Y a-t-il eu un keylogger sur mon pc? Fermé

Question

Bonjour, 

Je vous écris car j'ai vraiment besoin d'aide. Mon mari (bientôt ex...) m'a confirmé qu'il avait déjà su, pendant une période donné, tout ce que je disais ou écrivais à mon entourage (et, effectivement, il sait des choses que je n'ai écrites qu'en mail ou qu'en chat par Facebook et il n'a pas accès à mes mots de passe...). Il a eu accès à l'ordinateur de la maison (sur lequel j'écrivais ces mails et je chatais) et possède un portable avec lequel il se connecte wifi sur la même box que l'ordinateur famillial. Après avoir fait une recherche rapide sur le web, je me rends compte qu'il existe des keyloggers, qu'ils peuvent être installés sous d'autres noms sur mon ordinateur, etc... et moi, en informatique, j'arrive à me débrouiller pour faire ce dont j'ai besoin mais je n'y connais rien en systèmes, historiques, etc... J'ai installé Spybot mais ce que je vois ne me dit rien.

Etant donné que je l'ai menacé de le balancer à la gendarmerie pour violation à la vie privé et qu'il sait que je ne me démonterai pas si je trouve une trace de cela, il a probablement tout effacé de ses activités d'espionnage.

Ma question est la suivante :

Y a-t-il moyen de trouver une trace d'une installation/désinstallation d'un keylogger dans un pc? Puis-je trouver cette information moi-même ou dois-je faire appel à un professionnel?
Y a-t-il moyen de trouver vers quel IP les informations étaient alors transmises?

SVP, aidez-moi. Je deviens parano avec ces histoires et je veux que ça cesse.

Merci de votre attention
Configuration: Windows 7 / Internet Explorer 8.0

juju666 · Answer

Hello, c'est embêtant des histoires ainsi...

Retrouver peut être.... Si ça peut te rassurer : 

Nous allons effectuer un diagnostic de ton PC:
&#9654 Télécharge ZHPDiag sur ton bureau :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html
ou :
https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

&#9654 Laisse toi guider lors de l'installation,coche "Ajouter une icône sur le bureau" et décoche la case "Exécuter ZHPDiag"

 /!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur » 

&#9654 Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
&#9654 Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
&#9654 Héberge le rapport ZHPDiag.txt sur un des sites ci dessous, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :
http://www.cijoint.fr/
ou :
http://ww38.toofiles.com/fr/documents-upload.html
ou :
https://www.cjoint.com/
ou :
https://www.casimages.com/

&#9654 Tuto zhpdiag :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html 

@+

juju666 · Answer

Tu es sous XP, exécuter en tant qu'admin c'est pour vista ou seven ! :D

Aie aie aie pas de keylogger par contre ton pc est attaqué de tous les côtés... :(


&#9654 Rentre dans ton panneau de configuration....    
&#9654 Apparence et personnalisation...    
&#9654 Option des dossiers...(double cliquer dessus)    
&#9654 Dans l'onglet affichage un peu plus bas où il est indiqué "Afficher les dossiers et fichiers cachés": Coche cette option 
&#9654 Encore plus bas : Masquer les fichiers protégés du système d'exploitation (recommandé) : à décocher. 

&#9654 &#9654 ensuite rends toi sur ce lien: 
https://www.virustotal.com/gui/ 


&#9654 Là où il est indiqué "envoyer le fichier", Clique sur "parcourir" 
recherche l'entrée suivante dans ton disque : 


C:\Documents and Settings\All Users\Application Data\72534829\72534829.exe


&#9654 Si une fenêtre apparait disant, "Le fichier à déjà été Analysé", Alors clique sur Réanalyser le fichier maintenant 

&#9654 Copie et colle le lien de ta barre d'adresse ici, après que l'analyse soit terminée  

@+

Maximus · Answer

Rebonjour!

S'il n'y a pas de présence de keylogger, est-ce que ça veut dire qu'il n'y en n'a jamais eu? Peut-on savoir s'il y en a eu avant maintenant? Il y a 1 an par exemple?? Un coup désinstallé, il laisserait des traces peut-être?
Comment peut-il savoir que mes mots de passe sont étranges...certaines infos de mes mails et de mon chat Facebook? D'autres moyens sont possibles que les keyloggers pour espionner les pc? Je n'y connais vraiment rien mais je sais qu'il a eu accès à ces informations, c'est impossible autrement, dans le contenu comme dans le temps.

