Analyse PC suite escroquerie Amazon

[Chlap]

Bonjour tout le monde,

Il y a environ 1 mois j'ai été victime d'une arnaque chez Amazon, avec achat d'un article via un autre compte mais qui avait utilisé ma carte bancaire. Bon depuis tout le nécessaire a été fait, contact avec Amazon, évidemment opposition et changement de carte bancaire, puis nettoyage & check du PC au mieux avec du Malwarebytes & cie en suivant tout un déroulé d'un article qui est sur votre site...

Mais ce soir, et ce PC est une machine de production 3D ou nous sommes 2 à l'utiliser, bon il arrive assez souvent que nous coursions du plugin et autres assets pour ce que nous réalisons et parfois dans des endroits délicats...bon bref, on tente de faire attention le plupart du temps, mais ce soir, j'ai eu besoin de désinstaller des applications et à ma grande surprise une installation ou mise à jour de Anydesk avait été faite aujourd'hui, ne venant pas de notre part, et qui était là en dernière application installée...

Je ne me sens vraiment pas tranquille, je n'ai pas trop compris de plus ce qu'il s'est passé avec cette arnaque Amazon ou le comment, j'ai fait tout de même quelques recherches, et on peut voir ici et là qu'ils ont des failles et que cela est déjà arrivé à beaucoup de personnes...et ce soir, après avoir vu cette installation d'Anydesk, pareil quelques recherches rapides, et je suis tombé sur un article d'une sorte de virus Anydesk et que cela se répercutait ensuite sur des arnaques Amazon...

Bon je ne suis pas du tout spécialiste de la désinfection, d'où cette demande d'aide et par votre bienveillance que je salue, et pour faire un check global de ce PC, et à savoir si il y a quelque chose de louche on va dire, est ce que cela doit aller jusqu'à un changement de mes mots de pass ici et là...

Dans l'attente, et bien sûr merci d'être là et pour ce genre de problématique...

[Parisien_entraide]

Bonsoir

Effectivement AnyDesk fait partie de cette longue liste de programmes qui ont été vérolé (avec faux sites de téléchargements)

La procédure de Malekal
__________________
Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST,
Attendre la fin du scan, un message indique que l'analyse est terminée.

Trois rapports FRST seront générés :


* FRST.txt
* Shortcut
* Additionnal.txt




Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ ou https://textup.fr si cela ne passe pas et en retour donne les 3 liens qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

(Les liens bleus mènent à des tutoriels explicatifs pas à pas, clic dessus pour avoir les instructions plus précises à suivre).

IMPORTANT : Une fois les rapports crées, n'installe pas de programmes, n'efface rien, ne prends pas d’initiatives, parce que tu "penses que", que "tu crois que " etc. Bref tu ne touches plus à rien

[Chlap]

Merci de ce retour & accompagnement, avec ci dessous les 3 rapports dans l'ordre FRST, Shortcut & Addition :

https://pjjoint.malekal.com/files.php?i ... 1f10q14s11

https://pjjoint.malekal.com/files.php?i ... b10i14n8e7

https://pjjoint.malekal.com/files.php?i ... 5j5m11g6o7

[Parisien_entraide]

Malekal ou Angélique regarderont de leur oeil aiguisé :-)

Néanmoins pour rappel :

- Il ne faut pas mélanger outil de travail et le fait usages annexe (comme acheter ou aller sur des sites ou "endroits délicats"
- Il y a des programmes autodesk sur ce PC donc une mise à jour est possible et possiblement forcée par l'éditeur si importante
- MAIS est ce que tous les programmes installés sont légaux ? Car cela peut etre le fait d'un programme malveillant dormant pour ne pas être repéré, surtout qu'on ne se fait pas voler sur Amazon comme cela

A lire viewtopic.php?p=544690#p544690

Il y a aussi pas mal de piratages avec faux sites github surtout pour tout ce qui est script (dont Python évidemment)
viewtopic.php?p=544690#p544690

Au passage vire SPYBOT
Ce truc à eu ses heures de gloire par le passé mais n'est plus aussi efficace de nos jours
Pire il consomme pas mal de ressources processeur et mémoire, charge le fichier HOSTS, ce qui peut ralentir la navigation surtout si le service "Client" DNS" est actif

