Détecter un programme espion avec wireshark

cencen49 Messages postés 122 Date d'inscription   Statut Membre Dernière intervention   -  
cencen49 Messages postés 122 Date d'inscription   Statut Membre Dernière intervention   -
Bonjour,
J'ai du cliquer sur un mail qui fallais pas,comme me l'a dit le mec dechez free.Mais je tente de retrouver sa trace avec wireshark et je ne sais meme pas quel type chercher.
Merci de vos connseils,je me coucherais moin bete ce soir.


A voir également:

4 réponses

Réponse 1 / 4
Tomy2e Messages postés 816 Date d'inscription   Statut Membre Dernière intervention   859
 
Bonjour, Wireshark n'est pas trop le programme adapté pour détecter les programmes espions, je vous recommande plutôt Malwarebytes: https://fr.malwarebytes.com/
1
cencen49 Messages postés 122 Date d'inscription   Statut Membre Dernière intervention   10
 
Bonsoir,j'ai fais ça en mode administrateur:
Malwarebytes Anti-Malware
www.malwarebytes.org

Date de l'examen: 29/01/2015
Heure de l'examen: 20:41:09
Fichier journal: raport malwarebyte.txt
Administrateur: Oui

Version: 2.00.4.1028
Base de données Malveillants: v2015.01.29.09
Base de données Rootkits: v2015.01.14.01
Licence: Essai
Protection contre les malveillants: Activé(e)
Protection contre les sites Web malveillants: Activé(e)
Auto-protection: Désactivé(e)

Système d'exploitation: Windows 7 Service Pack 1
Processeur: x64
Système de fichiers: NTFS
Utilisateur: john

Type d'examen: Examen "Menaces"
Résultat: Terminé
Objets analysés: 376456
Temps écoulé: 27 min, 8 sec

Mémoire: Activé(e)
Démarrage: Activé(e)
Système de fichiers: Activé(e)
Archives: Activé(e)
Rootkits: Désactivé(e)
Heuristique: Activé(e)
PUP: Activé(e)
PUM: Activé(e)

Processus: 0
(Aucun élément malicieux detecté)

Modules: 0
(Aucun élément malicieux detecté)

Clés du Registre: 0
(Aucun élément malicieux detecté)

Valeurs du Registre: 0
(Aucun élément malicieux detecté)

Données du Registre: 0
(Aucun élément malicieux detecté)

Dossiers: 13
PUP.Optional.PicColor.A, C:\ProgramData\PicColorData, , [2b021ae3f693d95d5b00ff8129da2cd4],
PUP.Optional.MBot.A, C:\Users\john\AppData\Local\mbot_fr_332, , [8f9eca33d5b445f14efcfe676c97a060],
PUP.Optional.MBot.A, C:\Users\john\AppData\Local\mbot_fr_332\mbot_fr_332, , [8f9eca33d5b445f14efcfe676c97a060],
PUP.Optional.MBot.A, C:\Users\john\AppData\Local\mbot_fr_332\mbot_fr_332\1.20, , [8f9eca33d5b445f14efcfe676c97a060],
PUP.Optional.MBot.A, C:\Users\Visitor\AppData\Local\mbot_fr_332, , [66c79766a1e8eb4b32185015a85b47b9],
PUP.Optional.MBot.A, C:\Users\Visitor\AppData\Local\mbot_fr_332\mbot_fr_332, , [66c79766a1e8eb4b32185015a85b47b9],
PUP.Optional.MBot.A, C:\Users\Visitor\AppData\Local\mbot_fr_332\mbot_fr_332\1.20, , [66c79766a1e8eb4b32185015a85b47b9],
PUP.Optional.MBot.A, C:\Program Files (x86)\mbot_fr_332, , [ed407786ccbd81b5f655cc99e61d1ae6],
PUP.Optional.SimpleFiles, C:\Program Files (x86)\SimpleFiles, , [71bcca335336989e3c90f86e659e09f7],
PUP.Optional.Salus.A, C:\Program Files (x86)\f552dd4c52e3, , [d558f30af4957fb7e98299e1679c04fc],
PUP.Optional.Salus.A, C:\Program Files (x86)\f552dd4c52e3\b786bdb3c67d, , [d558f30af4957fb7e98299e1679c04fc],
PUP.Optional.Salus.A, C:\Program Files (x86)\f552dd4c52e3\b786bdb3c67d\SSL, , [d558f30af4957fb7e98299e1679c04fc],
PUP.Optional.UniversalUpdater.A, C:\Program Files (x86)\0ca45c95134d, , [0726aa532d5c37ff3ec080fbe91a46ba],

