Keyloger accents ^^ et trémas ~~ en double
Résolu/Fermé
Nicosprint
Messages postés
9
Date d'inscription
lundi 16 juillet 2007
Statut
Membre
Dernière intervention
18 juin 2008
-
4 avril 2008 à 08:29
YS - 26 juin 2008 à 10:07
YS - 26 juin 2008 à 10:07
A voir également:
- Keyloger accents ^^ et trémas ~~ en double
- Double ecran - Guide
- Whatsapp double sim - Guide
- Double appel - Guide
- Double authentification google - Guide
- Double boot - Guide
4 réponses
Nicosprint
Messages postés
9
Date d'inscription
lundi 16 juillet 2007
Statut
Membre
Dernière intervention
18 juin 2008
4 avril 2008 à 16:16
4 avril 2008 à 16:16
En fait le problème de double tréma et double accent circonflexe est connu et fréquent (il suffit de taper double accent circonflexe dans un moteur pour le voir) et non ce n'est pas un problème de config du clavier.
Si quelqu'un sait quoi faire....
Si quelqu'un sait quoi faire....
Nicosprint
Messages postés
9
Date d'inscription
lundi 16 juillet 2007
Statut
Membre
Dernière intervention
18 juin 2008
4 avril 2008 à 19:09
4 avril 2008 à 19:09
J'ai essayé d'autres antispyware et SDfix sans succès mais par contre j'ai trouvé grâce à un détecteur de keylogger un fichier sur mon ordi qui est dans le répertoire C:\Documents and Settings\Nico\Local Settings\Application Data\Microsoft\Windows Update\keystrokes.html et qui note tout ce que j'écris au clavier.
En plus de ça il y a un dossier C:\Documents and Settings\Nico\Local Settings\Application Data\Microsoft\Windows Update\icons qui pèse 45Mo et qui contient 54000 fichier PNG qui sont une copie d'un morceau d'écran pour chacun de mes clics depuis le 6 mars !!! il y a également des fichiers "sent" dans C:\Documents and Settings\Nico\Local Settings\Application Data\Microsoft\Windows Update\sent.
Tout ce que j'ai tapé depuis cette date plus des milliers de copies d'écran a été envoyé plusieurs fois par jour à "cocolito at gmail.com"... enfin je crois j'ai ça dans les documents sent :
MIME-Version: 1.0
Date: Wed, 20 Feb 2008 03:55:15 +0100
Content-Type: multipart/related;
boundary="-----_chilkat_f26_4152_36e24af8.b1f1ee69_.REL"
Subject: 146 Reg 0.20 Win XP Pro Service Pack 2 (B 2600) NICO Nico
From: "NICO Nico" <cocolitio@gmail.com>
Return-Path: cocolitio@gmail.com
This is a multi-part message in MIME format.
-------_chilkat_f26_4152_36e24af8.b1f1ee69_.REL
Content-Type: text/html;
charset="utf-8"
Content-Transfer-Encoding: base64
Le jour ou j'ai été infecté je téléchargeais apparemment GTA MTA. Je viens de désinstaller MTA et seulement après l'avoir fait j'ai pu supprimer keystrokes.html...
Mes questions sont : est-ce que c'est normal ? et si vous pensez que oui vous avez intérêt à argumenter !!!
Ensuite est ce que vous pensez que cocolito at gmail est bien un hacker ? Dois je lui pourrir son adresse et/ou le dénoncer à gmail ou alors je lis mal les fichiers sent et cocolito n'a rien a voir la dedans ?
En tout cas depuis :ô ê â î !!!!!!! Mais quand même j'ai passé au moins cinq heures à résoudre ce problème !!!
Moralité les antivirus et les antispywares c'est un peu des passoires, ils te trouvent fièrement des cookies mais les trojans y'a plus personne !!! Et merci au programme KL-Detector sans qui ce grand bonheur n'aurait été possible !
En plus de ça il y a un dossier C:\Documents and Settings\Nico\Local Settings\Application Data\Microsoft\Windows Update\icons qui pèse 45Mo et qui contient 54000 fichier PNG qui sont une copie d'un morceau d'écran pour chacun de mes clics depuis le 6 mars !!! il y a également des fichiers "sent" dans C:\Documents and Settings\Nico\Local Settings\Application Data\Microsoft\Windows Update\sent.