Cela fera un peu de lecture en attendant :-)

[Chlap]

Merci vraiment de ce retour, surtout en ce qui concerne ce post surtout "Vous voulez des programmes..." et qui est mais édifiant au possible, j'ai pris un vrai plaisir à en lire +++ et quel travail de votre part à tous...bon, cela me fait mesurer pas mal de choses, même si oui et en tant que freelance dans la 3D depuis presque 30 ans, avec des commandes tout azimut et dans le sens que les sujets à créer et produire sont tjrs différents, les deadlines de plus en plus rapides...bon bref, je sais il faut être le plus vigilant possible, et ne pas mélanger pro & perso (ou divertissement)...

Et en ce qui concerne Autodesk et leurs produits, pareil pas facile à résumer ou si, mais on pourrait en poser des lignes et des lignes, on ne peut pas tjrs en tant que freelance(s), et on est pour la majorité suspendus à cela, et donc acheter toutes les licences, surtout avec ces politiques ou l'on te rajoute seulement 3 ou 4 fonctions par année et souvent très peu productives voir foireuses, et que l'on est en équipe à distance sur un projet avec différents parcours, et que l'on doit se caller sur une version commune d'un 3DSMax ou je ne sais...

Bon, rebref je dirais, et merci beaucoup encore une fois, ça me permet de mesurer avec un bon ptit coup d'pied au c...réveil, réveil...et même si ici c'est pas du dans tous les sens, j'ai bien lu le cas de cette personne se pensant super bien protégée et qui finalement...bon cette machine servant de finalité en production, montage(s) & post production n'a pas été renouvelée depuis un long moment et traine un ptit peu dans son jus...et en tentant tjrs de la maintenir au plus propre sur la durée...en espérant que cela ne soit pas trop le brin...

Comme tu me le suggère, on va laisser Malekal ou Angélique regarder cela de plus près...

Et avec Spybot de viré avant l'écriture de ce message.

[Parisien_entraide]

Au passage et sur le meme sujet, Kaspersky qui est quand même au top 3 (et top 1 pour l'année 2023) évoque le "trou dans la raquette"
Cela explique en fait que même si l'AV est au top, il y a un trou noir qu'il n'est pas possible de compenser/résoudre

A cela on y ajoute que les dernières moutures de stealer désactivent les fonctions des antivirus (Microsoft Defender en tete), vont envoyer un ou des fichiers "leurres" que l'anti virus bloquera, tout content, (on le voit sur le forum avec les taches programmes en powershell qui restent actives par ex) mais pendant ce temps là le ou les programmes malveillants s'installeront et feront leur travail
En mémoire ils jouent au jeu du chat et de la souris avec l'antivirus, peuvent se rendent inactifs (surtout si analysé dans une VM par ex) se mettre en sommeil, s'activer au bout de X jours ou semaines de façon à ce que l'utilisateur ne fasse pas de lien avec ce qu'il a téléchargé
Ensuite une fois le boulot fait il peut laisser un enregistreur de frappes etc ou faire venir un ransomware
Une fois que tout est fini il va s'autodétruire, et une analyse AV ne donnera rien (de toutes les façons si l'infection est entrée, ce n'est plus notre PC )

Le trou dans la raquette
viewtopic.php?p=541514#p541514

Edit J'ai mis 2 fois le meme lien dans un précédent message
Le vrai est celui ci et cela parle de scripts, de faux liens github etc en fin d'article par ex
viewtopic.php?p=552984#p552984

[Malekal_morte]

Salut,

Pas infecté.

A désinstaller, inutile et encombrant :

K-Lite Mega Codec
Opera (sauf si vraiment tu l'utilises)
Spybot - Search & Destroy (sert à rien)

Il y a des restes de Wondershare :

