Arnaque ScreenConnect [résolu]

[Alex_67]

Bonjour à toutes et à tous,

Je fais partie des nouveaux membres sur le forum et comme certains ici présents ma mère a été victime d'une arnaque au support téléphonique.
Lorsqu'elle m'en a informé je l'ai faite éteindre l'ordinateur de suite, et, en le récupérant j'ai vu que les logiciels "Screenconnect" ainsi que "Connect Wise Control" étaient installés.

J'ai dans un premier temps désactivé toutes les cartes réseaux de l'ordinateur afin qu'il n'y ait plus aucun accès distant possible, et j'ai installé le Tool FRST qui après analyse de l'ordinateur a généré les 3 fichiers suivants :

https://pjjoint.malekal.com/files.php?i ... 2j8x6g6q15

https://pjjoint.malekal.com/files.php?i ... 10r13i10d5

https://pjjoint.malekal.com/files.php?i ... 11p14p10j9

Pourriez vous s'il vous plaît me guider afin de désinstaller ces logiciels de l'ordinateur ?

En vous remerciant par avance pour votre aide.
Alex.

[Malekal_morte]

Bonjour,

Il s'agit d'un message d'arnaque de support téléphonique qui vise à te faire croire que ton PC est infecté pour te faire appeler un support téléphonique....
Le but de ce support est de te conforter dans le fait que ton ordinateur est infecté, pour va te faire acheter des logiciels à des prix élevés, souvent au final 200 euros.
Ces messages cherchant à bloquer le navigateur WEB et indiquant que le PC est infecté viennent de publicités sur des sites de streaming/torrent illégaux, les publicités sur Facebook en diffusent aussi.

Cela peut aussi aller par des campagnes téléphoniques, où tu reçois un appel par un technicien se faisant passer pour Microsoft.
Ton ordinateur n'est pas infecté.

Ces fausses alertes de virus sont monnaie et pas que dans ce contexte, par exemple, ces fausses alertes peuvent aussi servir pour refiler des logiciels de nettoyage peu fiables (Reimage, PCKepeer, MacKeeper, etc). Lire ces dossiers pour bien comprendre et avoir des exemples.
- les arnaques de support téléphonique
- Arnaque : les fausses alertes de virus


~~


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
R2 ScreenConnect Client (274aadff-6fe4-4897-9524-e5335f2fc2aa); C:\Users\Doris Lienhart\AppData\Local\Apps\2.0\L0YE0XPY.8DH\795AN30B.782\scre..tion_2c2536e5112611c9_0006.0003_5a191960d67acf32\ScreenConnect.ClientService.exe [90768 2024-07-26] (ScreenConnect Software -> )
2024-07-26 14:15 - 2024-07-26 17:24 - 000000000 ____D C:\ProgramData\scre..tion_2c2536e5112611c9_0006.0003_5a191960d67acf32
2024-07-26 14:15 - 2024-07-26 14:15 - 000086672 _____ C:\Users\Doris Lienhart\Downloads\ConnectWiseControl.Client.exe
2024-07-26 14:15 - 2024-07-26 14:15 - 000000000 ____D C:\Users\Doris Lienhart\AppData\Local\Deployment
2024-07-26 14:15 - 2024-07-26 14:15 - 000000000 ____D C:\Users\Doris Lienhart\AppData\Local\Apps\2.0
2024-07-26 14:12 - 2024-07-26 14:13 - 000000000 ____D C:\Users\Doris Lienhart\AppData\Roaming\AnyDesk
2024-07-26 14:12 - 2024-07-26 14:12 - 000394240 _____ (Google Inc.) C:\Users\Doris Lienhart\Downloads\gcapi.dll
2024-07-26 14:10 - 2024-07-26 14:10 - 005367624 _____ (AnyDesk Software GmbH) C:\Users\Doris Lienhart\Downloads\AnyDesk.exe
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

Important :

Le contenu de la correction ne doit pas être vide et doit refléter le script donné précédemment.
Dans le cas où la correction est vide, essaye de faire la correction FRST comme ceci :

Place le programme FRST sur le bureau
Ouvre le bloc-note.
Colle le script donné plus haut.
Enregistre le fichier sur le sur le bureau de Windows (pas ailleurs) sous le nom de fixlist.txt.
Relance FRST puis Corriger.

