Piratage Facebook/hotmail, dépenses Paypal... Résolu/Fermé

Question

Bonjour, 

Mon conjoint et moi utilisons le même ordinateur, hier, impossible pour lui de se connecter à facebook, le mot de passe avait été changé. Quand il a voulu aller sur sa boîte mail, elle aussi était inaccessible. Aujourd'hui, il découvre plusieurs paiements Paypal sur son compte (à hauteur de 300 euros pour l'instant). Il est allé faire opposition à la banque, et portera plainte une fois les papiers à jour. Son compte facebook a été clôturé, les numéros de téléphones, mails de référence et téléphone, changés également...

De mon côté, seul facebook me dit que mon mot de passe est erroné, puis en insistant me connecte..

J'ai nettoyé avec adwcleaner, et fait un scan avec AVIRA, ils n'ont pas trouvé grand chose. 
Que puis-je faire pour éviter un nouveau piratage? (mes mots de passe sont quasi tous différents et assez complexes).

Merci de votre aide.

Configuration: Windows XP / Firefox 26.0

Malekal_morte- · Answer

Salut,

Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt 
Fournir les deux rapports :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/    

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.    
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)    

Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

* Lance OTL    
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :    



netsvcs   
msconfig   
safebootminimal   
safebootnetwork   
activex   
drivers32   
%ALLUSERSPROFILE%\Application Data\*.   
%ALLUSERSPROFILE%\Application Data\*.exe /s   
%APPDATA%\*.   
%APPDATA%\*.exe /s   
%temp%\*.exe /s   
%SYSTEMDRIVE%\*.exe   
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\system32\*.dll /lockedfiles   
%windir%\Tasks\*.job /lockedfiles   
%systemroot%\system32\drivers\*.sys /lockedfiles   
%systemroot%\System32\config\*.sav   
/md5start   
explorer.exe   
winlogon.exe
services.exe
wininit.exe
/md5stop
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor /s
HKEY_CURRENT_USER\Software\Microsoft\Command Processor /s
CREATERESTOREPOINT   
nslookup https://www.google.fr/?gws_rd=ssl /c   
SAVEMBR:0   
hklm\software\clients\startmenuinternet|command /rs   
hklm\software\clients\startmenuinternet|command /64 /rs



* Clique sur le bouton Analyse.

* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent).
Donne le ou les liens pjjoint qui pointent vers ces rapports ici dans une réponse.
Je répète : donne le lien du rapport pjjoint ici en réponse.

NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT DANS UN NOUVEAU MESSAGE

diothyme · Answer

Salut Malekal, ravie que ce soit toi qui ait répondu, il y a un problème avec OTL il plante quand il essaye de scanner Firefox, à chaque fois. (pourtant j'ai fermé mon navigateur avant de scanner)

Malekal_morte- · Answer

Pas l'air infecté.

Panneau de Configuration => Programmes et fonctionnalités.   
Désinstalle :
FreeOnlineRadioPlayerRecorder Toolbar)
Spybot, pas efficace.

~~

Relance OTL. 
o sous Personnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:  

:OTL
[2003/02/10 00:13:10 | 000,000,416 | -H-- | C] () -- C:\Documents and Settings\All Users\Application Data\systmsp2pb6
[2001/08/15 11:48:11 | 000,000,536 | ---- | C] () -- C:\Documents and Settings\gillou\Application Data\winpmltspb6
IE - HKU\S-1-5-21-527237240-1965331169-682003330-1003\..\URLSearchHook: {f999a48b-1950-4d81-9971-79018f807b4b} - C:\Documents and Settings\gillou\Local Settings\Application Data\CT2737658\ldrtbFree.dll ()
O2 - BHO: (no name) - {11111111-1111-1111-1111-110311301136} - No CLSID value found.
O2 - BHO: (no name) - {30F9B915-B755-4826-820B-08FBA6BD249D} - No CLSID value found.
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found.
O2 - BHO: (no name) - {9121bd1e-b5f5-848d-041a-31eaeceff7db} - No CLSID value found.
O2 - BHO: (no name) - {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} - No CLSID value found.
O2 - BHO: (FreeOnlineRadioPlayerRecorder Toolbar) - {f999a48b-1950-4d81-9971-79018f807b4b} - C:\Documents and Settings\gillou\Local Settings\Application Data\CT2737658\ldrtbFree.dll ()
O3 - HKLM\..\Toolbar: (FreeOnlineRadioPlayerRecorder Toolbar) - {f999a48b-1950-4d81-9971-79018f807b4b} - C:\Documents and Settings\gillou\Local Settings\Application Data\CT2737658\ldrtbFree.dll ()
O3 - HKU\S-1-5-21-527237240-1965331169-682003330-1003\..\Toolbar\WebBrowser: (FreeOnlineRadioPlayerRecorder Toolbar) - {F999A48B-1950-4D81-9971-79018F807B4B} - C:\Documents and Settings\gillou\Local Settings\Application Data\CT2737658\ldrtbFree.dll ()
[2013/12/23 00:11:18 | 000,360,051 | ---- | M] () -- C:\DOCUME~1\gillou\LOCALS~1\Temp\Quarantine.exe  


