Ordinateur sous controle d'un kracker

Triol -  
Destrio5 Messages postés 99820 Date d'inscription   Statut Modérateur Dernière intervention   -
Bonjour,

J'ai un ami qui voit son ordinateur sous l'influence d'une personne qui en a pris le contrôle, elle parle à sa place, agit à sa place, et lui ne peut plus rien faire (dans le cadre d'un MMORPG).. Et nous aimerions savoir comment assainir son système et éviter que cela se reproduise.

Merci d'avance
Configuration: Windows Vista
Internet Explorer 7.0

5 réponses

  1.
    Destrio5 Messages postés 99820 Date d'inscription   Statut Modérateur Dernière intervention   10 324
     
    Salut,

    - Télécharge HijackThis V 2.02 (HijackThis Installer) :
    http://www.trendsecure.com/portal/en-US/threat_analytics/HJTInstall.exe

    - Fais un double-clic sur HJTInstall.exe afin de lancer l'installation

    - Clique sur Install ensuite sur I Accept

    - Clique sur Do a scan system and save log file

    - Le bloc-notes s'ouvrira, fais un copier-coller de tout son contenu ici dans ta prochaine réponse.
    0
    1. Triol
       
      Merci de ta diligence destrio,

      voilà le rapport :

      Logfile of Trend Micro HijackThis v2.0.2
      Scan saved at 22:49:12, on 6/07/2008
      Platform: Windows Vista (WinNT 6.00.1904)
      MSIE: Internet Explorer v7.00 (7.00.6000.16386)
      Boot mode: Normal

      Running processes:
      D:\Windows\system32\taskeng.exe
      D:\Windows\system32\Dwm.exe
      D:\Windows\Explorer.EXE
      D:\Program Files\Windows Defender\MSASCui.exe
      D:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
      D:\Program Files\Thomson\ST330\diagnostics\diagnostics.exe
      D:\Program Files\Windows Sidebar\sidebar.exe
      D:\Program Files\Windows Live\Messenger\msnmsgr.exe
      D:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
      D:\Program Files\Windows Media Player\wmpnscfg.exe
      D:\Windows\system32\wuauclt.exe
      D:\Windows\system32\taskeng.exe
      D:\Program Files\Dofus\dofus.dll
      D:\Program Files\Mozilla Firefox\firefox.exe
      D:\Windows\system32\SearchFilterHost.exe
      D:\Program Files\Trend Micro\HijackThis\HijackThis.exe

      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/nl-be?checklang=1
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = ht
      0
      1. Triol > Triol
         
        désolé, voilà le rapport complet :

        Logfile of Trend Micro HijackThis v2.0.2
        Scan saved at 22:49:12, on 6/07/2008
        Platform: Windows Vista (WinNT 6.00.1904)
        MSIE: Internet Explorer v7.00 (7.00.6000.16386)
        Boot mode: Normal

