Arnaque au faux support technique

[MaxMax]

Bonjour,

Dans le cadre d'une arnaque au faux support technique qui a eu lieu le 7 mai en début d'après-midi, entre 14h et 15h30, des logiciels ont été installés sur mon ordinateur dont je n'arrive pas à me débarrasser, notamment connectwisecontrol.client et vipreprivacyshieldsetup
Il y avait aussi pc-privacy-shield_3.6 mais je pense l'avoir désinstallé

Voici les 3 rapports FRST shortcut et
https://pjjoint.malekal.com/files.php?i ... y9p5w15h14
https://pjjoint.malekal.com/files.php?i ... p8t10t13x8
https://pjjoint.malekal.com/files.php?i ... h8y9x10x14

Un grand merci pour votre aide

[Parisien_entraide]

Bonjour

Il semble que l'arnaque n'a pas été jusqu'au bout et donc pas de paiement pour VIPRE qui a été téléchargé par ex (mais n'a pas été installé donc c'est normal que tu ne puisses pas t'en débarrasser car il ne figure que dans le dossier des téléchargements)

Mais il y a des choses '(hors arnaques qui ne vont pas)
Exemple avec Norton ET AVAST

AV: Norton 360 (Enabled - Up to date) {1122B19A-E671-38EC-8EAC-87048FD4528D}
AV: Norton Security (Enabled - Up to date) {A2708B76-6835-6565-CB96-694212954A75}
AV: Windows Defender (Disabled - Up to date) {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
AV: Avast Antivirus (Enabled - Up to date) {EB19B86E-3998-C706-90EF-92B41EB091AF}
AV: Norton 360 (Disabled - Out of date) {9E3FD331-C4C2-7AC4-0537-131EEF1B1F8A}
AS: Windows Defender (Disabled - Up to date) {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
FW: Norton Security (Enabled) {9A4B0A53-225A-643D-E0C9-C077EC460D0E}
FW: Norton 360 (Disabled) {A6045214-8EAD-7B9C-2E68-BA2B11C858F1}
FW: Norton 360 (Enabled) {291930BF-AC1E-39B4-A5F3-2E31710715F6}



En attendant le passage de Malekak ou Angélique un peu de lecture (il s'agit d'un message prêt à l'emploi et donc générique)


________________________________________________________
Il s'agit d'un message d'arnaque de support téléphonique qui vise à te faire croire que ton PC est infecté pour te faire appeler un support téléphonique....
Le but de ce support est de te conforter dans le fait que ton ordinateur est infecté, pour va te faire acheter des logiciels à des prix élevés, souvent au final 200 euros.
Ces messages cherchant à bloquer le navigateur WEB et indiquant que le PC est infecté viennent de publicités sur des sites de streaming/torrent illégaux, les publicités sur Facebook en diffusent aussi.

Cela peut aussi aller par des campagnes téléphoniques, où tu reçois un appel par un technicien se faisant passer pour Microsoft.
Ton ordinateur n'est pas infecté.

Ces fausses alertes de virus sont monnaie et pas que dans ce contexte, par exemple, ces fausses alertes peuvent aussi servir pour refiler des logiciels de nettoyage peu fiables (Reimage, PCKepeer, MacKeeper, etc). Lire ces dossiers pour bien comprendre et avoir des exemples.
- les arnaques de support téléphonique
- Arnaque : les fausses alertes de virus

1/ Signalez le : Si tu as appelé le numéro de téléphone... Je t'invite à aller signaler ces pratiques, donne le nom de la société ainsi que le numéro de téléphone de contact qui s'est affiché sur le faux message de virus.

Signale les sur :

• Portail Pharos
• reporter l'arnaque à Microsoft

3/ Rappel les et menace les de porter plainte, demande à être rembourser, vous avez 14 jours de rétractation.
N'hésite pas à les harceler parfois cela fonctionne.
Plus d'informations : Recours pour les victimes de virus ou arnaque sur internet.

4/ Faire opposition à la banque pour éviter les prélèvements (abonnement à leurs support ou logiciel)

5/ Faire lire le dossier suivant à la victime pour comprendre ce qui s'est passé.
J'imagine que tu lui as expliqué : d'arnaque de support téléphonique

[MaxMax]

Merci beaucoup.

Effectivement, il n'y a pas eu de paiement de VIPRE mais l'arnaqueur avait néanmoins pris la main à distance sur l'ordinateur avec ConnectWise Control que je souhaiterais donc désinstaller. J'ai tenté de le supprimer mais je ne suis pas certain que ce soit fait correctement.
Évidemment, je suis à l'écoute pour tous les autres problèmes : je pensais que seul Avast était installé et que Norton avait été désinstallé.
Encore merci

[Parisien_entraide]

Pour Norton ca peut etre des clés de registre, mais les "malfaisants" outre Vipré, peuvent installer du AVAST, du Norton (ce que l'on voit en général)
Donc si ce n'est pas toi qui l'as installé il vaut mieux le virer