Je vais voir ce que je peux trouver au niveau de l'écoute de téléphone mais ça colle beaucoup moins...

Pour ce qui est du nettoyage de mon pc, "Afficher les dossiers et fichiers cachés" était déjà coché et j'ai décoché "Masquer les fichiers protégés du système d'exploitation".

Je suis ensuite allée sur virustotal.com. En faisant parcourir, je réalise que le fichier C:\Documents and Settings\All Users\Application Data\72534829\72534829.exe
 est inexistant...

Il existe bien un dossier appelé C:\Documents and Settings\All Users\Application Data\72534829 mais il est vide... et du coup, je suis bloquée car lorsque je demande ouvrir, il ne se passe rien étant donné qu'il n'y a rien dans le dossier...bref, je n'arrive pas à sélectionner ce dossier pour analyse....

J'attends donc vos instructions...

Maximus

juju666 · Answer

Je n'ai pas vu de trace de keylogger sur ton rapport.... Oui ça peut laisser des traces, du style un dossier.

Bon, c'est pas grave pour le fichier, ça ressemble a du rogue mais je voulais être certain, pas grave, on commence le nettoyage :

&#9654  Télécharge de AD-Remover sur ton Bureau. (Merci à C_XX)

http://www.teamxscript.org/adremoverTelechargement.html ( Lien officiel )
OU
https://www.androidworld.fr/ ( Miroir )

/!\ Ferme toutes applications en cours /!\

&#9654 Double-clique sur l'icône Ad-remover située sur ton Bureau.
&#9654 Sur la page, clique sur le bouton « Nettoyer »
&#9654 Confirme lancement du scan
&#9654 Laisse travailler l'outil.
&#9654 Poste le rapport qui apparaît à la fin.

(Le rapport est sauvegardé aussi sous C:\Ad-report(Scan/clean).Txt)

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller) 

@+

Maximus · Answer

Ca y est! J'ai tout fait comme indiqué et je vous envoie le rapport (vous verrez dans le bas que j'ai en fait fait 3 nettoyages car les 2 premiers qui ont été amorcés avaient l'air de "bugger"...et finalement, le 3ième a fait pareil et s'est "débuggé" tout seul...vous me dites si vous avez besoin des fichiers des 2 premiers nettoyages interrompus) :

======= RAPPORT D'AD-REMOVER 2.0.0.2,C | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 22/12/10 à 11:40
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [3]) -> Lancé à 14:06:19 le 03/01/2011, Mode normal

Microsoft Windows XP Édition familiale Service Pack 3 (X86) 
Vicki@TSARI ( ) 
 
============== ACTION(S) ==============


Fichier supprimé: C:\Documents and Settings\Vicki\Application Data\Mozilla\FireFox\Profiles\somraeao.default\searchplugins\fissa.xml
Dossier supprimé: C:\Documents and Settings\All Users\Application Data\bardiscover
Dossier supprimé: C:\Program Files\bardiscover
Dossier supprimé: C:\Documents and Settings\Vicki\Application Data\FissaSearch
Dossier supprimé: C:\Program Files\SGPSA
Dossier supprimé: C:\Documents and Settings\Vicki\Application Data\OfferBox

(!) -- Fichiers temporaires supprimés.


-- Fichier ouvert: C:\Documents and Settings\Vicki\Application Data\Mozilla\FireFox\Profiles\somraeao.default\Prefs.js --
Ligne supprimée:  
Ligne supprimée:  
Ligne supprimée: user_pref("browser.search.defaultenginename", "Fast Browser Search"); 
Ligne supprimée: user_pref("browser.search.defaultthis.engineName", "Fast Browser Search"); 
Ligne supprimée: user_pref("browser.search.defaulturl", "hxxp://www.fastbrowsersearch.com/results/results.aspx?s=DEF&... 
Ligne supprimée: user_pref("browser.search.order.1", "Fast Browser Search"); 
Ligne supprimée: user_pref("browser.search.selectedEngine", "Fast Browser Search"); 
-- Fichier Fermé --
 

