Arnaqué de service technique Windows

[carryout]

Bonjour,
ma tante s'est fait pieger avec la pub service technique windows et a telephoné au 09....
Pouvez vous analyser les rapports
Merci

https://pjjoint.malekal.com/files.php?i ... 5y13g8w8y5

https://pjjoint.malekal.com/files.php?i ... v6o8i5r7b6

https://pjjoint.malekal.com/files.php?i ... c9c5c6h7m6

[Parisien_entraide]

Bonsoir,

Malekal ou Angélique t'en diront plus parce que perso je ne vois pas les habituels programmes installés dans ce cas de figure

Elle a téléphoné mais est ce qu'ils ont pris le PC à distance et en installant des programmes ?
Tu sais ce que c'est ce 2023-08-01 12:04 - 2023-08-01 12:04 - 000320874 _____ C:\Users\Christiane\Downloads\[Pas de sujet].zip ?

Le but surtout c'est de la faire payer une suite de protection et/ou de récupérer les infos bancaires. Je suppose que tu as connaissance de tout ce qui s'est passé ?

A toutes fins utiles je place le message générique

____________________
Il s'agit d'un message d'arnaque de support téléphonique qui vise à te faire croire que ton PC est infecté pour te faire appeler un support téléphonique....
Le but de ce support est de te conforter dans le fait que ton ordinateur est infecté, pour va te faire acheter des logiciels à des prix élevés, souvent au final 200 euros.
Ces messages cherchant à bloquer le navigateur WEB et indiquant que le PC est infecté viennent de publicités sur des sites de streaming/torrent illégaux, les publicités sur Facebook en diffusent aussi.

Cela peut aussi aller par des campagnes téléphoniques, où tu reçois un appel par un technicien se faisant passer pour Microsoft.
Ton ordinateur n'est pas infecté.

Ces fausses alertes de virus sont monnaie et pas que dans ce contexte, par exemple, ces fausses alertes peuvent aussi servir pour refiler des logiciels de nettoyage peu fiables (Reimage, PCKepeer, MacKeeper, etc). Lire ces dossiers pour bien comprendre et avoir des exemples.
- les arnaques de support téléphonique
- Arnaque : les fausses alertes de virus

1/ Signalez le : Si tu as appelé le numéro de téléphone... Je t'invite à aller signaler ces pratiques, donne le nom de la société ainsi que le numéro de téléphone de contact qui s'est affiché sur le faux message de virus.

Signale les sur :

• Portail Pharos
• reporter l'arnaque à Microsoft

2/ Rappel les et menace les de porter plainte, demande à être rembourser, vous avez 14 jours de rétractation.
N'hésite pas à les harceler parfois cela fonctionne.
Plus d'informations : Recours pour les victimes de virus ou arnaque sur internet.

3/ vas dans le Panneau de configuration
puis programmes et fonctionnalités.
Trie la liste par date en cliquant sur la colonne.
Désinstalle tous les logiciels qui ont été installés le jour de la prise en main.

4/ Faire opposition à la banque pour éviter les prélèvements (abonnement à leurs support ou logiciel)

5/ Faire lire le dossier suivant à la victime pour comprendre ce qui s'est passé.
J'imagine que tu lui as expliqué : d'arnaque de support téléphonique

[carryout]

Du coup elle a flairé le truc a force de discuter au téléphone mais elle a cliqué sur le "connect wise control" pour faire arreter la fenetre de pub
Elle n'a pas accepté l'installation de l'antivirus et n'a pas donné de numéro de CB etc..
je n'ai pas trouvé comment désinstaller connect wise control et je n'ai rien vu d'autre d'installé.

Pas d'inquiétude pour le .zip :-)

[angelique]

Bonjour/Bonsoir

Rien de grave



Télécharge à coté de FRST64.EXE , PAS AILLEURS !!!!! le fichier fixlist.txt en pièce jointe en bas du message.

➯ Relance FRST64(clic droit exécuter en tant qu'administrateur) et clic sur le bouton corriger/fix et ne touche à rien

Un redémarrage va être nécessaire

Un fichier texte apparaît peut être nommé fixlog.txt au même endroit que frst64.exe et que fixlist.txt, copie/colle le contenu ici dans un nouveau message avec ton commentaire.


