intrusion sur pc

bonjour,

En surfant sur le net aujourd'hui je suis tombé par hasard sur un lien où j'ai vu apparaitre mon pseudo, jai decidé de cliquer dessus et à ma grande surprise je vois affiché dans ce lien des données m'appartenant que j'avais noté dans un document texte sur le pc.

donc sur le coup, j'avoue que j'ai vraiment flippé parce des données entieres etaient affichées sur le lien en question et étaient à la disposition de n'importe quelle personne cliquant sur le lien.

Heureusement que ce n'etaient pas des données importantes mais quand meme elles contenaient quelques clés officielles de win7, win8 et quelques autres informations.

donc il y a eu intrusion sur mon pc par quelqu'un sur le net, qqn s'est introduit à mon insu sur mon pc et a volé ce document texte qu'il a par la suite publié sur le net.

cela ne m'est jamais arrivé jusqu'a aujourd'hui et j'etais vraiment sur le cul quand je l'ai constaté.

donc comment cela a-t-il pu m'arriver, je pense que j'ai du chopper un trojan ou une salopperie sur le net ce qui a permis à la personne d'avoir acces à mon pc.

je serais assez surpris si c'etait le cas parce que je suis quelqu'un qui fait très attention quand il surfe sur internet et je ne pas sur n'importe quel lien qui m'est proposé sur le net, je suis protégé par un antivirus Eset Nod32 et par le parefeu integré à windows 7.

donc je ne sais pas comment cela a pu arriver, alors sur le coup j'ai décidé de faire un scan antivirus et il m'a trouvé 2 chevaux de troie qu'il a supprimés :

C:\Users\Mehdi\AppData\Local\Mozilla\Firefox\Profiles\bgdv6br6.default-1453987614821\cache2\entries\54867D7B2841967586CAE22E70A5D18E6830A495 - HTML/ScrInject.B cheval de troie - supprimé

C:\Users\Mehdi\AppData\Local\Mozilla\Firefox\Profiles\bgdv6br6.default-1453987614821\cache2\entries\0E24ADFAC9A78317A735698EA9A3E98C58775D66 = GZIP = 0E24ADFAC9A78317A735698EA9A3E98C58775D66 - HTML/Refresh.BC cheval de troie - supprimé

et puis j'ai fait aussi un scan avec ZHPdiag et le rapport est clean apparemment.

si vous voulez y jeter un oeil, le voici :  http://www.cjoint.com/c/FBtsxGhPLfq

donc qu'est ce que vous en pensez ? est ce que les 2 chevaux de troie trouvés ont pu etre à l'origine de l'intrusion de la personne à mon insu sur mon pc ?

et est ce que maintenant qu'ils ont été supprimés, on peut estimer que mon pc ne peut plus faire l'objet d'intrusions par une tierce personne ?

et surtout comment etre sur que plus personne ne pourra s'introduire à mon insu sur mon pc ?

hello, tu peux me faire la liste de tes extensions sur firefox?
Apparemment l'infection était dans le cache de FF donc c'est suite à un site visité. Soit le site lui même a été infecté, soit c'est une pub. Dans le cas de ScrInject.B, ca semble venir du site qui contient le code malicieux dans son code source.

Tu peux envoyer les fichiers sur http://morbak-home.ddns.net/suspects/ ? Attention, le serveur n'accepte que les zip, du coup il faut séléctionner les fichiers, clic droit/envoyer vers/dossier compressé et envoyer le zip.

En attendant j'examine le rapport

https://2img.net/r/hpimg4/pics/488692Capture01.jpg

quels fichiers il faut que j'envoie au juste ?

les deux qui sont dans la quarantaine de ton antivirus (si tu n'as pas accès via le programme, en général les quarantaines se trouvent dans le dossier programdata/nom-de-l'antivirus

L'extensioin flashplayer for youtube c'est toi qui l'as installé? tu l'as eu où?

oui l'extension pour youtube c'est moi qui l'ai telechargée.

je ne trouve pas les fichiers à l'emplacement indiqué et pourtant j'ai trouvé le chemin de ces fichiers mais ils n'y sont pas.

sur eset, je peux les voir, je pense que je dois les restaurer pour qu'ils puissent apparaitre dans le dossier en question mais je ne veux pas prendre ce risque.

si tu as cherché dans le dossier de mozilla oui c'est normal qu'ils n'y soient plus, Eset les a déplacé dans son dossier de quarantaine qui visiblement se trouve dans ta session dans un dossier du genre c:\users\ta-session\Application Data\Local\ESET\....\Quarantine\ ou c:\ProgramData\Eset\...\Quarantine\

Ils sont renommé normalement donc inoffensif, ils ne seront dangereux que si tu utilise la fonction restaurer dans l'interface de l'antivirus. Tu peux zipper directement le dossier Quarantine si tu veux être sur de ne pas prendre de risques

