Quelqu'un à accès à mon PC à distance Résolu/Fermé

Question

Bonjour, à tous 

Il semblerait que depuis plus ou moins un moi quelqu'un ait accès à mon ordinateur sans que je n'ai connaissance de lui . Les 2 premières fois il a prit contrôle de mon pc pendant mon sommeil il en a notamment profité pour m'installer Avast une première fois , et envoyer des fichiers à mes contacts la seconde . Pensant que le problème venait de Team viewer , je l'ai désinstallé et j'ai ensuite lancé plusieurs nettoyage avec différents logiciels tel que : ADW cleaner , ZHP cleaner . Je pensais que le problème était résolu mais il s'avère que cette nuit , il a de nouveau prit le contrôle de mon pc , a essayé de se connecter à mon paypal et a installé de nouveau team viewer .
Je me tourne donc vers vous pour trouver une manière de lui barrer l'accès à mon ordinateur et vérifier que mon ordinateur n'est pas infecté .
Merci d'avance pour votre aide

jeannets · Answer

Bonjour,

Tu changes le mot de passe... et arrête l'ordinateur la nuit...

Qu'est-ce qui te fait dire qu'il prend le controle de ton PC..??

C'est peut etre quelqu'un de ta maison..

Malekal_morte- · Answer

Salut,

Pour vérifier ton ordinateur, pour d'éventuels infections et avoir un état général du système :

Suis le tutoriel FRST en cliquant sur ce lien bleu. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST, 
Attendre la fin du scan, un message indique que l'analyse est terminée.

Trois rapports FRST seront générés :
dd

 FRST.txt
 Shortcut.
 Additionnal.txt

Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

(Les liens bleus mènent à des tutoriels explicatifs pas à pas, clic dessus pour avoir les instructions plus précises à suivre).

Malekal_morte- · Answer

Ouaip infecté par des trojans.
Du coup tu as installé Comodo, et MalwareFox...
Comodo est assez usine à gaz, je pense pas que ce soit utile de le garder.

A désinstaller, inutile tout ça :
CCleaner
Java 
MalwareFox AntiMalware

AdwCleaner et ZHPCleaner ne visent pas ce type d'infection, donc ça ne sert à rien de les utiliser.


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

StartCloseProcesses:CreateRestorePoint:C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Diablo3 script bot.jsHKU\S-1-5-21-3472163067-580077145-3329286618-1000\...\Run: [68S7XG6NWG] => "C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Diablo3 script bot.js"HKU\S-1-5-21-3472163067-580077145-3329286618-1000\...\Run: [csrss] => powershell.exe <==== ATTENTIONShortcutTarget: Resanance.lnk -> C:\Program Files\Resanance\Resanance.exe (Wasntafairfight) [Fichier non signé]Startup: C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Steam.exe.lnk [2016-06-19]Startup: C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\DK.bat [2018-08-14] () [Fichier non signé]Startup: C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Latency.bat [2018-09-23] () [Fichier non signé]Startup: C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Miner ETH Script - Copy.vbs [2019-02-15] () [Fichier non signé]Startup: C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Nexon Launcher.lnk [2019-02-14]2016-05-29 05:47 - 2016-05-29 05:47 - 000000000 ____C () C:\Users\Jules\AppData\Local\{62583EFC-7CE8-4C38-B8D2-BD1255CE856A}2018-06-13 19:16 - 2018-06-13 19:16 - 000000000 ____C () C:\Users\Jules\AppData\Local\{9B8F9064-60E5-4EDA-A896-BC9CB2861973}2017-02-19 04:08 - 2017-02-19 04:08 - 000000000 ____C () C:\Users\Jules\AppData\Local\{9B9827D3-DC04-487B-8045-B09ED819A5E5}2016-08-12 21:06 - 2016-08-12 21:06 - 000000000 ____C () C:\Users\Jules\AppData\Local\{B2D39170-2C45-4C8F-9690-59261EA172CE}2017-06-16 16:30 - 2017-06-16 16:30 - 000000000 ____C () C:\Users\Jules\AppData\Local\{F249E54C-F462-4E3B-9734-94927E7623FF}2016-01-16 14:14 - 2017-02-02 22:07 - 002700800 _____ () C:\Users\Jules\ZHPCleaner.exe2016-03-27 00:10 - 2016-04-02 01:23 - 002171904 _____ () C:\Users\Jules\ZHPDiag3.exe 2019-03-18 14:45 - 2018-07-13 20:07 - 000000000 ___DC C:\Users\Jules\AppData\Local\ZHPHosts:EmptyTemp:RemoveProxy:Reboot:End

