [votre carte réseau] → Attribution du serveur DNS et vérifiez que ni les paramètres DNS ni les paramètres DNS sur HTTPS (DoH) n'ont été détournés.

Pourquoi c'est important

Un PC nettoyé dont le DNS est détourné reste un PC compromis. Vous croirez être sur chase.com alors que vous serez sur le clone de l'attaquant.

Phase 3~ 60-90 min

Supprimer - trois analyses, un nettoyage

---

Aucun antivirus ne détecte tout à lui seul. L'ordre ci-dessous est volontaire : l'analyse hors ligne d'abord (elle détecte les rootkits avant le chargement complet de Windows), puis les outils d'analyse à la demande sur le système en cours d'exécution, et enfin le nettoyage manuel de tout ce qui leur a échappé.

6

Exécuter Microsoft Defender Offline

Outil : intégré à Windows15 min

Redémarrez Windows en mode normal. Ouvrez Sécurité Windows → Protection contre les virus et menaces → Options d'analyse. Sélectionnez Antivirus Microsoft Defender (analyse hors ligne) et cliquez sur Analyser maintenant. Votre ordinateur redémarre dans un environnement allégé et effectue l'analyse avant le chargement complet du système d'exploitation.

Pourquoi commencer par là

Les rootkits et les bootkits se cachent de tout outil d'analyse exécuté dans la session Windows déjà infectée. Une analyse hors ligne avant le démarrage examine le disque avant que le malware ne puisse se dissimuler.

Antivirus recommandé

Combo Cleaner

Certifié VB100. Combine en une seule passe la protection anti-trojan, l'analyse du registre et des mécanismes de persistance, ainsi que la protection anti-spyware. Un essai gratuit de 7 jours est disponible.

Télécharger Combo Cleaner

7

Lancer une analyse complète du système avec Combo Cleaner

Outil : Combo Cleaner20-40 min

Installez Combo Cleaner et lancez une analyse complète du système (et non l'analyse rapide). Laissez-la se terminer complètement, examinez les menaces détectées et appliquez les actions recommandées. Combo Cleaner met en quarantaine les trojans connus et supprime leurs mécanismes de persistance dans le registre.

8

Exécuter Microsoft Safety Scanner pour obtenir un second avis

Outil : Microsoft Safety Scanner15 min

Téléchargez Microsoft Safety Scanner (MSERT.exe), l'outil à la demande gratuit de Microsoft. Le binaire expire tous les 10 jours : chaque téléchargement contient donc les signatures les plus récentes. Lancez une analyse complète après Combo Cleaner pour détecter tout ce qu'un seul moteur pourrait manquer.

Pourquoi une deuxième analyse

Des moteurs d'analyse différents détectent des menaces différentes. Exécuter une analyse Microsoft supplémentaire après Combo Cleaner est, de loin, l'étape de vérification la plus sous-utilisée dans la suppression des malwares.

9

Supprimer manuellement tout ce qui figure encore dans Autoruns

Outil : Autoruns10 min

Rouvrez Autoruns. Tout élément repéré à l'étape 4 et toujours présent n'a pas été détecté par les analyses automatiques. Pour chaque entrée suspecte restante : clic droit → Delete dans Autoruns (cela supprime l'enregistrement de persistance), puis accédez au chemin du fichier et supprimez le fichier lui-même. Videz la Corbeille.

Important

Certains fichiers malveillants réapparaissent après leur suppression, car un autre élément du système les recrée. Si vous supprimez un fichier et qu'il revient en quelques minutes, il reste un point de persistance qu'Autoruns n'a pas affiché - généralement un service ou une tâche planifiée qui s'exécute sous le compte SYSTEM. Relancez les analyses des étapes 6 à 8 ou passez à une installation propre (voir la fin du guide).

Phase 4~ 15 min

Récupérer - restaurer les navigateurs et la sécurité

---

10

Réinitialiser les navigateurs et supprimer les autorisations de notification

5 min

Les trojans et les adwares détournent fréquemment les navigateurs : ils modifient le moteur de recherche par défaut, installent des extensions malveillantes ou s'accordent des autorisations de notification pour continuer à afficher des pop-ups frauduleuses, même après la disparition du malware.