Pour être sûr que tout va bien, même si selon zhpdiag ca semble être le cas, je te conseille quand même un scan complet avec malwarebytes : https://morbak-home.forumgratuit.org/t998-programmes-de-desinfection-les-modes-d-emplois#14657

oh pu****, je crois savoir à quel moment j'ai pu être infecté par cette salopperie, si mes souvenirs sont bons en octobre dernier je suis tombé sur un lien qui donnait acces à des clés piratées de windows et office et en cliquant dessus, l'antivirus m'a immédiatement signalé que c'etait un site suspect et dangereux et moi comme un con croyant que c'etait un faux positif et voulant à tout pric mettre la main sur des clés windows, j'ai désativé l'antivirus et j'ai quand meme cliqué sur le lien et donc je crois que c'est à ce moment la que j'ai pu être infecté et que mon pc a pu faire l'objet d'intrusions de l'exterieur.

je suspecte le *censuré* qui s'est introduit sur mon pc à mon insu de l'avoir fait en novembre parce que le dossier texte qui contient les données trouvé sur le net n'etait pas complet et entre temps j'ai rajouté d'autrs informations dedans mais les données que j'ai trouvées sur le net ont été écrites et notées sur mon pc en novembre donc j'en ai conclu que c'est en novembre qu'on s'est s'introduit sur mon pc puisque depuis octobre et jusqu'a aujourd'hui mon pc etait susceptible d'etre piraté.

donc j'ose esperer que ce sont ces 2 trojans trouvés et supprimés par Eset qui étaient à l'origine de cette intrusion et que maintenant je peux etre tranquille à ce niveau la.

sinon oui j'ai cherché ces fichiers dans les dossiers de mozilla en premier mais je viens de chercher dans le dossier de Eset avec le chemein que tu m'as indiqué mais je ne les ai pas trouvés non plus.

laisse tomber pour l'envoi, de toute facon je pense aussi qu'ils sont responsables.

par contre fait un scan avec malwarebytes (scan complet, pas "menaces") pour être sûr qu'il ne reste rien. En général il met même dans ses résultats les rapports des keylogger et du coup on peut parfois retrouver une partie des infos qui ont été volées (puisque les rapports sont de simples fichiers txt, log etc...)

Par contre le contenu de ce genre de rapport contient rarement la totalité des infos volées malheureusement puisque les malwares suppriment en général les rapports après les avoir envoyé sur le serveur du pirate.

Tu as un exemple de ce qu'on peut voir dans les rapports, dans le sujet sur expiro/virut si ma mémoire est bonne, momo avait fait un essai pour montrer le style de rapport que ca donne : https://morbak-home.forumgratuit.org/t976-virut-sality-expiro-c-est-que-du-bonheur#14032

j'ai deja lancé un scan avec mbam, il m'a proposé analyse rapide ou analyse personnalisée.
j'ai choisi personnalisé en cochant le lecteur c: et en cochant :

rechercher les rootkits
analyser la memoire
analyser les fichiers de demarrage
analyser le registre
analyser le systeme de fichiers
analyse heuristisque

c'est cela qu'il fallait faire ?
j'ai lancé le scan il y a 6 minutes et il m'a deja trouvé un objet suspect.

oui c'est exactement ca.
L'avantage de malwarebytes c'est que contrairement à zhpdiag, FRST, OTL et compagnie, lui scanne l'intégralité du disque et du coup il peut sortir des infections qui sont présentes sans être actives alors que sur les rapports de diagnostique on ne les voit pas.

Penses aussi à désactiver java sur ton navigateur autant que possible, c'est par là que tu as été infecté : https://www.java.com/fr/download/help/disable_browser.xml
Dans 90% des cas il n'est pas utile sur le navigateur, tout comme flash player, encore que flash player soit bien plus souvent utilisé que java.

ok j'ai désactivé java mais il y a certains sites que tu ne peux pas consulter sans que le java ne soit activé.

tu penses que le scan va durer combien de temps à peu pres ?

sinon cela fait mnt 18 minutes que le scan est en cours et deja 11 objets suspects trouvés.

La durée du scan dépend du nombre de fichiers a scanner mais ca devrait durer entre 30 minutes et 1h minimum.

Pour java, le désactiver permet d'eviter les infections sur les sites malicieux/infectés, pour les sites qui en ont besoin, il est normalement toujours possible d'activer java pour ces sites (je n'ai pas java donc je ne peux pas être sûr du fonctionnement des dernières versions)

scan enfin terminé , il a duré 1 heure 31 minutes.

voici ce qu'il a trouvé : https://2img.net/r/hpimg4/pics/604043Capture02.jpg

ok en dehors des choses qu'on ne cautionne pas (^^), il n'a trouvé que des PUP donc rien de grave. Tu peux tout mettre en quarantaine (ou conserver ce que tu veux), mais rien ne concerne les infections préalablement mises en quarantaines par Eset, et pas de trace de keylogger c'est une bonne chose.