[Alex_67]

Bonjour,
Merci pour votre réponse rapide ainsi que pour toutes ces précisions,
A priori, cela a fonctionné, plus de fenêtre au démarrage de l'ordinateur et le rapport semble effectivement bien rempli, le voici :



Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 25.07.2024
Exécuté par Doris Lienhart (27-07-2024 14:14:14) Run:1
Exécuté depuis C:\Users\Doris Lienhart\Desktop
Profils chargés: Doris Lienhart
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
Start:
CloseProcesses:
CreateRestorePoint:
R2 ScreenConnect Client (274aadff-6fe4-4897-9524-e5335f2fc2aa); C:\Users\Doris Lienhart\AppData\Local\Apps\2.0\L0YE0XPY.8DH\795AN30B.782\scre..tion_2c2536e5112611c9_0006.0003_5a191960d67acf32\ScreenConnect.ClientService.exe [90768 2024-07-26] (ScreenConnect Software -> )
2024-07-26 14:15 - 2024-07-26 17:24 - 000000000 ____D C:\ProgramData\scre..tion_2c2536e5112611c9_0006.0003_5a191960d67acf32
2024-07-26 14:15 - 2024-07-26 14:15 - 000086672 _____ C:\Users\Doris Lienhart\Downloads\ConnectWiseControl.Client.exe
2024-07-26 14:15 - 2024-07-26 14:15 - 000000000 ____D C:\Users\Doris Lienhart\AppData\Local\Deployment
2024-07-26 14:15 - 2024-07-26 14:15 - 000000000 ____D C:\Users\Doris Lienhart\AppData\Local\Apps\2.0
2024-07-26 14:12 - 2024-07-26 14:13 - 000000000 ____D C:\Users\Doris Lienhart\AppData\Roaming\AnyDesk
2024-07-26 14:12 - 2024-07-26 14:12 - 000394240 _____ (Google Inc.) C:\Users\Doris Lienhart\Downloads\gcapi.dll
2024-07-26 14:10 - 2024-07-26 14:10 - 005367624 _____ (AnyDesk Software GmbH) C:\Users\Doris Lienhart\Downloads\AnyDesk.exe
EmptyTemp:
RemoveProxy:
Reboot:
End:
*****************

Processus fermé avec succès.
Le Point de restauration a été créé avec succès.
HKLM\System\CurrentControlSet\Services\ScreenConnect Client (274aadff-6fe4-4897-9524-e5335f2fc2aa) => supprimé(es) avec succès
ScreenConnect Client (274aadff-6fe4-4897-9524-e5335f2fc2aa) => service supprimé(es) avec succès

"C:\ProgramData\scre..tion_2c2536e5112611c9_0006.0003_5a191960d67acf32" Dossier déplacer:

C:\ProgramData\scre..tion_2c2536e5112611c9_0006.0003_5a191960d67acf32 => déplacé(es) avec succès
C:\Users\Doris Lienhart\Downloads\ConnectWiseControl.Client.exe => déplacé(es) avec succès

"C:\Users\Doris Lienhart\AppData\Local\Deployment" Dossier déplacer:

C:\Users\Doris Lienhart\AppData\Local\Deployment => déplacé(es) avec succès

"C:\Users\Doris Lienhart\AppData\Local\Apps\2.0" Dossier déplacer:

C:\Users\Doris Lienhart\AppData\Local\Apps\2.0 => déplacé(es) avec succès

"C:\Users\Doris Lienhart\AppData\Roaming\AnyDesk" Dossier déplacer:

C:\Users\Doris Lienhart\AppData\Roaming\AnyDesk => déplacé(es) avec succès
C:\Users\Doris Lienhart\Downloads\gcapi.dll => déplacé(es) avec succès
C:\Users\Doris Lienhart\Downloads\AnyDesk.exe => déplacé(es) avec succès

========= RemoveProxy: =========

"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-2443280852-186902292-3937583326-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-2443280852-186902292-3937583326-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

FlushDNS => terminé(e)
BITS transfer queue => 0 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 63465393 B
Java, Discord, Steam htmlcache, WinHttpAutoProxySvc/winhttp *.cache => 0 B
Windows/system/drivers => 85769760 B
Edge => 0 B
Chrome => 114046698 B
Firefox => 1101351488 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 72286 B
NetworkService => 73464 B
Doris Lienhart => 791947003 B

RecycleBin => 905490 B
EmptyTemp: => 2 GB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 14:15:01 ====

[Malekal_morte]

Je pense que nous en avons terminé avec ScreenConnect =)

Supprime C:\FRST et ses restes.

A lire : que faire après une attaque de virus informatique.
Change tes mots de passe et suis les instructions pour la bonne conduite pour ne plus te faire infecter.

Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?

Si l'aide t'a contenu ou si les tutoriels du site t'ont aidé, tu peux prendre le temps d'évaluer le site sur Bing, ce serait sympa : Evaluer le site malekal.com

[Alex_67]

Super,
C'est maintenant chose faite !
Un grand merci pour votre aide !!