• Chrome : accédez à chrome://settings/reset et cliquez sur « Restaurer les paramètres par défaut ». Accédez ensuite à chrome://settings/content/notifications et supprimez tous les sites inconnus.
• Edge : accédez à edge://settings/reset. Vérifiez ensuite edge://settings/content/notifications.
• Firefox : ouvrez about:support et cliquez sur Réparer Firefox (Firefox parle de « Réparer » et non de « Réinitialiser »). Vérifiez ensuite Paramètres → Vie privée et sécurité → Permissions → Notifications.

Passez en revue les extensions installées dans chaque navigateur et supprimez tout ce que vous ne reconnaissez pas, en particulier les extensions que vous n'avez pas installées vous-même.

11

Réactiver Defender et la protection contre les falsifications, puis tout mettre à jour

10 min

De nombreux trojans désactivent les logiciels de sécurité. Ouvrez Sécurité Windows → Protection contre les virus et menaces → Gérer les paramètres et vérifiez que la Protection en temps réel, la Protection fournie par le cloud et la Protection contre les falsifications sont toutes activées. La protection contre les falsifications empêche les malwares de désactiver Defender à votre insu.

Lancez ensuite Windows Update (Paramètres → Windows Update → Rechercher des mises à jour) et mettez à jour vos navigateurs et vos applications. Le vecteur d'infection qui a permis au trojan de s'introduire implique généralement des logiciels obsolètes.

Phase 5~ 15 min + 7 jours

Vérifier et sécuriser

---

12

Changer vos mots de passe depuis un appareil sain

20 min⚠ Critique

Si le trojan était un info-stealer (Lumma, RedLine, Vidar et d'autres similaires sont extrêmement répandus), partez du principe que tous les mots de passe enregistrés dans votre navigateur sont compromis. Changez-les depuis un autre appareil dont vous êtes sûr qu'il est sain - votre téléphone convient s'il n'est pas infecté.

Ordre recommandé :

1. Adresse e-mail principale en premier - c'est le point central de récupération de tous vos autres comptes
2. Comptes bancaires et financiers
3. Mot de passe principal du gestionnaire de mots de passe (si vous en utilisez un)
4. Réseaux sociaux, sites marchands et autres comptes

Lorsque c'est possible, activez une authentification multifacteur résistante au phishing (clés d'accès / clés matérielles FIDO2 / applications d'authentification) - la MFA par SMS peut être contournée par des attaquants expérimentés.

13

Vérifier le nettoyage et surveiller pendant 7 jours

5 min + 1 semaine de surveillance

Reconnectez-vous au réseau et lancez une dernière analyse complète avec Combo Cleaner. Ouvrez le Gestionnaire des tâches (Ctrl + Maj + Échap) et passez à l'onglet Applications de démarrage - vérifiez que rien de suspect n'est réapparu.

Au cours des 7 jours suivants, surveillez la réapparition des symptômes : utilisation anormalement élevée du processeur, retour de processus inconnus, redirections du navigateur ou pop-ups. Si quelque chose revient, c'est qu'un point de persistance vous a échappé et que la procédure doit être répétée - ou que la compromission est plus profonde et nécessite une installation propre.

Quand privilégier une installation propre de Windows

La suppression manuelle n'est pas toujours la bonne solution. Réinstaller Windows de zéro est le seul moyen d'être certain à 100 % lorsque :

• Le malware réapparaît après chaque tentative de suppression
• Un bootkit ou un rootkit UEFI a été détecté (cette catégorie de menace se situe sous le système d'exploitation et survit à une réinstallation normale de Windows)
• Un trojan de vol d'identifiants s'est avéré s'exécuter avec des privilèges d'administrateur (Lumma, RedLine, Vidar) - le système contient probablement plusieurs charges utiles inconnues
• Le PC sert aux opérations bancaires en ligne, à la messagerie professionnelle ou à toute activité où le moindre doute n'est pas acceptable

Une installation propre prend 30 à 60 minutes : réinstallez Windows 11 via Paramètres → Système → Récupération → Réinitialiser ce PC → Supprimer tout → Téléchargement dans le cloud. Sauvegardez d'abord vos documents sur un support de stockage externe, analysez la sauvegarde avec Combo Cleaner avant de la restaurer, et réinstallez les applications à partir de zéro - ne les restaurez jamais depuis une sauvegarde du système infecté.

Important : La suppression manuelle exige des compétences informatiques avancées. Si vous ne savez pas distinguer avec certitude les fichiers système des fichiers malveillants, lancez une analyse automatique avec Combo Cleaner et Windows Defender et arrêtez-vous là - cette méthode élimine la grande majorité des trojans grand public sans risquer d'endommager Windows en supprimant le mauvais fichier.