* poste le rapport ici  


Redémarre l'ordinateur


Télécharge et installe Malwarebyte : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Mets le à jour, fais un scan rapide, supprime tout et copie/colle le rapport ici dans une nouvelle réponse. 
!!! Malwarebyte doit être à jour avant de faire le scan !!! 
Coche tout ce qui est détecté en faisant un clic droit sur la liste puis cocher tout
puis bouton supprimer sélection pour tout supprimer. 

si Malwarebytes demande de redémarrer le PC, redémarre le avant de passer à l'étape suivante.

diothyme · Answer

========== OTL ==========
C:\Documents and Settings\All Users\Application Data\systmsp2pb6 moved successfully.
C:\Documents and Settings\gillou\Application Data\winpmltspb6 moved successfully.
Registry value HKEY_USERS\S-1-5-21-527237240-1965331169-682003330-1003\Software\Microsoft\Internet Explorer\URLSearchHooks\{f999a48b-1950-4d81-9971-79018f807b4b} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{f999a48b-1950-4d81-9971-79018f807b4b}\ deleted successfully.
C:\Documents and Settings\gillou\Local Settings\Application Data\CT2737658\ldrtbFree.dll moved successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{11111111-1111-1111-1111-110311301136}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{11111111-1111-1111-1111-110311301136}\ not found.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{30F9B915-B755-4826-820B-08FBA6BD249D}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{30F9B915-B755-4826-820B-08FBA6BD249D}\ not found.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{5C255C8A-E604-49b4-9D64-90988571CECB}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5C255C8A-E604-49b4-9D64-90988571CECB}\ not found.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9121bd1e-b5f5-848d-041a-31eaeceff7db}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{9121bd1e-b5f5-848d-041a-31eaeceff7db}\ not found.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}\ not found.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{f999a48b-1950-4d81-9971-79018f807b4b}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{f999a48b-1950-4d81-9971-79018f807b4b}\ not found.
File C:\Documents and Settings\gillou\Local Settings\Application Data\CT2737658\ldrtbFree.dll not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\{f999a48b-1950-4d81-9971-79018f807b4b} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{f999a48b-1950-4d81-9971-79018f807b4b}\ not found.
File C:\Documents and Settings\gillou\Local Settings\Application Data\CT2737658\ldrtbFree.dll not found.
Registry value HKEY_USERS\S-1-5-21-527237240-1965331169-682003330-1003\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{F999A48B-1950-4D81-9971-79018F807B4B} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F999A48B-1950-4D81-9971-79018F807B4B}\ not found.
File C:\Documents and Settings\gillou\Local Settings\Application Data\CT2737658\ldrtbFree.dll not found.
C:\Documents and Settings\gillou\Local Settings\Temp\Quarantine.exe moved successfully.
 
OTL by OldTimer - Version 3.2.69.0 log created on 12272013_231142


Je rédémarre et m'occupe des malware.

Malekal_morte- · Answer

y avait un trojan apparemment.
Il a été éradiqué par Malwarebytes.

Fais des scan réguliers avec Malwarebytes.
 
 
Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left

diothyme · Answer

ça marche, du coup, faut-il que je rechange tout mes passwords (je l'ai fait il y a un ou deux mois) ?