Clé supprimée: HKLM\Software\Classes\CLSID\{1BB22D38-A411-4B13-A746-C2A4F4EC7344}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{1BB22D38-A411-4B13-A746-C2A4F4EC7344}
Clé supprimée: HKLM\Software\Classes\CLSID\{57CADC46-58FF-4105-B733-5A9F3FC9783C}
Clé supprimée: HKLM\Software\Classes\CLSID\{8A9D74F9-560B-4FE7-ABEB-3B2E638E5CD6}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{8A9D74F9-560B-4FE7-ABEB-3B2E638E5CD6}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{8A9D74F9-560B-4FE7-ABEB-3B2E638E5CD6}
Clé supprimée: HKLM\Software\Classes\CLSID\{CA3EB689-8F09-4026-AA10-B9534C691CE0}
Clé supprimée: HKLM\Software\Classes\CLSID\{FCBCCB87-9224-4B8D-B117-F56D924BEB18}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{FCBCCB87-9224-4B8D-B117-F56D924BEB18}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{FCBCCB87-9224-4B8D-B117-F56D924BEB18}
Clé supprimée: HKLM\Software\Classes\Interface\{115CCBAE-27B0-47C3-BA42-BAB708424393}
Clé supprimée: HKLM\Software\Classes\Interface\{6E4C89CF-3061-4EE4-B22A-B7A8AAEA5CB3}
Clé supprimée: HKLM\Software\Classes\TypeLib\{3088C799-9630-4719-A471-4544D7CABC2D}
Clé supprimée: HKLM\Software\Classes\TypeLib\{4509D3CC-B642-4745-B030-645B79522C6D}
Clé supprimée: HKLM\Software\Classes\TypeLib\{77AA25E8-6083-4949-A831-9CB11861DC10}
Clé supprimée: HKLM\Software\Classes\TypeLib\{937936AF-28CA-4973-B8AE-F250406149A2}
Clé supprimée: HKLM\Software\Classes\BHO.PSHelper
Clé supprimée: HKLM\Software\Classes\BHO.PSHelper.1
Clé supprimée: HKLM\Software\Classes\ShopperReports.Reporter
Clé supprimée: HKLM\Software\Classes\ShopperReports.Reporter.1
Clé supprimée: HKLM\Software\freeCompressor
Clé supprimée: HKLM\Software\bardiscover
Clé supprimée: HKLM\Software\ClickPotatoLite
Clé supprimée: HKCU\Software\OfferBox
Clé supprimée: HKCU\Software\FissaSearch
Clé supprimée: HKCU\Software\P2P Networking
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\Hotbar
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\ShopperReports
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{19F2B849-4ADE-4d4b-85F9-C31C643DBDE9}
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{b41306c6-96d0-442a-bcc4-b0f621e82ce9}
Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{DE92CA56-9DAA-44b3-87C9-4D5DD7BC5A9C}

Valeur supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\User Agent\Post Platform|SRS_IT_E8790272B7765A5532AC98
Valeur supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\User Agent\Post Platform|SRS_IT_E879027FB476545136A197
Valeur supprimée: HKLM\Software\Microsoft\Internet Explorer\Toolbar|{1BB22D38-A411-4B13-A746-C2A4F4EC7344}


============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.6.13 (fr)] **

-- C:\Documents and Settings\Vicki\Application Data\Mozilla\FireFox\Profiles\somraeao.default\Prefs.js --
browser.download.lastDir, C:\Documents and Settings\Vicki\Bureau
browser.startup.homepage, www.google.fr
browser.startup.homepage_override.mstone, rv:1.9.2.13

========================================

** Internet Explorer Version [7.0.5730.13] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
Use Custom Search URL: 1

[HKLM\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 10 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 16 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 03/01/2011 (436 Octet(s)) 
C:\Ad-Report-CLEAN[2].txt - 03/01/2011 (436 Octet(s)) 
C:\Ad-Report-CLEAN[3].txt - 03/01/2011 (1607 Octet(s)) 

Fin à: 14:07:39, 03/01/2011 
 
============== E.O.F ============== 



Et merci infiniment pour tout ce temps passé avec moi pour nettoyer mon pc!!

juju666 · Answer

Non pas nécessaire ;) et pas de soucis.

Relance AD-Remover et clique sur désinstaller.