Fichiers: 26
PUP.Optional.Softpulse, C:\Users\Visitor\Downloads\Non confirmé 326347.crdownload, , [939a51acafdab680c2c069923ec3d12f],
PUP.Optional.DomaIQ, C:\Users\Visitor\Downloads\Non confirmé 498630.crdownload, , [8f9eb8459fea9d998789d32bdf22f20e],
PUP.Optional.PicColor.A, C:\ProgramData\PicColorData\Config.bin, , [2b021ae3f693d95d5b00ff8129da2cd4],
PUP.Optional.PicColor.A, C:\ProgramData\PicColorData\Config.bin.bus, , [2b021ae3f693d95d5b00ff8129da2cd4],
PUP.Optional.MBot.A, C:\Users\john\AppData\Local\mbot_fr_332\upmbot_fr_332.cyl, , [8f9eca33d5b445f14efcfe676c97a060],
PUP.Optional.MBot.A, C:\Users\john\AppData\Local\mbot_fr_332\user_profil.cyp, , [8f9eca33d5b445f14efcfe676c97a060],
PUP.Optional.MBot.A, C:\Users\john\AppData\Local\mbot_fr_332\mbot_fr_332\1.20\cnf.cyl, , [8f9eca33d5b445f14efcfe676c97a060],
PUP.Optional.MBot.A, C:\Users\john\AppData\Local\mbot_fr_332\mbot_fr_332\1.20\eorezo.cyl, , [8f9eca33d5b445f14efcfe676c97a060],
PUP.Optional.MBot.A, C:\Users\Visitor\AppData\Local\mbot_fr_332\mbot_fr_332\1.20\cnf.cyl, , [66c79766a1e8eb4b32185015a85b47b9],
PUP.Optional.MBot.A, C:\Users\Visitor\AppData\Local\mbot_fr_332\mbot_fr_332\1.20\eorezo.cyl, , [66c79766a1e8eb4b32185015a85b47b9],
PUP.Optional.MBot.A, C:\Program Files (x86)\mbot_fr_332\qwert10.txt, , [ed407786ccbd81b5f655cc99e61d1ae6],
PUP.Optional.MBot.A, C:\Program Files (x86)\mbot_fr_332\qwert13.txt, , [ed407786ccbd81b5f655cc99e61d1ae6],
PUP.Optional.MBot.A, C:\Program Files (x86)\mbot_fr_332\qwert14.txt, , [ed407786ccbd81b5f655cc99e61d1ae6],
PUP.Optional.MBot.A, C:\Program Files (x86)\mbot_fr_332\qwert4.txt, , [ed407786ccbd81b5f655cc99e61d1ae6],
PUP.Optional.MBot.A, C:\Program Files (x86)\mbot_fr_332\qwert5.txt, , [ed407786ccbd81b5f655cc99e61d1ae6],
PUP.Optional.MBot.A, C:\Program Files (x86)\mbot_fr_332\qwert6.txt, , [ed407786ccbd81b5f655cc99e61d1ae6],
PUP.Optional.MBot.A, C:\Program Files (x86)\mbot_fr_332\qwert9.txt, , [ed407786ccbd81b5f655cc99e61d1ae6],
PUP.Optional.MBot.A, C:\Program Files (x86)\mbot_fr_332\unins000.dat, , [ed407786ccbd81b5f655cc99e61d1ae6],
PUP.Optional.MBot.A, C:\Program Files (x86)\mbot_fr_332\unins000.msg, , [ed407786ccbd81b5f655cc99e61d1ae6],
PUP.Optional.SimpleFiles, C:\Program Files (x86)\SimpleFiles\downloader.exe, , [71bcca335336989e3c90f86e659e09f7],
PUP.Optional.SimpleFiles, C:\Program Files (x86)\SimpleFiles\Uninstall.exe, , [71bcca335336989e3c90f86e659e09f7],
PUP.Optional.Salus.A, C:\Program Files (x86)\f552dd4c52e3\b786bdb3c67d.log, , [d558f30af4957fb7e98299e1679c04fc],
PUP.Optional.Salus.A, C:\Program Files (x86)\f552dd4c52e3\b786bdb3c67d\SSL\Salus CA.cer, , [d558f30af4957fb7e98299e1679c04fc],
PUP.Optional.Salus.A, C:\Program Files (x86)\f552dd4c52e3\b786bdb3c67d\SSL\Salus CA.pvk, , [d558f30af4957fb7e98299e1679c04fc],
PUP.Optional.UniversalUpdater.A, C:\Program Files (x86)\0ca45c95134d\bde9a3642b8c.json, , [0726aa532d5c37ff3ec080fbe91a46ba],
PUP.Optional.UniversalUpdater.A, C:\Program Files (x86)\0ca45c95134d\cf3e08d747e4.log, , [0726aa532d5c37ff3ec080fbe91a46ba],

