Espion

Résolu
Citimex -  
Bonsoir,

Je me suis fait avoir par un site malveillant ou dans le quel il me demandais de mettre a jour adobe flash pour lire une vidéo . Une fois cela fait la vidéo restait illisible et donc j ai laisser tomber.

Par ailleurs, j ai constater des des intrusions sur certain jeu internet qui avais rapport avec la vidéo .

J'ai donc fait une analyse de mon pc ainsi qu une analyse d un amis a moi qui a réaliser la même manipulation que moi .
Voici le résulta des deux analyse :
https://pjjoint.malekal.com/files.php?read=ZHPDiag_20130215_j10c14w7o11v12

J aurais donc besoin de votre aide pour crypter se qu'il est dit dans cette analyse merci d'avance!

23 réponses

Résumé de la discussion

Une infection est décrite après avoir été invité à mettre à jour un plugin via un site malveillant pour lire une vidéo, avec des intrusions liées à des jeux en ligne. Plusieurs analyses ont été réalisées, dont ZHPDiag et des outils comme AdwCleaner et Malwarebytes, révélant des adware, des PUP et des traces de malwares telles qu'un fichier de type keygen. Des réponses recommandent des actions concrètes, notamment la suppression des outils parasites, un nettoyage via AdwCleaner et Malwarebytes, puis des vérifications de protections et une éventuelle réinstallation en cas de persistance. En cas de doute, des échanges conseillent d'examiner les connexions via proxy ou VPN et de surveiller les rapports de sécurité récents pour confirmer l'étendue de l'infection.

Bobot (l’IA à votre service)
  1. yoann090 Contributeur sécurité
    De rien.

    Poste plutôt une nouvelle question dans la section jeux videos ou si c'est vraiment un problème de compatibilité dans logiciels ou windows je sais pas trop.
    1. Citimex
      ok me semblais bien et bien je te remercie en tout les cas merci d avoir consacrée du temps a mon problème ,Je suis déjà plus rassuré !
      J'ai encore un problème avec la compatibilité d un jeu hors réseau mais je ne vais encore user de ton temps et de ta patience en core et encore un tout grand merci !
      1. yoann090 Contributeur sécurité
        A non du tout, soit il est infecté depuis le départ, soit il l'est pas mais pas en cours de route.
        1. Citimex Auteur
          L'office je l avais depuis que j ai eu mon pc mais il se peu quil se soit fait infectée en coure de route c'est bien ça?
          2. yoann090 Contributeur sécurité
            Tu fais comme tu veux, après je t'ai prévenu des dangers.
            1. Citimex Auteur
              Grand merci à vous pour votre aide . Je pense que j 'ai eu de la chance de tomber sur quelqu'un qui métrite la chose !

              J'aimerais juste savoir si je peux réinstaller office? Et si selon vous le risque est faible pour qu'il reste des trace de fichier infecter sur cette ordinateur?

              Encore un grand merci en tout cas pour l aide et la patience !
              1. yoann090 Contributeur sécurité
                Ok ben si tu as pas d'autres questions pour moi c'est bon.
                1. Citimex Auteur
                  Hop

                  # DelFix v10.0 - Rapport créé le 16/02/2013 à 22:12:08
                  # Mis à jour le 04/01/2013 par Xplode
                  # Nom d'utilisateur : DORIAN - DORIAN-PC

                  ~ Suppression des outils de désinfection ...

                  Supprimé : C:\ZHP
                  Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZHP
                  Supprimé : C:\Program Files (x86)\ZHPDiag
                  Supprimé : C:\AdwCleaner[S1].txt
                  Supprimé : C:\Users\DORIAN\Desktop\ZHPDiag nouveau
                  Supprimé : C:\Users\DORIAN\Desktop\ZHPDiag nouveau 2
                  Supprimé : C:\Users\DORIAN\Desktop\ZHPDiag.txt
                  Supprimé : C:\Users\DORIAN\Desktop\ZHPFixReport.txt
                  Supprimé : C:\Users\Public\Desktop\MBRCheck.lnk
                  Supprimé : C:\Users\Public\Desktop\ZHPDiag.lnk
                  Supprimé : C:\Users\Public\Desktop\ZHPFix.lnk
                  Supprimé : C:\Users\DORIAN\Downloads\adwcleaner0 (1).exe
                  Supprimé : C:\Users\DORIAN\Downloads\adwcleaner0.exe
                  Supprimé : C:\Users\DORIAN\Downloads\ZHPDiag2.exe
                  Supprimée : HKLM\SOFTWARE\AdwCleaner
                  Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1

                  ########## - EOF - ##########
                  1. yoann090 Contributeur sécurité
                    Bien, on désinstalle les outils de désinfection :