/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnements et endommager Windows /!\

Lance Lenovo Vantage installé sur cette machine et fait toutes les mises à jours, PC si portable branché sur secteur

[Parisien_entraide]

Je n'ai pas accès à tous les rapports (mais ce n'est pas de ton fait) mais je ne vois pas l'habituel connect Wize/screen Connect dans ce qui est dispo sauf l"habituel
2023-08-03 14:53 - 2023-08-03 14:53 - 000000000 ____D C:\Users\Christiane\AppData\Local\Deployment
2023-08-03 14:53 - 2023-08-03 14:53 - 000000000 ____D C:\Users\Christiane\AppData\Local\Apps\2.0

Malekal y a sans doute accès

Celui ci
https://pjjoint.malekal.com/files.php?r ... c9c5c6h7m6

Sinon tu peux poster également en dépannage sur https://textup.fr/ et donner le lien en retour


Edit : PAS LA PEINE Angélique a donné le fix

[carryout]

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 01-08-2023
Exécuté par CORAC (03-08-2023 20:27:40) Run:1
Exécuté depuis C:\Users\CORAC\OneDrive\Bureau
Profils chargés: CORAC & Christiane
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
CreateRestorePoint:
S1 WinSetupMon; system32\DRIVERS\WinSetupMon.sys [X]
2023-08-03 14:53 - 2023-08-03 14:53 - 000000000 ____D C:\Users\Christiane\AppData\Local\Deployment
2023-08-03 14:53 - 2023-08-03 14:53 - 000000000 ____D C:\Users\Christiane\AppData\Local\Apps\2.0
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "C:\Windows\SysWOW64\lodctr.exe" /R
CMD: "C:\Windows\SYSTEM32\lodctr.exe" /R
StartPowershell:
sfc /scannow
EndPowershell:
EmptyTemp:


*****************

Le Point de restauration a été créé avec succès.
HKLM\System\CurrentControlSet\Services\WinSetupMon => supprimé(es) avec succès
WinSetupMon => service supprimé(es) avec succès

"C:\Users\Christiane\AppData\Local\Deployment" dossier déplacer:

C:\Users\Christiane\AppData\Local\Deployment => déplacé(es) avec succès

"C:\Users\Christiane\AppData\Local\Apps\2.0" dossier déplacer:

C:\Users\Christiane\AppData\Local\Apps\2.0 => déplacé(es) avec succès

========= "%WINDIR%\SYSTEM32\lodctr.exe" /R =========


Infosÿ: Reconstruction du paramŠtre de compteur de performance r‚ussie … partir du magasin de stockage systŠme

========= Fin de CMD: =========


========= "%WINDIR%\SysWOW64\lodctr.exe" /R =========


Infosÿ: Reconstruction du paramŠtre de compteur de performance r‚ussie … partir du magasin de stockage systŠme

========= Fin de CMD: =========


========= "C:\Windows\SysWOW64\lodctr.exe" /R =========


Infosÿ: Reconstruction du paramŠtre de compteur de performance r‚ussie … partir du magasin de stockage systŠme

========= Fin de CMD: =========


========= "C:\Windows\SYSTEM32\lodctr.exe" /R =========


Infosÿ: Reconstruction du paramŠtre de compteur de performance r‚ussie … partir du magasin de stockage systŠme

========= Fin de CMD: =========


========= Powershell: =========




D Ú b u t d e l a n a l y s e d u s y s t Þ m e . C e t t e o p Ú r a t i o n p e u t n Ú c e s s i t e r u n c e r t a i n t e m p s .







U n e r Ú p a r a t i o n s y s t Þ m e e n a t t e n t e n Ú c e s s i t e l a f i n d u r e d Ú m a r r a g e . R e d Ú m a r r e z


W i n d o w s e t e x Ú c u t e z d e n o u v e a u s f c .




========= Fin de Powershell: =========


=========== EmptyTemp: ==========

FlushDNS => terminé(e)
BITS transfer queue => 0 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 11650702 B
Java, Discord, Steam htmlcache, WinHttpAutoProxySvc/winhttp *.cache => 0 B
Windows/system/drivers => 343171423 B
Edge => 0 B
Chrome => 666043183 B
Firefox => 0 B
Opera => 12965662 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 0 B
NetworkService => 112910 B
CORAC => 89263416 B
Christiane => 200126420 B

RecycleBin => 19716131 B
EmptyTemp: => 1.3 GB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 20:28:42 ====

[Malekal_morte]

Rien de particulier sinon.
Change tes mots de passe, par sécurité.

[carryout]

D’accord
Je vous remercie pour tout
Merci

[angelique]

Suppression de FRST

Pour supprimer automatiquement tous les fichiers/dossiers créés par FRST et l'outil lui-même, renommez FRST/FRST64.exe en uninstall.exe et exécutez-le. La procédure nécessite un redémarrage