Secteurs physiques: 0
(Aucun élément malicieux detecté)


(end)
0
Réponse 2 / 4
Raoul
 
Salut,


Tu regardes s'il y a des connexions sortantes, donc vers des IP internet, quand les navigateurs sont éteints.

Evidemment, si tu as des logiciels de la marque de ton PC d'activés au démarrage, il ne faut pas en tenir compte, également sous Windows 8 explorer.exe communique beaucoup avec Microsoft (port 80 et 443), c'est donc normal.

Donc si tu vois de façon systématique du TCP vers une IP étrangère, avec un port pas très utilisé, du genre 3567, alors que tu n'es pas sur internet, inquiète toi.


Attention! en wifi il ne faut pas rester trop longtemps sur wireshark, sauf dans une ferme isolée...
1
brupala Messages postés 112018 Date d'inscription   Statut Membre Dernière intervention   14 168
 
Salut,Attention! en wifi il ne faut pas rester trop longtemps sur wireshark, sauf dans une ferme isolée...
d'où sors tu ça ?
Je serais intéressé par une explication complète.... ;-)
Jusqu'à preuve du contraire tu ne peux capturer que le réseau où tu es connecté et encore que les trames destinées à ta machine ou qui en sont issues, car la plupart des cartes wifi ne passent pas en mode promiscuous.
0
Raoul > brupala Messages postés 112018 Date d'inscription   Statut Membre Dernière intervention  
 
Je m'en doutais... et sans payer évidemment, fréquente un peu plus certains sites, la chose est notoire depuis déjà un certain temps.

Tu sais, il y a de la place pour plusieurs ici...
0
cencen49 Messages postés 122 Date d'inscription   Statut Membre Dernière intervention   10 > Raoul
 
et vous,vous en pensez quoi de malwarebytes pour un mail infecté en cliquant sur une photo?
0
Raoul > cencen49 Messages postés 122 Date d'inscription   Statut Membre Dernière intervention  
 
Moi je pense qu'il te faut un bon antivirus et pas de malwarebytes,

http://www.av-test.org/fr/

Il faut prévenir et pas guérir.
0
cencen49 Messages postés 122 Date d'inscription   Statut Membre Dernière intervention   10 > Raoul
 
En attendant je vien de m'achetter une licence malwarebytes a 2,8 euro.Ca va peu etre m'aider a trouver le trèfle a quatre feuilles.
0
Réponse 3 / 4
phil2k Messages postés 10855 Date d'inscription   Statut Contributeur Dernière intervention   2 334
 
Bonjour

Comment savez-vous que vous etes infecté ?
1
cencen49 Messages postés 122 Date d'inscription   Statut Membre Dernière intervention   10
 
