Comment supprimer un service Windows liés à un virus

Les points de chargements permettent aux logiciels malveillants de se lancer au démarrage de Windows.
Parmi les points de chargement, on trouve les services Windows.
Ces derniers se déclenchent avant la page de choix de l’utilisateur.
Ceci permet donc à un malware de se rendre actif avant le chargement du bureau.

Voici comment supprimer un services Windows liés à un virus.

Comment supprimer un services Windows liés à un virus

Le fonctionnement des services Windows

Avant de commencer, il faut comprendre comment fonctionne les services Windows.
Voici un récapitulatif rapide des services de Windows, la page suivante : Processus et Services Windows

Un service Windows est chargé très tôt au démarrage de Windows et permet de démarrer une application (fichier .exe ou .dll) ou charge un pilote système (fichier .sys).
Un service Windows se compose :

  • d’une clé dans le registre qui contient les informations du service : HKEY_LOCAL_MACHINE\SYSTEM\Services\XXXXX où XXXX est le nom du service Windows.
  • d’une clé ImagePatch qui charge un exécutable
  • d’un état de démarrage par clé Start qui comprend un numéro de 0 à 3.
    • 0 = Boot
    • 1 = System
    • 2 = Démarrage automatique
    • 3 = Manuelle
    • 4 = Désactivé

La console de gestion des services, accessible par services.msc ou depuis le gestionnaire de tâches de Windows, onglet Services.
La console liste les services Windows et leur état (démarré, désactivé, etc).

Le fonctionnement des services Windows

Ci-dessous, le service Wsearch relatif à l’indexation de fichiers sur Windows qui lance le processus SearchIndexer.exe
La clé du service avec la configuration est donc stockée dans HKEY_LOCAL_MACHINE\SYSTEM\Services\WSearch

Le fonctionnement des services Windows

Enfin, il reste le cas des services Windows géré par svchost.exe, qui fonctionnent en groupe de services, ces derniers seront abordés à la fin de cette page.

Détection des services Windows malveillants

Les applications démarrées en service Windows sont visibles depuis le gestionnaire de tâches de Windows.
Néanmoins, personnellement, je trouve l’affichage assez fouillis.
Il est beaucoup plus facile de traquer les services Windows avec Process Explorer, surtout quand on commence à connaître ceux par défaut dans Windows.
Cela permet de trouver facilement un service malveillant.

FRST peut aussi pas mal aider, vous pouvez lire la page suivante pour une désinfection manuelle : Désinfection manuelle de Windows (Trojan, Adwares etc) par FRST

Par exemple, ci-dessous, nous avons 4 services malveillants.

  • Le premier se fait passer pour Yahoo avec un nom bidon saiyitechnology
  • Le second tente de se faire passer pour un service Windows avec un nom du type WinService qui n’existe pas par défaut. On constate qu’il pointe dans un dossier %APPDATA%, ce qui est totalement anormal pour un service système.
  • Les deux derniers ont des noms aléatoires, ce qui éveille les soupçons.

Détection des services Windows malveillants

Dans le cas d’un doute sur un fichier, on peut le soumettre à VirusTotal.
De manière générale, vous pouvez lire l’article suivant qui explique comment vérifier manuellement si l’ordinateur est infecté : Comment vérifier si ordinateur a été hacké ou piraté ?

Supprimer un service Windows malveillant

En général, il suffit de suffit de supprimer la clé du registre relatif au services puis de redémarrer Windows afin que ce dernier ne soit plus charger.
Le problème est que certains malwares protègent la clé de la suppression, soit via des permissions sur celle-ci, soit à travers des hook sur les fonctions de suppression.
Notamment des exemples de suppression difficile sur ces deux pages : Pilotes « bsdriver.sys » & « cherimoya.sys » : abengine et  Supprimer les rootkits sur Windows

Pour supprimer un service Windows malveillant, il suffit donc d’ouvrir l’éditeur du registre Windows regedit.exe
On déroule alors la clé HKEY_LOCAL_MACHINE\SYSTEM\Services pour trouver ensuite le service qui nous intéresse.

Comment supprimer un service Windows malveillant

Ci-dessous, les deux services avec les noms aléatoires.
En supprimant la clé puis en redémarrant Windows, le malware ne sera plus actif.

Comment supprimer un service Windows malveillant

Comment supprimer un service Windows malveillant

Les virus via un service svchost.exe

Les services de type svchost.exe sont un peu différent dans le fonctionnement.
La clé ImagePatch du service pointe vers le processus système svchost.exe avec un paramètre -k qui correspond au groupe de service.
Ci-dessous, il s’agit du groupe de service WinDefend

Les virus via un service svchost.exe

Une sous clé Parametres contient une valeur ServiceDLL qui contient le chemin du programme, ici donc, XService.DLL

Les virus via un service svchost.exe

On retrouve le service dans la console de gestion des services Windows.

Les virus via un service svchost.exe

La difficulté ici est la détection de ces services, car des services svchost.exe, il y en a beaucoup… et surtout, le gestionnaire de tâches ne donne pas le chemin de la DLL lié à ce groupe de service.
Ainsi dans le gestionnaire de tâches, onglet Service, une colonne groupe existe et sur Process Explorer, les svchost.exe sont listés.
En laissant la souris dessus, on a le groupe à travers le paramètre -kLes virus via un service svchost.exe

L’onglet Processus du gestionnaire de tâches de Windows 10 donne les groupes de services.
Mais à aucun moment, vous n’avez le XService.DLL qui est donné.
De ce fait, ces malwares sont plus insidieux, il faut connaître les groupes de services pour trouver un malveillant.
FRST peut dans ces cas là être vraiment utile.

Les virus via un service svchost.exe

Vous trouverez un exemple d’un malware via un groupe de service svchost.exe sur la page : svchost.exe forte utilisation CPU et Trojan

Liens autour des malwares et services Windows

Quelques liens autour des services et processus Windows :

et autour des désinfection et détection de malwares :

(Visité 267 fois, 1 visites ce jour)

Vous pouvez aussi lire...

Les Tags : #Windows10 - #Windows - #Tutoriel - #Virus - #Antivirus - #navigateurs WEB - #Securité - #Réseau - #Internet