Compte discord piraté suite à un telechargement (trojan?)

[MomoleFr69]

Bonjour, je viens de me faire pirater mon compte discord, pcq j'ai telechargé un jeu de la part d'un mec que je connaissais pas (j'ai vérifié le Exe sur Virustotal je pensais que c'était safe)

mtn mon compte est piraté et envoie le meme fichier à mes potes. Je peux pas récuperer mon compte pcq mon telephone est cassé mais c'est pas le sujet.

Si c'est un trojan, le mec peut très bien avoir accès à d'autre truc sur mon pc donc je compte modifier tout mes mdp etc. mais il faut déjà désinfecter le pc. J'ai rien trouvé avec avast mais je demande ici pour être sur que plus rien n'est resté sur mon pc.

Merci d'avance

[Malekal_morte]

Salut,

Il ne faut jamais accepter un fichier provenant d'un inconnu.
Tu l'as encore sous la main ce fichier pour voir ce que c'est ?

Sinon tu n'es pas à ton premier coup d'essai car tu as infecté ton PC avec un Trojan RAT le 27/03 mais Windows Defender l'a bloqué :

Date: 2022-03-27 10:48:11
Date: 2022-03-27 10:48:11
Description:
Nom : Trojan:MSIL/Nanocore!mclg
ID : 2147784247
Gravité : Severe
Catégorie : Trojan
Chemin : file:_C:\Users\moham\Downloads\dll-injector-hacker_1.3.1.exe.opdownload
Origine de la détection : Local machine
Type de détection : Concrete
Source de détection : Real-Time Protection
Utilisateur : DESKTOP-7UKAQSM\moham
Nom du processus : C:\Users\moham\AppData\Local\Programs\Opera\opera.exe
Action : Unknown
État de l’action : No additional actions required
Code d’erreur : 0x80508033
Description de l’erreur : An unexpected problem occurred. Install any available updates, and then try to start the program again. For information on installing updates, see Help and Support.

Sinon il semble y avoir un fichier malveillant actif.


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
Startup: C:\Users\moham\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\FullCharge.vbs [2022-01-10] () [Fichier non signé]
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

~~

Désinstalle DriverHub ça ne sert à rien à part mettre le bazar dans le système.

[MomoleFr69]

Pr le coup, le fichier est dans ma corbeille je l'ai pas encore vraiment supprimé et c'est un jeu "starshooter.exe" si tu l'ouvres ca lancer un jeu qu'un dev peut faire en 10 min. Je pense que ca doit être pour pas alerter le mec qui l'installe pr qu'il se dise que c un ptit programme. (il fait qd meme 40 mo jsp pq)

D'ailleurs le fichier FullCharge.vbs c'est moi qui l'ait créé pour que ca me notifie quand mon pc est chargé à 100% pr éviter d'endommager la batterie, j'effectue quand même la procédure ?

[Malekal_morte]

Tu peux le sortir de la corbeille et le partager en ligne que je puisse le récupérer ?
Tant que tu ne l'ouvres pas, ça na craint rien.
Après tu peux le supprimer.

Si le VBS est à toi alors ne fais pas la correction FRST.
A priori les rapports sont donc corrects.

[MomoleFr69]

Attention ce fichier est un virus, veuillez ne pas y toucher si vous n'êtes pas concernés. (à vos risques et périls)

hxxxs://www.mediafire.com/file/vxezg8oa6lee1fe/ ... ).exe/file



Edit Modo : Lien modifié

[Parisien_entraide]

Pssst : Tu peux l'envoyer le lien en privé à Malekal , cela évite que des gens puissent se faire contaminer

Perso : Je suis obligé de désactiver Kaspersky qui le connait depuis au moins 24h
Kaspersky il y a 24h le détectait en tant que : ,Trojan-PSW.Win32.Disco.ozb

Idem pour Zone Alarm avec le même nom (ils doivent se servir du cloud de Kaspersky)

Là maintenant on a Alibaba qui le détecté également : Cheval de TroiePSW:Win32/Disco.daf0989f MAIS Zone alarm ne le détecté plus... Pourtant il s'agit bien d'un trojan

https://www.virustotal.com/gui/file/71b ... /detection


Dès qu'il se sent détecté le processus se supprime lui même (classique)

Contact un domaine (myexternalip.com) et 2 hosts (toujours actifs, dont l'adresse clouflare mais l 'adresse Google Cloud n'est pas blacklistée ni repertoriée)

TCP traffic to 34.117.59.81 on port 443 is sent without HTTP header
TCP traffic to 162.159.138.232 on port 443 is sent without HTTP header (cette adresse ne fonctionne que pour certains pays, et affiche une erreur 403 pour d'autres)


Il essaie de détecter si les windows sont principalement en langue US/UK, Danoises, Pays Bas, l'ensemble des langues asiatiques et.. le Portugais (Bresil)
Je passe sur le reste, car commun à ce que font les autres trojans

Fonctions : Cherche a voler des portefeuilles cryptos et vole les login et mot de passe de chrome

Bon après il faudrait regarder si cela vise vraiment que certains pays, auquel cas le fichier sera considéré comme malveillant mais ne fera rien pour les pays qui ne sont pas concernés (déjà vu)

[MomoleFr69]

Merci pour les détails. J'imagine que je peux mettre le sujet en résolu mais avant, comment je pourrai "suivre une formation" ou en tous cas me renseigner sur ces cas pour faire moi même la procédure de detection + suppression, voir même pouvoir aider les autres sur ce forum(ou ailleurs) ?

[Parisien_entraide]

Bonjour,

Pour les formations, il faut des bases.. Ecole d'informatique idéalement (je laisse au sens large car il y a des spécialisations)
Ensuite si tu as la connaissance, tu diminues les chances de te faire infecter (je dis bien diminuer) MAIS c'est lié au comportement également

Ce comportement tu ne l'as pas
Il suffit de lire les rapports FRST avec les AVAST, les aucunes protections navigateurs etc et le fait d'accepter des fichiers d'inconnus (et j"ajouterais : même si on connait)

Malekal dans sa signature à un lien, commence avec cela : https://www.malekal.com/proteger-pc-virus-pirates/

Là j'ai l'impression que ta démarche de "détection + supression"' est plus liée au fait de pouvoir récupérer divers fichiers, et de virer les infections liées..pour ne pas subir "les effets secondaires"'
Je peux t'assurer que tu vas au-devant de grandes déceptions et illusions