        Running processes:
        D:\Windows\system32\taskeng.exe
        D:\Windows\system32\Dwm.exe
        D:\Windows\Explorer.EXE
        D:\Program Files\Windows Defender\MSASCui.exe
        D:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
        D:\Program Files\Thomson\ST330\diagnostics\diagnostics.exe
        D:\Program Files\Windows Sidebar\sidebar.exe
        D:\Program Files\Windows Live\Messenger\msnmsgr.exe
        D:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
        D:\Program Files\Windows Media Player\wmpnscfg.exe
        D:\Windows\system32\wuauclt.exe
        D:\Windows\system32\taskeng.exe
        D:\Program Files\Dofus\dofus.dll
        D:\Program Files\Mozilla Firefox\firefox.exe
        D:\Windows\system32\SearchFilterHost.exe
        D:\Program Files\Trend Micro\HijackThis\HijackThis.exe
        R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/nl-be?checklang=1
        R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
        R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
        R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
        R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
        R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
        R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
        R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolder me =
        R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - D:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
        O1 - Hosts: ::1 localhost
        O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - D:\Program Files\Yahoo!\Companion\Installs\cpn\yt.d
        pierre dit :
        O4 - HKCU\..\Run: [Sidebar] D:\Program Files\Windows Sidebar\sidebar.exe /autoRun
        O4 - HKCU\..\Run: [MsnMsgr] "D:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
        O4 - HKCU\..\Run: [swg] D:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
        O4 - HKCU\..\Run: [ccleaner] "D:\Program Files\CCleaner\ccleaner.exe" /AUTO
        O4 - HKCU\..\Run: [{9B71D88C-C598-4935-C5D1-43AA4DB90836}] D:\Users\Klem\AppData\Roaming\Bifrost\server.exe
        O4 - HKCU\..\Run: [WMPNSCFG] D:\Program Files\Windows Media Player\WMPNSCFG.exe
        O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
        O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
        O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
        O4 - Startup: Ubisoft register.lnk = D:\Program Files\Ubisoft\Register\schedule.exe
        O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
        O9 - Extra button: Statistiques d’Anti-Virus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
        O13 - Gopher Prefix:
        O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
        O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-BE/a-UNO1/GAME_UNO1.cab
        O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://messenger.zone.msn.com/binary/ZIntro.cab56649.cab
        O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
        O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab
        O20 - AppInit_DLLs: D:\PROGRA~1\KASPER~1\KASPER~1.0\r3hook.dll
        O23 - Service: Apple Mobile Device - Apple, Inc. - D:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
        O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Kaspersky Lab - D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
        O23 - Service: Google Updater Service (gusvc) - Google - D:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
        O23 - Service: NBService - Nero AG - D:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
        O23 - Service: PnkBstrA - Unknown owner - D:\Windows\system32\PnkBstrA.exe
        O23 - Service: SpeedTouch 330 Manager (st330service) - THOMSON Telecom Belgium - D:\Program Files/Thomson/ST330/service/st330service.exe
        O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - D:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
        0
  2. Destrio5 Messages postés 99820 Date d'inscription   Statut Modérateur Dernière intervention   10 324
     
    ---> Télécharge OTMoveIt2 à partir du lien ci-dessous :
    http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe

    ---> Enregistre le fichier sur le Bureau.

    ---> Double-clique sur le fichier OTMoveIt2.exe pour lancer l'outil.
    Assure-toi que la case Unregister Dll's and Ocx's soit bien cochée.

    ---> Copie l'intégralité du texte ci-dessous et colle-le dans la fenêtre intitulée Paste Standard List of Files/Folders to be moved.

    D:\Users\Klem\AppData\Roaming\Bifrost\

    ---> Clique sur MoveIt! pour lancer la suppression.
    Lorsqu'un résultat apparaît dans le cadre Results, clique sur Exit.

    Note : Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer. Accepte en cliquant sur YES.

    ---> Poste le rapport de OTMoveIt qui se trouve dans C:\_OTMoveIt\MovedFiles.
    0
    1. Triol
       
      Quand mon ami lance OTmoveit, il a ce message d'erreur :


      invalide time flag ! [ ]
      must de numerical.
      0
  3. Destrio5 Messages postés 99820 Date d'inscription   Statut Modérateur Dernière intervention   10 324
     
    Fais ceci alors :

    - Télécharge et installe MalwareByte's Anti-Malware :
    http://www.download.com/Malwarebytes-Anti-Malware/3000-8022_4-10804572.htm

    - Mets-le à jour

    - Redémarre en mode sans échec (Recommandé) :
    https://www.malekal.com/demarrer-windows-mode-sans-echec/

    - Choisis ta session habituelle

    - Fais un scan complet avec MalwareByte's Anti-Malware

    - Supprime tout ce que le logiciel trouve, enregistre le rapport

    - Redémarre en mode normal et poste le rapport ici

    Tutorial :
    https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
    0
    1. Triol
       
      On va faire ça tout de suite, merci encore de ton aide destrio :)
      0
      1. Triol > Triol
         
        Voici le rapport :

        reglage utilisteur
        HKEY_USERS\S-1-5-21-2275461047-650102025-3689458235-1000\SOSTWARE\BISROST
        RAPPORT ERREUR APRES ANALYSE
        MODE SS ECHEC
        0
  4. Destrio5 Messages postés 99820 Date d'inscription   Statut Modérateur Dernière intervention   10 324
     
    Il a repéré ce que j'avais repéré.

    Refais la manip' avec OTMoveIt2 mais en mode sans échec.
    0
    1. Triol
       
      rapport de OTmoveit :


      D:\Users\Klem\AppData\Roaming\Bifrost moved successfully.

      OTMoveIt2 by OldTimer - Version 1.0.4.3 log created on 07072008_002040
      0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  6. Destrio5 Messages postés 99820 Date d'inscription   Statut Modérateur Dernière intervention   10 324
     
    Tu peux relancer le scan de MAM.
    0