Ensuite: 

&#9654 Télécharge Malwarebytes' Anti-Malware et enregistre le sur ton bureau.

&#9654 &#9654 Miroir si inaccessible 


&#9654 &#9654 /!\ Utilisateur de Vista et Windows 7 : Clique droit sur le logo de Malwarebytes' Anti-Malware, « exécuter en tant qu'Administrateur » 

&#9654 Double clique sur le fichier téléchargé pour lancer le processus d'installation. 
&#9654 Dans l'onglet "mise à jour", clique sur le bouton Recherche de mise à jour 
&#9654 si le pare-feu demande l'autorisation de se connecter pour Malwarebytes, accepte 
&#9654  Une fois la mise à jour terminée 
&#9654 rends-toi dans l'onglet Recherche 
&#9654 Sélectionne Exécuter un examen complet 
&#9654 Clique sur Rechercher 
&#9654 &#9654 Le scan démarre. 
&#9654 A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés. 
&#9654 Clique sur Ok pour poursuivre. 
&#9654 Si des malwares ont été détectés, cliques sur Afficher les résultats 
&#9654 Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection . Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
&#9654 Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. Copie/colle le ici (ctrl+a pour tout sélectionner, ctrl+c pour copier, ctrl+v pour coller)

&#9654 &#9654  Il se peut que MBAM ait besoin de redémarrer le pc pour finaliser la suppression, donc pas de panique, redémarre ton pc !!! 
&#9654 Une fois le PC redémarré, rends toi dans l'onglet rapport/log 
&#9654 Tu clique dessus pour l'afficher, une fois affiché 
&#9654 Copie/colle le ici (ctrl+a pour tout sélectionner, ctrl+c pour copier, ctrl+v pour coller)

Si tu as besoin d'aide regarde ce tutoriel : 
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/  

@+

Maximus · Answer

Rebonjour!

J'espère que tout est ok maintenant et mon pc est propre!

Je vous envoie donc les résultats de Malwarebytes ci-dessous.

Encore un immense merci pour votre aide!

Maximus

Résultats du Malwarebytes :

Malwarebytes' Anti-Malware 1.17
Version de la base de données: 846

15:24:05 03/01/2011
mbam-log-1-3-2011 (15-24-05).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 154619
Temps écoulé: 40 minute(s), 19 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 8
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 1
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CLASSES_ROOT\urlsearchhook.toolbarurlsearchhook (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\urlsearchhook.toolbarurlsearchhook.1 (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{9ebb289a-2d7b-465b-825f-1530b813e95a} (Adware.DosPopToolbar) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{cd5c92ae-97b0-4bc3-ba65-ba0308d543bf} (Adware.DosPopToolbar) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{e67d5bc7-7129-493e-9281-f47bdaface4f} (Adware.DosPopToolbar) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{4897bba6-48d9-468c-8efa-846275d7701b} (Adware.Softomate) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\Carlson (Dialer) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\Delsim (Dialer) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
C:\Program Files\Fichiers communs\Carlson (Dialer) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

juju666 · Answer

Eh bien on va voir ça :)

Refais une analyse avec ZHPDiag comme au début et héberge le rapport

@+

Maximus · Answer

Voici le résultat de ZHPdiag :

https://www.cjoint.com/?0bdpEtWFUeK

juju666 · Answer

encore des bestioles ;)

&#9654 Télécharge UsbFix (créé par El Desaparecido & C_XX) sur ton Bureau. Si ton antivirus affiche une alerte, ignore le et désactive le temporairement. 

&#9654  Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir 

&#9654 Vista/Seven : Clic droit sur UsbFix > Exécuter en tant qu'administrateur, l'installation se fera automatiquement 
              XP : double clic sur UsbFix

&#9654 Clique sur "Suppression" 

&#9654 Laisse travailler l'outil 

&#9654 Ton Bureau va disparaitre: c'est normal 

&#9654 A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur) 

&#9654 Aide en images : Tutoriel "Nettoyage" 

@+

Maximus · Answer

Je n'ai malheureusement plus le temps de continuer cette démarche aujourd'hui. Je vous recontacte dès que j'aurai pu faire les dernières directives.

Un immense merci pour votre aide!

Bonne fin de journée et à très bientôt!

Maximus

juju666 · Answer

pas de problèmes

@+