                    * Télécharge DelFix(d'Xplode) sur ton bureau.
                    * Lance le, laisse la case précochée
                    * Clique ensuite sur Exécuter puis patiente pendant le processus de suppression.
                    * Le rapport sera enregistré dans le presse-papier. Il te suffit de revenir ici et de faire Clic droit coller, le rapport apparaitra.
                    1. Citimex Auteur
                      Voila le rapport

                      Rapport de ZHPFix 1.3.16 par Nicolas Coolman, Update du 15/02/2013
                      Fichier d'export Registre :
                      Run by DORIAN at 16/02/2013 21:23:54
                      High Elevated Privileges : OK
                      Windows 7 Home Premium Edition, 64-bit Service Pack 1 (Build 7601)

                      Corbeille vidée

                      ========== Processus mémoire ==========
                      SUPPRIME Memory Process: C:\Windows\AutoKMS.exe

                      ========== Clé(s) du Registre ==========
                      SUPPRIME Key: HKCU\Software\DM
                      SUPPRIME Key: SearchScopes :{6C830890-4E63-42FA-9CDC-FF1D04FE73A2}

                      ========== Valeur(s) du Registre ==========
                      SUPPRIME RunValue: install_adobe (1).exe
                      SUPPRIME RunValue: install_adobe.exe
                      ABSENT RunValue: install_adobe (1).exe
                      ABSENT RunValue: install_adobe.exe
                      ABSENT Valeur Standard Profile: FirewallRaz :
                      ABSENT Valeur Domain Profile: FirewallRaz :
                      SUPPRIME FirewallRaz (Domain) : NetPres-In-TCP-NoScope
                      SUPPRIME FirewallRaz (Domain) : NetPres-Out-TCP-NoScope
                      SUPPRIME FirewallRaz (None) : NetPres-WSD-In-UDP
                      SUPPRIME FirewallRaz (None) : NetPres-WSD-Out-UDP
                      SUPPRIME FirewallRaz (Public) : NetPres-In-TCP
                      SUPPRIME FirewallRaz (Public) : NetPres-Out-TCP
                      SUPPRIME FirewallRaz (None) : {86D76801-39D9-4608-B5E1-95BAB60ACF3B}
                      SUPPRIME FirewallRaz (Private) : {B804FD0F-8E80-42E2-B5DF-79011D101531}
                      SUPPRIME FirewallRaz (Private) : {684C00D7-E427-499D-AE40-DD02AE12BB04}
                      SUPPRIME FirewallRaz (Private) : TCP Query User{F61E3C18-83C3-4A89-9B51-7844100AB4D0}C:\windows\keygen.exe
                      SUPPRIME FirewallRaz (Private) : UDP Query User{DEDB7006-2B10-4AF8-990D-8DDD9B4AF70C}C:\windows\keygen.exe
                      SUPPRIME FirewallRaz (Private) : {25D87EC2-40FD-4DD9-BBC3-47EAE670BC21}
                      SUPPRIME FirewallRaz (Private) : {B433662B-5327-4E9E-9FCB-213F23CC84C8}

                      ========== Préférences navigateur ==========
                      PRESENT Chrome File: C:\Users\DORIAN\AppData\Local\Google\Chrome\User Data\Default\Preferences
                      SUPPRIME Chrome Site: http://searchfunmoods.com
                      SUPPRIME Chrome Site: http://searchfunmoods.com

                      ========== Dossier(s) ==========
                      Aucun dossiers CLSID Local utilisateur vide

                      ========== Fichier(s) ==========
                      ABSENT File: c:\users\dorian\downloads\install_adobe (1).exe
                      ABSENT File: c:\users\dorian\downloads\install_adobe.exe
                      SUPPRIME File: c:\windows\autokms.exe
                      ABSENT Folder/File: c:\windows\autokms.exe
                      SUPPRIME Temporaires Windows

                      ========== Tache planifiée ==========
                      SUPPRIME Task: Funmoods
                      SUPPRIME Task: AutoKMS

                      ========== Restauration Système ==========
                      Point de restauration du système créé avec succès

                      ========== Récapitulatif ==========
                      1 : Processus mémoire
                      2 : Clé(s) du Registre
                      19 : Valeur(s) du Registre
                      1 : Dossier(s)
                      5 : Fichier(s)
                      3 : Préférences navigateur
                      2 : Tache planifiée
                      1 : Restauration Système

                      End of clean in 00mn 49s

                      ========== Chemin de fichier rapport ==========
                      C:\ZHP\ZHPFix[R1].txt - 16/02/2013 21:23:56 [2759]
                      2. yoann090 Contributeur sécurité
                        ok,

                        Copie le texte en gras ci dessous :