Ce qui l'est moins c'est que tu as trouvé des traces sur le net d'infos volées et que ton pc ne semble pas en contenir, du coup impossible de savoir ce qui a été volé d'autre. Par précaution, je te suggère de changer tes mots de passes web, identifiants bancaires etc saisis ou enregistrés sur ce pc.

En dehors de ca, tout va bien? pas de soucis particulier, de signe de dysfonctionnement?

c'est bon j'ai tout viré.

mais ce que j'aimerais savoir c'est si les 2 chevaux de troie trouvés par eset sont responsables de l'intrusion sur mon pc par une tierce personne.

parce que j'aimerais etre sur que plus personne ne pourra desormais s'introduire de nouveau à mon insu sur le pc.

A moins que tu ai fait d'autres nettoyages entre le moment où les données ont été volées et la suppression par Eset, je pense qu'on peut dire que oui c'est ces malwares qui sont responsables. En tout cas c'est dans leurs cordes.

Pour que tu ne soit plus infecté par ce genre de malware il est essentiel de sécuriser tes navigateurs en desactivant java, flash, javascript etc autant que possible (avec no script ou ghostery par exemple tout en sachant que ces programmes ne sont pas parfaits et qu'ils peuvent très bien laisser passer des choses. Donc ton meilleur allié reste ta vigilance.

D'ailleurs Eset, Avast et d'autres antivirus bloquent ce genre d'infections d'après ce que j'ai pu voir sur le net, donc comme tu l'as dit, il est très probable que ce soit au moment où tu as désactivé l'antivirus que les malwares soient passés.

Evidemment, les faux positifs ca existe et c'est parfois ennuyeux mais quand tu pensera à un faux positif à l'avenir, fais une recherche avec le nom de l'infection pour voir ce dont elle est capable, ca pourrait t'eviter des ennuis plus graves.

Tu as des liens dans la signature de casper qui donne déja une explication sur les noms des malwares les plus répandus : http://forum.malekal.com/index-des-menaces-programmes-malveillants-malwares-t17042.html et http://www.tomsguide.fr/article/comparatif-meilleures-suites-securite-antivirus,2-1554-3.html
Et tu peux trouver d'autres détails sur quelques infections sur le site de nicolas coolman par exemple : http://www.nicolascoolman.com/blog/

ok je vois.

et concernant le lien sur le net qui contient le document texte qui contient les données volées de mon pc, il traine toujours sur le net, le document a été hebergé sur cjoint puis publié sur le net, je l'ai signalé via cjoint en donnant le lien exact et en disant que c'etait un document piraté d'un pc contenant ds infos importantes et qu'il fallait le supprimer de toute urgence mais ils ne l'ont toujours pas supprimé et il est tjrs dispo sur le net à la portée de n'importe quel malade.

c'est vraiment incroyable que cela me soit arrivé mais bon je me dis aussi que les données n'etaient pas si importantes que cela et que cela aurait pu etre pire mais de savoir que quelqu'un ait pu s'introduire sur mon pc à mon insu me rend malade.

Ca peut arriver à tout le monde, même à nous. L'important c'est de ne pas tomber dans les extrêmes, pas de psychose en pensant être infecté tous les jours, mais pas non plus de relâchement en se disant : c'est une fois, maintenant il y a un chance sur un million que ca se reproduise.

Pour la suppression, si le site ou est posté le lien n'est pas bourré de trucs illégaux, tu peux contacter l'admin qui supprimera du coup le lien. Par contre si le site n'est pas recommandable il vaut mieux voir directement avec l'hébergeur en espérant que ce ne soit pas l'admin lui même.

La plupart du temps ce sont des blogs et forum hébergés chez google ou des compagnies spécialisées qui peuvent du coup faire fermer le site. Par contre si le site est hébergé chez l'admin, il y a des chances que du coup il autorise tout ca et qu'il ne supprime rien si tu lui demande. Du coup il faut voir plus haut et contacter la gendarmerie/police pour demander la suppression.

je ne me vois pas appeler la gendarmerie pour cela surtout que la ou je vis ils ne bougeront pas le petit doigt pour un probleme de ce type, ils n'en auront rien à faire.

pour ce qui est du lien , il a été publié sur un site d'hebergeur cjoint.com mais je ne sais pas si le lien a été publié sur un autre site, sur google, tu ne vois que le lien cjoint qui est visible donc du coup je l'ai signalé direct sur l'hebergeur cjoint en cliquant sur "signaler le contenu du document", mais il est toujours dispo sur le net donc je ne sais pas s'il vont finir par le supprimer.