AVG a marqué le pas.
Je crois que j'ai trouvé mon rat:
626700 desti.173.194.45.68 prot.TCP Length 54 Info 51035-443 [fin,ack] seq=471 ACK=4300 WIN=17160 len=0
0
Tomy2e Messages postés 816 Date d'inscription   Statut Membre Dernière intervention   859
 
Euh non, il s'agit d'une adresse ip qui pointe vers les serveurs de Google..
https://www.infobyip.com/index.php?ip=173.194.45.68
0
brupala Messages postés 112018 Date d'inscription   Statut Membre Dernière intervention   14 168 > Tomy2e Messages postés 816 Date d'inscription   Statut Membre Dernière intervention  
 
oui,
tout à fait, le whois:
whois 173.194.45.68

#
# ARIN WHOIS data and services are subject to the Terms of Use
# available at: https://www.arin.net/whois_tou.html
#
# If you see inaccuracies in the results, please report at
# https://account.arin.net/public/whoisinaccuracy/index.xhtml
#


#
# The following results may also be obtained via:
# http://whois.arin.net/rest/nets;q=173.194.45.68?showDetails=true&showARIN=false&ext=netref2
#

NetRange: 173.194.0.0 - 173.194.255.255
CIDR: 173.194.0.0/16
NetName: GOOGLE
NetHandle: NET-173-194-0-0-1
Parent: NET173 (NET-173-0-0-0-0)
NetType: Direct Allocation
OriginAS: AS15169
Organization: Google Inc. (GOGL)
RegDate: 2009-08-17
Updated: 2012-02-24
Ref: http://whois.arin.net/rest/net/NET-173-194-0-0-1


OrgName: Google Inc.
OrgId: GOGL
Address: 1600 Amphitheatre Parkway
City: Mountain View
StateProv: CA
PostalCode: 94043
Country: US
RegDate: 2000-03-30
Updated: 2013-08-07
Ref: http://whois.arin.net/rest/org/GOGL

OrgTechHandle: ZG39-ARIN
OrgTechName: Google Inc
OrgTechPhone: +1-650-253-0000
OrgTechEmail: arin-contact@google.com
OrgTechRef: http://whois.arin.net/rest/poc/ZG39-ARIN

OrgAbuseHandle: ZG39-ARIN
OrgAbuseName: Google Inc
OrgAbusePhone: +1-650-253-0000
OrgAbuseEmail: arin-contact@google.com
OrgAbuseRef: http://whois.arin.net/rest/poc/ZG39-ARIN


#
# ARIN WHOIS data and services are subject to the Terms of Use
# available at: https://www.arin.net/whois_tou.html
#
# If you see inaccuracies in the results, please report at
# https://account.arin.net/public/whoisinaccuracy/index.xhtml
#

Après,
tout le monde sait que Google est un espion, ce n'est pas une découverte :-(
0
Paulo > Tomy2e Messages postés 816 Date d'inscription   Statut Membre Dernière intervention  
 
Le problème est : pourquoi son PC envoie du FIN ACK à Google ? Le contraire je veux bien mais là ce n'est pas vraiment normal.
0
phil2k Messages postés 10855 Date d'inscription   Statut Contributeur Dernière intervention   2 334
 
il faudrait avoir une partie plus importante du dialogue pour en tirer des conclusions .......
0
Réponse 4 / 4
phil2k Messages postés 10855 Date d'inscription   Statut Contributeur Dernière intervention   2 334
 
Je cite :
AVG a marqué le pas.

Ca veut dire que AVG a détecté quelque chose ?
Quoi ?
Il n'a pas pu le corriger ?

Et avez vous essayé Malwarebytes, adwcleaner, ZHPdiag ?
0
cencen49 Messages postés 122 Date d'inscription   Statut Membre Dernière intervention   10
 
oui,avg a marqué le pas sur une photo,la renvoyé pour analyse,et a continuer comme si de rien n' etait.
Si le grand pubique avais acces a des programmes defencif de dernier cri,et tres éfficace,ce
serais une revolution.
malwarebyte analyse mon systeme en ce moment.
0

Discussions similaires

A quoi sert l'application Bonjour?
patrick -
Ysis -

4 réponses