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
S4 Wondershare InstallAssist; C:\ProgramData\Wondershare\Service\InstallAssistService.exe [269200 2020-12-10] (Wondershare Technology Co.,Ltd -> Wondershare)
2024-04-27 23:57 - 2024-03-29 11:11 - 000000000 ____D C:\Program Files\Wondershare
2024-04-27 23:57 - 2019-06-11 00:23 - 000000000 ____D C:\ProgramData\Wondershare
2024-04-27 23:57 - 2019-06-11 00:23 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Wondershare
2024-04-27 23:56 - 2019-06-11 00:23 - 000000000 ____D C:\Users\rrouh\AppData\Local\Wondershare
HKLM\...\Run: [Wondershare Helper Compact.exe] => C:\Program Files\Common Files\Wondershare\Wondershare Helper Compact\WSHelper.exe (Pas de fichier)
HKLM\...\Run: [UniConverterUpdateHelper] => C:\Program Files\Wondershare\UniConverter 15\WSVCUUpdateHelper.exe (Pas de fichier)
HKLM-x32\...\Run: [Wondershare Helper Compact.exe] => C:\Program Files (x86)\Common Files\Wondershare\Wondershare Helper Compact\WSHelper.exe (Pas de fichier)
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

Important :

Le contenu de la correction ne doit pas être vide et doit refléter le script donné précédemment.
Dans le cas où la correction est vide, essaye de faire la correction FRST comme ceci :

Place le programme FRST sur le bureau
Ouvre le bloc-note.
Colle le script donné plus haut.
Enregistre le fichier sur le sur le bureau de Windows (pas ailleurs) sous le nom de fixlist.txt.
Relance FRST puis Corriger.

[Chlap]

Merci beaucoup de ce retour Malekal, et ou tout s'est déroulé correctement avec redémarrage en ce qui concerne le fix, dont voici le log :

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 19.04.2024 01
Exécuté par ADMIN (19-05-2024 11:10:03) Run:1
Exécuté depuis C:\Users\rrouh\Desktop
Profils chargés: ADMIN
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
Start:
CloseProcesses:
CreateRestorePoint:
S4 Wondershare InstallAssist; C:\ProgramData\Wondershare\Service\InstallAssistService.exe [269200 2020-12-10] (Wondershare Technology Co.,Ltd -> Wondershare)
2024-04-27 23:57 - 2024-03-29 11:11 - 000000000 ____D C:\Program Files\Wondershare
2024-04-27 23:57 - 2019-06-11 00:23 - 000000000 ____D C:\ProgramData\Wondershare
2024-04-27 23:57 - 2019-06-11 00:23 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Wondershare
2024-04-27 23:56 - 2019-06-11 00:23 - 000000000 ____D C:\Users\rrouh\AppData\Local\Wondershare
HKLM\...\Run: [Wondershare Helper Compact.exe] => C:\Program Files\Common Files\Wondershare\Wondershare Helper Compact\WSHelper.exe (Pas de fichier)
HKLM\...\Run: [UniConverterUpdateHelper] => C:\Program Files\Wondershare\UniConverter 15\WSVCUUpdateHelper.exe (Pas de fichier)
HKLM-x32\...\Run: [Wondershare Helper Compact.exe] => C:\Program Files (x86)\Common Files\Wondershare\Wondershare Helper Compact\WSHelper.exe (Pas de fichier)
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End:
*****************

Processus fermé avec succès.
Le Point de restauration a été créé avec succès.
HKLM\System\CurrentControlSet\Services\Wondershare InstallAssist => supprimé(es) avec succès
Wondershare InstallAssist => service supprimé(es) avec succès

"C:\Program Files\Wondershare" Dossier déplacer:

C:\Program Files\Wondershare => déplacé(es) avec succès

"C:\ProgramData\Wondershare" Dossier déplacer:

C:\ProgramData\Wondershare => déplacé(es) avec succès

"C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Wondershare" Dossier déplacer:

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Wondershare => déplacé(es) avec succès

"C:\Users\rrouh\AppData\Local\Wondershare" Dossier déplacer:

C:\Users\rrouh\AppData\Local\Wondershare => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows\CurrentVersion\Run\\Wondershare Helper Compact.exe" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows\CurrentVersion\Run\\UniConverterUpdateHelper" => supprimé(es) avec succès
"HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\\Wondershare Helper Compact.exe" => supprimé(es) avec succès
C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.