                        SysRestore
                        [MD5.00000000000000000000000000000000] [APT] [Funmoods] (...) -- C:\Users\DORIAN\AppData\Roaming\Funmoods\UPDATE~1\UPDATE~1.exe (.not file.) => Infection PUP (PUP.Funmoods)
                        [HKCU\Software\DM] => Infection PUP (PUP.BearShare)
                        O69 - SBI: SearchScopes [HKCU] {6C830890-4E63-42FA-9CDC-FF1D04FE73A2} - (Web Search) - http://search.conduit.com => Infection BT (Adware.Bandoo)
                        C:\Users\DORIAN\AppData\Local\Google\Chrome\User Data\Default\Extensions\halffneccaebicfdfajnbfgpglahfgoe => Infection PUP (Adware.VidSaver)
                        O4 - HKCU\..\Run: [install_adobe (1).exe] C:\Users\DORIAN\Downloads\install_adobe (1).exe (.not file.)
                        O4 - HKCU\..\Run: [install_adobe.exe] C:\Users\DORIAN\Downloads\install_adobe.exe (.not file.)
                        O4 - HKUS\S-1-5-21-320479419-1394262641-2802916717-1000\..\Run: [install_adobe (1).exe] C:\Users\DORIAN\Downloads\install_adobe (1).exe (.not file.)
                        O4 - HKUS\S-1-5-21-320479419-1394262641-2802916717-1000\..\Run: [install_adobe.exe] C:\Users\DORIAN\Downloads\install_adobe.exe (.not file.)
                        C:\Windows\AutoKMS.exe => Infection Diverse (Trojan.Keygen)
                        [MD5.58177776756F9696B0F200A01612DC11] [APT] [AutoKMS] (.Microsoft.) -- C:\Windows\AutoKMS.exe => Infection Diverse (Trojan.Keygen)
                        G1 - GCS: Preference [User Data\Default] http://searchfunmoods.com
                        EmptyTemp
                        EmptyCLSID
                        FirewallRaz

                        Puis suis ce tutoriel : http://www.security-helpzone.com/Thread-ZHPFix-Script
                        1. Citimex Auteur
                          Je vais le désinstaller , Mais il n y a pas moyen de voir si sens est vraiment un? Je me dit que je les peut être eu avec mon pc .
                          1. Citimex Auteur
                            je viens d envoyer un message a celui qui c est occuper d installer tout les programme de base quand j ai acheter mon pc j attend ça réponse et ont fera en fonction de ça .
                          2. yoann090 Contributeur sécurité
                            C'est un Keygen ça c'est sur après je voulais être sur que c'était celui d'Office.
                          3. Citimex Auteur
                            Pas de souci . Je vais désinstaller tout ça alors .
                          4. yoann090 Contributeur sécurité
                            Quand c'est fait refait un ZHPDiag.
                          5. Citimex Auteur
                            Ok
                        2. yoann090 Contributeur sécurité
                          Bon ben voila s'en est un. Soit tu les désinstalle soit on arrête la discussion ici, ça ne sert à rien de désinfecter un ordi contenant des cr*cks...
                          5. yoann090 Contributeur sécurité
                            Re,

                            Attention avec les Keygen (C:\Windows\Keygen.exe ), ils sont souvent infectieux. Voir : https://forum.malekal.com/viewtopic.php?t=893&start=

                            A la fin de la désinfection, il faudra changer tes mots de passe, certains ont pu être récupérés;

                            On va faire un diagnostique du pc, suis ce tutoriel : http://www.security-helpzone.com/Thread-ZHPDiag-Generer-un-rapport

                            Puis donne le lien du rapport hébergé.
                            1. Citimex Auteur
                              RE dans les rapport 2 choses différentes son apparu .

                              premier chose:

                              Malwarebytes Anti-Malware (Essai) 1.70.0.1100
                              www.malwarebytes.org

                              Version de la base de données: v2013.02.15.09

                              Windows 7 Service Pack 1 x64 NTFS
                              Internet Explorer 9.0.8112.16421
                              DORIAN :: DORIAN-PC [administrateur]

                              Protection: Activé

                              16/02/2013 00:10:10
                              mbam-log-2013-02-16 (00-10-10).txt

                              Type d'examen: Examen complet (C:\|)
                              Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
                              Options d'examen désactivées: P2P
                              Elément(s) analysé(s): 374663
                              Temps écoulé: 1 heure(s), 1 minute(s), 30 seconde(s)

                              Processus mémoire détecté(s): 0
                              (Aucun élément nuisible détecté)

                              Module(s) mémoire détecté(s): 0
                              (Aucun élément nuisible détecté)

                              Clé(s) du Registre détectée(s): 1
                              HKCU\Software\DC3_FEXEC (Malware.Trace) -> Mis en quarantaine et supprimé avec succès.