Perso je ne vois pas de traces de ConnectWiseControl/ScreenConnect/AnyDesk mais Malekal ou Angélique ont un oeil plus affuté que le mien :-)

Une fois analyse, tu auras surement tous les mots de passe de tes applications, sites, réseaux sociaux à changer, juste par précaution, mais ne le fait pas AVANT le fix de Malekal ou son avis

Edit : Pour tout ce qui est à désinstaller je conseille de le faire avec un programme spécialisé
Le plus connu étant https://www.malekal.com/revo-uninstalle ... acilement/
Cela évite les fichiers orphelins qui trainent et clés de registre orphelines qui peuvent mettre le bazar dans certains cas de figure

[angelique]

Bonjour/Bonsoir





Télécharge à coté de FRST64.EXE , PAS AILLEURS !!!!! le fichier fixlist.txt en pièce jointe en bas du message.

➯ Relance FRST64(clic droit exécuter en tant qu'administrateur) et clic sur le bouton corriger/fix
Un redémarrage peut être nécessaire (pas obligatoire).
Un fichier texte fixlog.txt apparaît au même endroit ou tu as mis fixlist.txt et frst64.exe, copie/colle le contenu ici dans un nouveau message avec ton commentaire.

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnements et endommager Windows /!\

[MaxMax]

Merci beaucoup angelique.

Voici le contenu du fichier fixlog.txt :

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 19.04.2024 01
Exécuté par Alain et Ghislaine (11-05-2024 19:00:36) Run:1
Exécuté depuis C:\Users\Alain et Ghislaine\Desktop
Profils chargés: Alain et Ghislaine
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
CreateRestorePoint:
2024-05-07 14:24 - 2024-05-07 14:24 - 000000000 ____D C:\Users\Alain et Ghislaine\AppData\Roaming\PC Privacy Shield 2018
2024-05-07 14:22 - 2024-05-07 14:22 - 015727472 _____ (VIPRE Security) C:\Users\Alain et Ghislaine\Downloads\VIPREPrivacyShieldSetup.exe
2024-05-07 14:17 - 2024-05-08 15:17 - 000000000 ____D C:\Users\Alain et Ghislaine\AppData\Local\Deployment
2024-05-07 14:17 - 2024-05-08 12:06 - 000000000 ____D C:\ProgramData\scre..tion_2c2536e5112611c9_0006.0003_a0b66bac863f7fd0
2024-05-07 14:17 - 2024-05-07 14:17 - 000000000 ____D C:\Users\Alain et Ghislaine\AppData\Local\Apps\2.0
2024-05-07 14:16 - 2024-05-07 14:16 - 000086672 _____ C:\Users\Alain et Ghislaine\Downloads\ConnectWiseControl.Client.exe
EmptyTemp:


*****************

Le Point de restauration a été créé avec succès.

"C:\Users\Alain et Ghislaine\AppData\Roaming\PC Privacy Shield 2018" Dossier déplacer:

C:\Users\Alain et Ghislaine\AppData\Roaming\PC Privacy Shield 2018 => déplacé(es) avec succès
C:\Users\Alain et Ghislaine\Downloads\VIPREPrivacyShieldSetup.exe => déplacé(es) avec succès

"C:\Users\Alain et Ghislaine\AppData\Local\Deployment" Dossier déplacer:

C:\Users\Alain et Ghislaine\AppData\Local\Deployment => déplacé(es) avec succès

"C:\ProgramData\scre..tion_2c2536e5112611c9_0006.0003_a0b66bac863f7fd0" Dossier déplacer:

C:\ProgramData\scre..tion_2c2536e5112611c9_0006.0003_a0b66bac863f7fd0 => déplacé(es) avec succès

"C:\Users\Alain et Ghislaine\AppData\Local\Apps\2.0" Dossier déplacer:

C:\Users\Alain et Ghislaine\AppData\Local\Apps\2.0 => déplacé(es) avec succès
C:\Users\Alain et Ghislaine\Downloads\ConnectWiseControl.Client.exe => déplacé(es) avec succès

=========== EmptyTemp: ==========

FlushDNS => terminé(e)
BITS transfer queue => 0 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 10560329 B
Java, Discord, Steam htmlcache, WinHttpAutoProxySvc/winhttp *.cache => 1560 B
Windows/system/drivers => 22400958 B
Edge => 0 B
Chrome => 184320 B
Firefox => 126186381 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 6042 B
NetworkService => 202705106 B
Alain et Ghislaine => 211592434 B

RecycleBin => 0 B
EmptyTemp: => 547.1 MB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 19:01:59 ====

[angelique]

ça me parrait correct.

Comme l'a bien dit Le Parisien , si tu avais des mots de passe pré enregistrés dans ton navigateur (l'escroc , vu qu'il a pris la main peut facilement les récupérer en local dans la machine), change les.
----------
Suppression de FRST

Pour supprimer automatiquement tous les fichiers/dossiers créés par FRST et l'outil lui-même, renommez FRST/FRST64.exe en uninstall.exe et exécutez-le. La procédure nécessite un redémarrage