Enregistre le contenu par le menu fichier puis enregistrer.

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur. 


Ouvre "Mon Ordinateur " puis le disque "C" puis le dossier "FRST" 
Dedans se trouve, le dossier "Quarantine", fais un clique droit dessus,
Puis sélectionne dans le menu "Envoyer vers le dossier compressé"
Envoie ensuite le "Quarantine.zip" sur http://upload.malekal.com/

Jules_19 · Answer

Merci pour votre aide , voici le contenu du fixlog :
Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 17.03.2019
Exécuté par Jules (18-03-2019 16:06:44) Run:1
Exécuté depuis C:\Users\Jules\Desktop
Profils chargés: Jules & 7Evi9ZbSPH (Profils disponibles: Jules & 7Evi9ZbSPH)
Mode d'amorçage: Normal
==============================================

fixlist contenu:


Start
CloseProcesses:
CreateRestorePoint:
C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Diablo3 script bot.js
HKU\S-1-5-21-3472163067-580077145-3329286618-1000\...\Run: [68S7XG6NWG] => "C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Diablo3 script bot.js"
HKU\S-1-5-21-3472163067-580077145-3329286618-1000\...\Run: [csrss] => powershell.exe <==== ATTENTION
ShortcutTarget: Resanance.lnk -> C:\Program Files\Resanance\Resanance.exe (Wasntafairfight) [Fichier non signé]
Startup: C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Steam.exe.lnk [2016-06-19]
Startup: C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\DK.bat [2018-08-14] () [Fichier non signé]
Startup: C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Latency.bat [2018-09-23] () [Fichier non signé]
Startup: C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Miner ETH Script - Copy.vbs [2019-02-15] () [Fichier non signé]
Startup: C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Nexon Launcher.lnk [2019-02-14]
2016-05-29 05:47 - 2016-05-29 05:47 - 000000000 ____C () C:\Users\Jules\AppData\Local\{62583EFC-7CE8-4C38-B8D2-BD1255CE856A}
2018-06-13 19:16 - 2018-06-13 19:16 - 000000000 ____C () C:\Users\Jules\AppData\Local\{9B8F9064-60E5-4EDA-A896-BC9CB2861973}
2017-02-19 04:08 - 2017-02-19 04:08 - 000000000 ____C () C:\Users\Jules\AppData\Local\{9B9827D3-DC04-487B-8045-B09ED819A5E5}
2016-08-12 21:06 - 2016-08-12 21:06 - 000000000 ____C () C:\Users\Jules\AppData\Local\{B2D39170-2C45-4C8F-9690-59261EA172CE}
2017-06-16 16:30 - 2017-06-16 16:30 - 000000000 ____C () C:\Users\Jules\AppData\Local\{F249E54C-F462-4E3B-9734-94927E7623FF}
2016-01-16 14:14 - 2017-02-02 22:07 - 002700800 _____ () C:\Users\Jules\ZHPCleaner.exe
2016-03-27 00:10 - 2016-04-02 01:23 - 002171904 _____ () C:\Users\Jules\ZHPDiag3.exe

2019-03-18 14:45 - 2018-07-13 20:07 - 000000000 ___DC C:\Users\Jules\AppData\Local\ZHP
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End