Tout ce que j'ai tapé depuis cette date plus des milliers de copies d'écran a été envoyé plusieurs fois par jour à "cocolito at gmail.com"... enfin je crois j'ai ça dans les documents sent :
MIME-Version: 1.0
Date: Wed, 20 Feb 2008 03:55:15 +0100
Content-Type: multipart/related;
boundary="-----_chilkat_f26_4152_36e24af8.b1f1ee69_.REL"
Subject: 146 Reg 0.20 Win XP Pro Service Pack 2 (B 2600) NICO Nico
From: "NICO Nico" <cocolitio@gmail.com>
Return-Path: cocolitio@gmail.com
This is a multi-part message in MIME format.
-------_chilkat_f26_4152_36e24af8.b1f1ee69_.REL
Content-Type: text/html;
charset="utf-8"
Content-Transfer-Encoding: base64
Le jour ou j'ai été infecté je téléchargeais apparemment GTA MTA. Je viens de désinstaller MTA et seulement après l'avoir fait j'ai pu supprimer keystrokes.html...
Mes questions sont : est-ce que c'est normal ? et si vous pensez que oui vous avez intérêt à argumenter !!!
Ensuite est ce que vous pensez que cocolito at gmail est bien un hacker ? Dois je lui pourrir son adresse et/ou le dénoncer à gmail ou alors je lis mal les fichiers sent et cocolito n'a rien a voir la dedans ?
En tout cas depuis :ô ê â î !!!!!!! Mais quand même j'ai passé au moins cinq heures à résoudre ce problème !!!
Moralité les antivirus et les antispywares c'est un peu des passoires, ils te trouvent fièrement des cookies mais les trojans y'a plus personne !!! Et merci au programme KL-Detector sans qui ce grand bonheur n'aurait été possible !
Ton message m'a mis la puce à l'oreille sur une infection du même genre que j'ai subi il y a qqs jours. En voyant ce type de comportement avec les accents et surtout des périodes de latence sur le PC, je me suis mis à chercher ce qui pouvait me ralentir ainsi. J'ai vite localisé le fichier services.exe dans le répertoire "Windows Update" que tu as cité mais je l'ai juste désactivé en me disant que je vérifierai plus tard si c'était bien un programme malin.
Je me suis repenché sur la question en voyant ton post et j'ai effectivement trouvé les copies d'écran et des fichiers eml (contenu de mail) qui le cheval de Troie a essayé d'envoyer à cocolito. Le programme utilise une API standrad pour logger ses erreurs (lol!) : ChilkatLog. Du coup, en examinant les erreurs logguées dans le fichier errorlog.dat, je suis tombé sur tout un tas d'URL qu'il avait tenté de connecter :
http://cocoazul.blogspot.com
http://yo.xxuz.com/123/0.21
http://cocolitio.blogspot.com
http://choccos.blogspot.com
http://chobbo.blogspot.com
http://gossu.blogspot.com
http://advertasing.blogspot.com
et bien entendu le serveur SMTP de gmail avec son username !!
En fait, il utilise ces sites de blog pour récupérer les coordonnées de son compte mail. Chez moi, c'était coco016 sur gmail. Si on regarde le profil du "bloggueur", on trouve son username, son password et ce qui doit être un proxy utilisé pour anonymiser sa connexion au SMTP. Du coup, j'ai pris la main sur ce compte mail et j'en ai changé le mot de passe.
Le compte en question contient plus de 30000 messages envoyés dans les 3 derniers jours ! On trouve de tout dans ces messages dont bien entendu des coordonnées bancaires et autres informations ultra confidentielles. Le mec a accès à la vie de milliers de gens !! Malheureusement, mon cheval de Troie et le tien envoient leurs mails sur cocolito et non sur coco06... je suppose donc qu'il existe plusieurs configurations possibles et plusieurs comptes mail utilisés.
Si vous trouvez ce cheval de Troie chez vous, veuillez suivre le même cheminement pour prendre le contrôle d'éventuels autres comptes mail. J'ai déclaré ces agissements dans un rapport de cyber criminalité. Je serai sans doute amené à porter plainte contre X pour ces agissements.