tu peux contacter les moteurs de recherche aussi pour demander la suppression du lien dans les résultats de recherche : https://www.cnil.fr/fr/effacer-des-informations-me-concernant-sur-un-moteur-de-recherche

Re

alors apres ce qui s'est passé sur mon pc, j'ai voulu en savoir plus sur l'origine de ces chevaux de troie et le moment où j'ai pu les attraper et je me suis rendu compte que j'avais deja procédé à un scan antivirus par Eset le 8 decembre et il m'avait deja trouvé d'autres chevaux de troie, ce qui veut dire que l'infection a peut-être du été supprimée le 8 decembre donc les 2 chevaux de troie qui ont été trouvés hier par Eset puis supprimés ne sont pas à l'origine de l'intrusion que j'ai subie sur mon pc.

voici ce qu'il avait trouvé puis supprimé le 8 décembre : https://2img.net/r/hpimg11/pics/303798Capture03.jpg

je suis pratiquement certain que j'ai subi cette intrusion depuis l'exterieur entre le 17 et le 20 novembre. Donc logiquement le scan effectué le 8 decembre a permis la suppression de ces chevaux de troie.

est ce que tu peux jeter un oeil aux chevaux de troie affichés dans le lien que j'ai posté et me dire si un de ceux qui est listé te parait familier ?  et me dire si l'un de ceux listés a pu permettre l'intrusion d'une tierce personne de l'exterieur ?

Salut,

MSIL injector : https://www.microsoft.com/security/portal/threat/encyclopedia/Entry.aspx?Name=VirTool:MSIL/Injector.gen!A
Un malware capable d'injecter un code dans un processus ce qui lui permet de se dissimuler derrière un processus légitime et le rend plus difficile à détecter/supprimer. Dans le cas de cracks, ca peut être normal vu qu'ils modifient les exécutables de programmes piratés, mais ca peut aussi avoir de graves conséquences surtout s'il s'agit de cracker un antivirus. Le code injecté peut très bien transformer un antivirus performant en véritable passoire.

kryptik.COV : Win32/Kryptik.COV is a Trojan horse that poses as something other than what it is and invades users' computers and steals their confidential information.
Se fait passer pour autre chose afin de tromper les utilisateurs et en profite pour voler les infos personnelles


Agent.PUF, sur virustotal il donne ca : https://www.virustotal.com/fr/file/1f1c8c1458eaee47a448513db52ddb536406146d48793c3c24f41eb72b13cec9/analysis/
PSW signifie Password, donc si elle est correctement detectée, ca veut dire que cette infection vole les mots de passe de l'utilisateur.

merci morbak pour ces informations.

donc tu penses que ce sont ces infections qui ont permis l'intrusion sur mon pc de l'exterieur ? à te lire et d'apres les descriptions que tu donnes sur ces infections on comprend que oui.

si on en crois les détections oui ils sont probablement responsables du vol

A noter que les détections ont été faites sur les fichiers téléchargés, pas à l'intérieur du système, ca veut dire que si tu ne les as pas exécuté, et que l'antivirus les a mis en quarantaine avant, il n'y a pas de danger. Par contre si tu les as utilisé là on peut dire que oui ils sont très probablement responsables.

Et pour les infections données au début du sujet on peut voir ca sur le site de Eset :
HTML/Refresh is a trojan that redirects the browser to a specific URL location with malicious software. The program code of the malware is usually embedded in HTML pages.(redirige les pages web vers des adresses url malicieuses)

HTML/ScrInject.B is a JavaScript Trojan that is also detected as Trojan.JS.QHA, Trojan-Downloader.JS.Agent.gfj or Trojan:JS/BlacoleRef.A. The main purpose of HTML/ScrInject.B is to modify webpages by inserting malicious iFrames into their HTML pages. The HTML iFrame element allows to plit the browser's window into different segments, each segment containing a different document. So when malicious iFrames are installed in particular webpages, it can result in flash advertisements that lead to other malware-related websites. (modifie les pages web pour y ajouter des codes malicieux. Peut donc afficher des fausses pubs qui renvoient vers des sites infectieux)

j'ai utilisé un activateur pour cracker Eset et pour l'activer à vie que j'ai eu par un admin sur site de warez et qui m'avait dit que je ne risquais rien et que le crack etait un faux positif donc je me demande maintenant si cet activateur est vraiment sans danger, j'ai fait un scan de cet activateur sur virustotal.com et voici le resultat :

https://www.virustotal.com/en/file/0139c7f611d2ba0c5fd4f72eda0d139ff273e2f016d7219e74b1ad2ad22f6efe/analysis/

l'activateur se nomme : Mara-fix 1.6.exe

qu'est ce que tu en penses ? est ce qu'il pourrait lui aussi etre la cause de cette intrusion sur mon pc de l'exterieur ? ou est ce qu'on peut considerer qu'il est fiable malgré les 17 detections suspectes sur 55 ?