Processus fermé avec succès.
Le Point de restauration a été créé avec succès.
"C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Diablo3 script bot.js" => non trouvé(e)
"HKU\S-1-5-21-3472163067-580077145-3329286618-1000\Software\Microsoft\Windows\CurrentVersion\Run\68S7XG6NWG" => supprimé(es) avec succès
"HKU\S-1-5-21-3472163067-580077145-3329286618-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrss" => supprimé(es) avec succès
C:\Program Files\Resanance\Resanance.exe => déplacé(es) avec succès
C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Steam.exe.lnk => déplacé(es) avec succès
C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\DK.bat => déplacé(es) avec succès
C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Latency.bat => déplacé(es) avec succès
C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Miner ETH Script - Copy.vbs => déplacé(es) avec succès
C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Nexon Launcher.lnk => déplacé(es) avec succès
C:\Users\Jules\AppData\Local\{62583EFC-7CE8-4C38-B8D2-BD1255CE856A} => déplacé(es) avec succès
C:\Users\Jules\AppData\Local\{9B8F9064-60E5-4EDA-A896-BC9CB2861973} => déplacé(es) avec succès
C:\Users\Jules\AppData\Local\{9B9827D3-DC04-487B-8045-B09ED819A5E5} => déplacé(es) avec succès
C:\Users\Jules\AppData\Local\{B2D39170-2C45-4C8F-9690-59261EA172CE} => déplacé(es) avec succès
C:\Users\Jules\AppData\Local\{F249E54C-F462-4E3B-9734-94927E7623FF} => déplacé(es) avec succès
C:\Users\Jules\ZHPCleaner.exe => déplacé(es) avec succès
C:\Users\Jules\ZHPDiag3.exe => déplacé(es) avec succès
C:\Users\Jules\AppData\Local\ZHP => déplacé(es) avec succès
C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.

========= RemoveProxy: =========

"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-3472163067-580077145-3329286618-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-3472163067-580077145-3329286618-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-3472163067-580077145-3329286618-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-3472163067-580077145-3329286618-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

BITS transfer queue => 18898944 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 337300731 B
Java, Flash, Steam htmlcache => 47820593 B
Windows/system/drivers => 9757603 B
Edge => 1169901 B
Chrome => 667909444 B
Firefox => 21001725 B
Opera => 1252664 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Users => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 886 B
LocalService => 0 B
NetworkService => 30350 B
NetworkService => 0 B
Jules => 232972631 B
7Evi9ZbSPH => 0 B

RecycleBin => 246123238 B
EmptyTemp: => 1.5 GB données temporaires supprimées.

================================


Le système a dû redémarrer.
 Fin de Fixlog 16:07:24 
 Le site : http://upload.malekal.com/ est inaccessible

Malekal_morte- · Answer

ha oui mince j'ai oublié de mettre à jour le DNS.
Ca devrait fonctionner dans 15/20min

sinon tu envoies le zip là : https://www.cjoint.com/
Je voudrais voir si le malware est contrôlé par un français et si oui, prévenir les autorités.

Jules_19 · Answer

Ok , voila le lien https://www.cjoint.com/c/ICspxz4c3FX

Jules_19 · Answer

Merci pour votre aide en tout cas , dois-je passer le sujet en résolu ?

Malekal_morte- · Answer

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

StartCloseProcesses:CreateRestorePoint:HKU\S-1-5-21-3472163067-580077145-3329286618-1000\...\Run: [EZBlocker] => "C:\Users\Jules\Downloads\EZBlocker (1).exe"Startup: C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Resanance.lnk [2018-11-07]ShortcutTarget: Resanance.lnk -> C:\Program Files\Resanance\Resanance.exe (Pas de fichier)2019-03-18 14:50 - 2015-09-08 05:51 - 000000000 ___DC C:\Users\Jules\AppData\Roaming\ZHP HKLM-x32\...\Run: [AvastUI.exe] => C:\Program Files\AVAST Software\Avast\AvLaunch.exe /gui2019-03-10 17:08 - 2019-03-10 17:37 - 000000000 ____D C:\ProgramData\AVAST Software 2019-03-18 14:30 - 2018-10-20 12:25 - 000000913 ____C C:\Users\Jules\Desktop\ZHPCleaner.lnkHosts:EmptyTemp:RemoveProxy:Reboot:End

Enregistre le contenu par le menu fichier puis enregistrer.