Bon courage !
Je me suis repenché sur la question en voyant ton post et j'ai effectivement trouvé les copies d'écran et des fichiers eml (contenu de mail) qui le cheval de Troie a essayé d'envoyer à cocolito. Le programme utilise une API standrad pour logger ses erreurs (lol!) : ChilkatLog. Du coup, en examinant les erreurs logguées dans le fichier errorlog.dat, je suis tombé sur tout un tas d'URL qu'il avait tenté de connecter :
http://cocoazul.blogspot.com
http://yo.xxuz.com/123/0.21
http://cocolitio.blogspot.com
http://choccos.blogspot.com
http://chobbo.blogspot.com
http://gossu.blogspot.com
http://advertasing.blogspot.com
et bien entendu le serveur SMTP de gmail avec son username !!
En fait, il utilise ces sites de blog pour récupérer les coordonnées de son compte mail. Chez moi, c'était coco016 sur gmail. Si on regarde le profil du "bloggueur", on trouve son username, son password et ce qui doit être un proxy utilisé pour anonymiser sa connexion au SMTP. Du coup, j'ai pris la main sur ce compte mail et j'en ai changé le mot de passe.
Le compte en question contient plus de 30000 messages envoyés dans les 3 derniers jours ! On trouve de tout dans ces messages dont bien entendu des coordonnées bancaires et autres informations ultra confidentielles. Le mec a accès à la vie de milliers de gens !! Malheureusement, mon cheval de Troie et le tien envoient leurs mails sur cocolito et non sur coco06... je suppose donc qu'il existe plusieurs configurations possibles et plusieurs comptes mail utilisés.
Si vous trouvez ce cheval de Troie chez vous, veuillez suivre le même cheminement pour prendre le contrôle d'éventuels autres comptes mail. J'ai déclaré ces agissements dans un rapport de cyber criminalité. Je serai sans doute amené à porter plainte contre X pour ces agissements.
Bon courage !
Nicosprint
Messages postés
9
Date d'inscription
lundi 16 juillet 2007
Statut
Membre
Dernière intervention
18 juin 2008
>
YS
18 juin 2008 à 18:03
18 juin 2008 à 18:03
Superbe, magnifique, bravo !
C'est un immense plaisir d'apprendre que cette petite pourriture s'est fait griller une adresse mail !
Je n'ai pas (ou plus) de fichier chilkat (peut-être supprimé depuis) mais il restait dans ma corbeille le errorlog.dat.
En voici quelques extraits qui pourraient éventuellement êtres utiles à un utilisateur plus balaise que moi en info.
url: http://chobbo.blogspot.com/rss.xml
httpServer: chobbo.blogspot.com
url: http://yo.xxuz.com/123/0.21
httpServer: yo.xxuz.com
url: http://cocolitio.blogspot.com/rss.xml
httpServer: cocolitio.blogspot.com
url: https://tunnel.ru/adv.xml
httpServer: www.tunnel.ru
url: http://advertasing.blogspot.com/
httpServer: advertasing.blogspot.com
url: http://gossu.blogspot.com/rss.xml
httpServer: gossu.blogspot.com hostname: gossu.blogspot.com
12/03/2008 14:16:37 SendEmail():
ChilkatLog:
SendEmail:
DllDate: Jun 20 2007
SMTP_Connect:
Connecting to SMTP server smtp.gmail.com:465
smtp_host: smtp.gmail.com
smtp_port: 465
smtp_user: coco012
trying_auth_method: LOGIN
DNS timed out.
Cannot get host by name.
hostname: smtp.gmail.com
Failed to connect to secure SMTP (1)
Failed to connect to SMTP server.
(.\mail.cpp : 113)
05/04/2008 03:41:51 CreateFile (.\filemanager.cpp : 459) LE: 80 Le fichier existe.
05/04/2008 03:41:51 writefileondisk() (.\mouse.cpp : 58)
05/04/2008 03:41:51 addicon (.\mouse.cpp : 92)
Donc il y a l'adresse www.tunnel.ru à rajouter dans la liste et aussi l'adresse email coco012@gmail.com.