========= RemoveProxy: =========

"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-227165639-3209985465-129612211-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-227165639-3209985465-129612211-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

FlushDNS => terminé(e)
BITS transfer queue => 1310720 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 849838730 B
Java, Discord, Steam htmlcache, WinHttpAutoProxySvc/winhttp *.cache => 34617819 B
Windows/system/drivers => 2130768 B
Edge => 49152 B
Firefox => 0 B
Opera => 172851493 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 688516197 B
systemprofile32 => 688516197 B
LocalService => 688563447 B
NetworkService => 688644785 B
rrouh => 796884860 B
OVRLibraryService => 796884860 B

RecycleBin => 0 B
EmptyTemp: => 5 GB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 11:10:41 ====

[Parisien_entraide]

Le fix a bien fonctionné

Même si il n'y a pas d'infection à un instant "T" cela ne veut pas dire qu'un stealer n'a pas agit par le passé, s'est auto détruit après avoir exporté les données
Là visiblement c'était une mise à jour d'Anydesk

De manière globale
A lire : que faire après une attaque de virus informatique.


En détails pour la partie protection
Je conseille cependant vu ce qui traine et comportement etc, par précaution :


Réinitialiser les navigateurs
==================================
Réinitialise tes navigateurs et/ou re-paramètre manuellement tes navigateurs WEB ( page de démarrage, moteur de recherche, etc ) mais aussi supprimer/désactiver les extensions inutiles/parasites.
Pour t'aider à effectuer ce ménage, clique ci-dessous sur le nom du navigateur WEB que tu utilises :

• Réparer Mozilla Firefox (premier paragraphe)
• Réparer Google Chrome (premier paragraphe)
• Comment réparer ou réinitialiser Microsoft Edge

Concernant les mots de passe
==================================
De changer tous les mots de passes et d'utiliser un gestionnaire de mots de passe
https://www.malekal.com/keepassxc-le-ge ... piratages/

D'activer la double authentification si le site ou service web le permet
https://www.malekal.com/la-double-authe ... a-marche/




Après il faut affiner avec le reste


Déjà protéger les navigateurs

Cela traite de Firefox mais on peut retrouver les memes extensions sur Chrome
Par contre du fait du fonctionnement de Chrome, une extension comme Ublock Origin sera nettement moins efficace sur Chrome/Chromium que sur Firefox surtout avec le manifestV3
Donc le minimum est d'installer Ublock Origin
Dans le lien tu trouveras les articles du site pour encore aller plus loin dans les réglages de Ublock
viewtopic.php?p=527443/


Sinon se rappeler que l'antivirus n'est qu'une brique dans la sécurité du PC


Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?


Tu peux améliorer les protections et sécurité de Windows en suivant ces indications et là pas besoin d'un antivirus tiers


De base je conseille hardentools (cité plus bas) et les scripts proposés par Malekal (dont pour le firewall)


Securiser son PC (l'usage d'OS Armor n'est pas obligatoire tout comme Comodo Firewall)
https://www.malekal.com/securiser-pc-windows-10/

On peut très bien régler/affiner Windows defender
viewtopic.php?t=65877

ou avec le petit dernier avec son interface plus "lisible
DefenderUI : Interface pour gérer Windows Defender
https://www.malekal.com/defenderui-inte ... -defender/



Le tout combiné avec (pour le firewall)
https://www.malekal.com/windows-firewal ... -defender/
et
Firewall les bons réglages avec un script prêt à l'emploi
https://www.malekal.com/firewall-window ... n-reglages

Et des blocages de scripts avec hardentools
https://www.malekal.com/hardentools-securiser-windows/
et compléments viewtopic.php?t=60030

Comment désactiver PowerShell par le registre Windows (avec un script d'activation et désactivation powershell ET mshta
https://www.malekal.com/comment-desacti ... ell-mshta/
Cela fait double emploi avec ce que fait hardentools pour powershell, mais il y a 2 scripts sous forme de .reg bien utiles

Je conseille d'avoir les 2.reg à portée de main, cela évite de relancer Hardentools pour réactiver PowerShell en cas de besoin (99% des utilisateurs n'en n'ont pas besoin, c'est juste "au cas où")

Là tu as tout ce qu'il faut pour te protéger (même avec un .pdf vérolé en phishing ou avec un script foireux via powershell)

Par contre cela ne protège pas des cracks (aucun AV ne peut se vanter de bloquer tous les ransomwares et surtout stealer)

------------------------------------

Si l'aide t'a contenu ou si les tutoriels du site t'ont aidé, tu peux prendre le temps d'évaluer le site sur Bing, ce serait sympa : Evaluer le site malekal.com