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.


2°) ESET NOD32 
Fais un scan en ligne avec NOD32 puis enregistre le rapport. Envoie le sur https://pjjoint.malekal.com/ et donne le lien ici.

Jules_19 · Answer

Le contenu de fixlog : 
Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 17.03.2019
Exécuté par Jules (18-03-2019 19:11:05) Run:3
Exécuté depuis C:\Users\Jules\Desktop
Profils chargés: Jules (Profils disponibles: Jules & 7Evi9ZbSPH)
Mode d'amorçage: Normal
==============================================

fixlist contenu:


Start
CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-3472163067-580077145-3329286618-1000\...\Run: [EZBlocker] => "C:\Users\Jules\Downloads\EZBlocker (1).exe"
Startup: C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Resanance.lnk [2018-11-07]
ShortcutTarget: Resanance.lnk -> C:\Program Files\Resanance\Resanance.exe (Pas de fichier)
2019-03-18 14:50 - 2015-09-08 05:51 - 000000000 ___DC C:\Users\Jules\AppData\Roaming\ZHP
HKLM-x32\...\Run: [AvastUI.exe] => C:\Program Files\AVAST Software\Avast\AvLaunch.exe /gui
2019-03-10 17:08 - 2019-03-10 17:37 - 000000000 ____D C:\ProgramData\AVAST Software 
2019-03-18 14:30 - 2018-10-20 12:25 - 000000913 ____C C:\Users\Jules\Desktop\ZHPCleaner.lnk
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End



Processus fermé avec succès.
Le Point de restauration a été créé avec succès.
"HKU\S-1-5-21-3472163067-580077145-3329286618-1000\Software\Microsoft\Windows\CurrentVersion\Run\EZBlocker" => supprimé(es) avec succès
C:\Users\Jules\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Resanance.lnk => déplacé(es) avec succès
"C:\Program Files\Resanance\Resanance.exe" => non trouvé(e)
C:\Users\Jules\AppData\Roaming\ZHP => déplacé(es) avec succès
"HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\AvastUI.exe" => supprimé(es) avec succès
C:\ProgramData\AVAST Software => déplacé(es) avec succès
C:\Users\Jules\Desktop\ZHPCleaner.lnk => déplacé(es) avec succès
C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.

========= RemoveProxy: =========

"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-3472163067-580077145-3329286618-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-3472163067-580077145-3329286618-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

BITS transfer queue => 18898944 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 11751641 B
Java, Flash, Steam htmlcache => 20749567 B
Windows/system/drivers => 29662 B
Edge => 4096 B
Chrome => 347684106 B
Firefox => 0 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Users => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 0 B
LocalService => 0 B
NetworkService => 1716 B
NetworkService => 0 B
Jules => 723597 B
7Evi9ZbSPH => 0 B

RecycleBin => 0 B
EmptyTemp: => 381.3 MB données temporaires supprimées.

================================


Le système a dû redémarrer.
 Fin de Fixlog 19:11:29 
Le scan NOD32 prend plus de temps , je le posterai après

Jules_19 · Answer

Et voila le rapport du scan NOD32 : https://pjjoint.malekal.com/files.php?id=20190318_w7k6z9i6o7

Malekal_morte- · Answer

ok je pense que c'est bon.
Change tous tes mots de passe car ils ont pu être volés.



Supprime le dossier C:\FRST


Termine par un nettoyage MBAM :

 Télécharger Malwarebytes  
 Tutoriel Malwarebytes Anti-Malware version gratuite
Evite les analyses et nettoyages réguliers ZHPCleaner, AdwCleaner, pas utile.

Quelques conseils : 

Pour ne plus te faire avoir. 
A lire - Programmes parasites / PUPs : Dossier Adwares/PUPs : programmes indésirables et parasites

Jules_19 · Answer

Ok , merci beaucoup pour votre aide et vos conseils , bonne soirée