                              Valeur(s) du Registre détectée(s): 0
                              (Aucun élément nuisible détecté)

                              Elément(s) de données du Registre détecté(s): 0
                              (Aucun élément nuisible détecté)

                              Dossier(s) détecté(s): 1

                              C:\Users\DORIAN\AppData\Roaming\dclogs (Stolen.Data) -> Mis en quarantaine et supprimé avec succès.
                              Fichier(s) détecté(s): 3
                              C:\Users\DORIAN\Downloads\avs media player (1).exe (PUP.Offerware) -> Mis en quarantaine et supprimé avec succès.
                              C:\Users\DORIAN\Downloads\avs media player.exe (PUP.Offerware) -> Mis en quarantaine et supprimé avec succès.
                              C:\Users\DORIAN\AppData\Roaming\dclogs\2013-02-15-6.dc (Stolen.Data) -> Mis en quarantaine et supprimé avec succès.

                              (fin)

                              2é choses :
                              2013/02/16 00:04:03 +0100 DORIAN-PC DORIAN MESSAGE Starting protection
                              2013/02/16 00:04:03 +0100 DORIAN-PC DORIAN MESSAGE Protection started successfully
                              2013/02/16 00:04:03 +0100 DORIAN-PC DORIAN MESSAGE Starting IP protection
                              2013/02/16 00:04:06 +0100 DORIAN-PC DORIAN MESSAGE IP Protection started successfully
                              2013/02/16 00:04:22 +0100 DORIAN-PC DORIAN MESSAGE Starting database refresh
                              2013/02/16 00:04:22 +0100 DORIAN-PC DORIAN MESSAGE Stopping IP protection
                              2013/02/16 00:04:22 +0100 DORIAN-PC DORIAN MESSAGE IP Protection stopped successfully
                              2013/02/16 00:04:27 +0100 DORIAN-PC DORIAN MESSAGE Database refreshed successfully
                              2013/02/16 00:04:27 +0100 DORIAN-PC DORIAN MESSAGE Starting IP protection
                              2013/02/16 00:04:33 +0100 DORIAN-PC DORIAN MESSAGE IP Protection started successfully
                              2013/02/16 00:07:59 +0100 DORIAN-PC DORIAN MESSAGE Stopping IP protection
                              2013/02/16 00:07:59 +0100 DORIAN-PC DORIAN MESSAGE IP Protection stopped successfully
                              2013/02/16 00:08:00 +0100 DORIAN-PC DORIAN MESSAGE Protection stopped
                              2013/02/16 00:08:08 +0100 DORIAN-PC DORIAN MESSAGE Starting protection
                              2013/02/16 00:08:08 +0100 DORIAN-PC DORIAN MESSAGE Protection started successfully
                              2013/02/16 00:08:08 +0100 DORIAN-PC DORIAN MESSAGE Starting IP protection
                              2013/02/16 00:08:11 +0100 DORIAN-PC DORIAN MESSAGE IP Protection started successfully
                              2013/02/16 00:08:40 +0100 DORIAN-PC DORIAN MESSAGE Starting database refresh
                              2013/02/16 00:08:40 +0100 DORIAN-PC DORIAN MESSAGE Stopping IP protection
                              2013/02/16 00:08:40 +0100 DORIAN-PC DORIAN MESSAGE IP Protection stopped successfully
                              2013/02/16 00:08:44 +0100 DORIAN-PC DORIAN MESSAGE Database refreshed successfully
                              2013/02/16 00:08:44 +0100 DORIAN-PC DORIAN MESSAGE Starting IP protection
                              2013/02/16 00:08:51 +0100 DORIAN-PC DORIAN MESSAGE IP Protection started successfully
                              2013/02/16 15:58:49 +0100 DORIAN-PC DORIAN MESSAGE Starting protection
                              2013/02/16 15:58:49 +0100 DORIAN-PC DORIAN MESSAGE Protection started successfully
                              2013/02/16 15:58:49 +0100 DORIAN-PC DORIAN MESSAGE Starting IP protection
                              2013/02/16 15:58:56 +0100 DORIAN-PC DORIAN MESSAGE IP Protection started successfully
                              2013/02/16 16:00:30 +0100 DORIAN-PC DORIAN DETECTION C:\Windows\Keygen.exe RiskWare.Tool.CK QUARANTINE
                              • 1
                              • 2

                              Discussions similaires

                              comment detecte un micro espion chez soi
                              calas

                              14 réponses
                              Comment repérer et supprimer un logiciel espion
                              Gilou

                              2 réponses
                              Quel logiciel anti-espion choisir ?
                              ksar

                              49 réponses
                              msn spy
                              hinata huga

                              3 réponses