Je n'ai pas compris malheureusement comment trouver son mot de passe avec son profil de blogger, mais si quelqu'un sait le faire ça lui fera une adresse en moins...
Bravo, bravo, bravo !!!
C'est un immense plaisir d'apprendre que cette petite pourriture s'est fait griller une adresse mail !
Je n'ai pas (ou plus) de fichier chilkat (peut-être supprimé depuis) mais il restait dans ma corbeille le errorlog.dat.
En voici quelques extraits qui pourraient éventuellement êtres utiles à un utilisateur plus balaise que moi en info.
url: http://chobbo.blogspot.com/rss.xml
httpServer: chobbo.blogspot.com
url: http://yo.xxuz.com/123/0.21
httpServer: yo.xxuz.com
url: http://cocolitio.blogspot.com/rss.xml
httpServer: cocolitio.blogspot.com
url: https://tunnel.ru/adv.xml
httpServer: www.tunnel.ru
url: http://advertasing.blogspot.com/
httpServer: advertasing.blogspot.com
url: http://gossu.blogspot.com/rss.xml
httpServer: gossu.blogspot.com hostname: gossu.blogspot.com
12/03/2008 14:16:37 SendEmail():
ChilkatLog:
SendEmail:
DllDate: Jun 20 2007
SMTP_Connect:
Connecting to SMTP server smtp.gmail.com:465
smtp_host: smtp.gmail.com
smtp_port: 465
smtp_user: coco012
trying_auth_method: LOGIN
DNS timed out.
Cannot get host by name.
hostname: smtp.gmail.com
Failed to connect to secure SMTP (1)
Failed to connect to SMTP server.
(.\mail.cpp : 113)
05/04/2008 03:41:51 CreateFile (.\filemanager.cpp : 459) LE: 80 Le fichier existe.
05/04/2008 03:41:51 writefileondisk() (.\mouse.cpp : 58)
05/04/2008 03:41:51 addicon (.\mouse.cpp : 92)
Donc il y a l'adresse www.tunnel.ru à rajouter dans la liste et aussi l'adresse email coco012@gmail.com.
Je n'ai pas compris malheureusement comment trouver son mot de passe avec son profil de blogger, mais si quelqu'un sait le faire ça lui fera une adresse en moins...
Bravo, bravo, bravo !!!
Nicosprint
Messages postés
9
Date d'inscription
lundi 16 juillet 2007
Statut
Membre
Dernière intervention
18 juin 2008
18 juin 2008 à 19:19
18 juin 2008 à 19:19
J'ai trouvé un autre nouveau copain de Cocolito en cherchant sur le forum : http://www.commentcamarche.net/forum/affich 6481333 probleme accent circonflexe#11
Le compte coco012 at gmail.com était certainement utilisé avant le coco016 dont j'ai pris le contrôle. Les adresses de blog référencées sont les mêmes que celles que j'ai utilisées.
Depuis mon intervention, le hacker a créé un nouveau compte johnvonrambojunior AT gmail.com. Ce compte est utilisé par le programme pour envoyer les mails et j'en ai tout de suite pris le contrôle (il a tout de même eu le temps d'envoyer qqs centaines de mails avec ce nouveau compte). Il a aussi changé le compte de réception johnconnorjunior@gmail.com .
La seule solution définitive serait de prendre le contrôle de la source du problème : le profile de blogger utilisé par http://cocolitio.blogspot.com et tous les autres blogs référencés ci-dessus. Malheureusement, nous n'avons pas le mot de passe pour ce blog.
A suivre !
Depuis mon intervention, le hacker a créé un nouveau compte johnvonrambojunior AT gmail.com. Ce compte est utilisé par le programme pour envoyer les mails et j'en ai tout de suite pris le contrôle (il a tout de même eu le temps d'envoyer qqs centaines de mails avec ce nouveau compte). Il a aussi changé le compte de réception johnconnorjunior@gmail.com .
La seule solution définitive serait de prendre le contrôle de la source du problème : le profile de blogger utilisé par http://cocolitio.blogspot.com et tous les autres blogs référencés ci-dessus. Malheureusement, nous n'avons pas le mot de passe pour ce blog.
A suivre !
