QUE FAIRE APRES UNE INFECTION ou SUSPICION et par PRECAUTION ? - QUE FAIRE POUR SECURISER ?
DE MANIERE GLOBALE 
Que faire après une attaque de virus informatique ?. Comment protéger son PC des virus et des pirates ?. Sécuriser son PC en Windows 10 ou Windows 11 : 18 astuces. Cas particulier
Arnaque au support téléphonique. ==================================
1) APRES UNE INFECTION ou SUSPICION et par PRECAUTION, (Mais APRES analyse et correction traitée dans le forum avec FRST - Farbar Recovery Scan Tool)REINITIALISER LES NAVIGATEURS ==================================
Réinitialiser les navigateurs et/ou re-paramètrer manuellement les navigateurs WEB ( page de démarrage, moteur de recherche, etc ) mais aussi supprimer/désactiver les extensions inutiles/parasites.
Pour aider à effectuer ce ménage, cliquer ci-dessous sur le nom du navigateur WEB que utilisé :
- Reinitialiser Mozilla Firefox (premier paragraphe)
- Réinitialiser Google Chrome (premier paragraphe)
- Comment réparer ou réinitialiser Microsoft Edge
Réinitialiser est nécessaire car on peut trouver du crypto miner, des liens C2 etc (caché dans un fichier .json par ex) et cela n'est pas visible en analyse (sauf les Browser Hijacker qui laissent apparaitre pour la plupart les liens de redirections et autres)
Pour les publicités, extensions parasites et adwares, ce qu'il faut savoir :
* Le piège des notifications : Publicités sur Chrome sur PC ou Smartphone : le piège des notifications
* Les extensions parasites et Adwares : Adwares et PUPs: Extension malveillante sur Chrome et Firefox
CHANGER LES MOTS DE PASSE==================================
Ne pas stocker les login mot de passe dans le navigateur. Un simple script permet de les récupérer
Par sécurité changer les mots de passes et utiliser un gestionnaire de mots de passe
https://www.malekal.com/keepassxc-le-ge ... piratages/ (Gratuit et efficace)
Activer la double authentification si le site ou service web le permet
https://www.malekal.com/la-double-authe ... ca-marche/
Sinon se rappeler que l'antivirus n'est qu'une brique dans la sécurité du PC
Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?
REPARATION DE WINDOWSA SAVOIR : Après une infection et nettoyage (ou même avant) surtout avec les STEALERS qui peuvent venir en plus avec des RANSOMWARES, MINEUR DE BITCOINS, ... dont la cause est pratiquement toujours la même hors Phishing : Les CRACKS, les infections liées, soient contournent, et/ou soient désactivent les protections en place de façon sale (Et ils ne font pas que cela)
Concernant les cracks et les dernières infections en vogue
viewtopic.php?p=544690#p544690 Qui résume le comment le pourquoi et surtout les conséquences
De base, ce qu'est un Stealer : https://www.malekal.com/trojan-stealer/
il y aura donc obligatoirement des dysfonctionnements dont pour Microsoft Defender, avec : Impossibilité de le faire fonctionner, ou alors il y a les fameux messages
De plus, vous ne pouvez modifier aucun paramètre en effet, le message suivant apparaît :Votre protection contre les virus et menace est gérée par votre organisation.
Au mieux télécharger le scriptCe paramètre est gérer par votre administrateur.
https://www.malekal.com/windows-defende ... anisation/
Néanmoins, dans la majorité des cas, il faudra passer par la phase de réparation de Windows
Windows 10 : Comment réparer Windows 10 sans perte de données
Windows 11 : Comment réparer Windows 11 sans perte de données
Important : Faire une sauvegardes des données AVANT de procéder
==================================
2) MIEUX SECURISER (Le minimum qui suffit pour la majorité des gens)==================================
Et avant tout
Comment les virus informatiques sont distribués Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs :
On peux améliorer les protections et sécurité de Windows en suivant ces indications, et là, pas besoin d'un antivirus tiers ou de programmes tiers payants
De base je conseille Hardentools (cité plus bas) et les scripts proposés par Malekal (dont pour le firewall)
Protéger les navigateurs==================================
Cela traite de Firefox mais on peut retrouver les memes extensions sur Chrome (Mais parfois moins efficaces comme Ublock Origin)
Par contre du fait du fonctionnement de Chrome, une extension comme uBlock Origin sera nettement moins efficace sur Chrome/Chromium que sur Firefox surtout avec le manifestV3
Donc le minimum est d'installer uBlock Origin
Dans le lien on trouvers les articles du site pour encore aller plus loin dans les réglages de uBlock Origin et d'autres modules liés à la sécurité
viewtopic.php?p=527443/
Une partie est dédiée aux AdBlock et pourquoi il ne faut pas utiliser ceux dont il est fait état
viewtopic.php?p=528497#p528497
Je conseille fortement d'utiliser un gestionnaire .js (Javascript) soit comme celui intégré dans Ublock Origin
https://github.com/gorhill/uBlock/wiki/ ... -scripting
Soit d'utiliser le module complémentaire "No Script"'
Le soucis est que pour de nombreux sites il faut gérer ces blocages, et cela peut être pénible au début
Ensuite il faut se rappeler que cette fonction existe si il y a des blocages, donc ce n'est pas une fonction à mettre en place qui va pouvoir se gérer toute seule, mais celle ci est importante
Les raisons
https://www.malekal.com/noscript-filtre ... avascript/
L'étape au dessus est de s'affranchir des AdBlocker et installer AdGuard Home avec ses DNS sécurisés et pas, que puisqu'en fait vous gérez votre propre serveur, c'est vous qui le contrôlez, ou alors installer un un Pi Hole..
Néanmoins cela demande quelques connaissances
pi-hole : bloquer la publicité et trackers
https://www.malekal.com/pi-hole-bloquer ... -trackers/
Installer AdGuard Home avec DNSSEC+Secure DNS sur un Raspberry
https://www.malekal.com/installer-adgua ... raspberry/
Sécuriser le PC
Securiser son PC (l'usage d'OS Armor n'est pas obligatoire tout comme Comodo Firewall)https://www.malekal.com/securiser-pc-windows-10/
On peut très bien régler/affiner Windows defender(Voir la seconde partie du message)
Le tout combiné avec (pour le firewall)https://www.malekal.com/windows-firewal ... -defender/
ET
Firewall les bons réglages avec un script prêt à l'emploihttps://www.malekal.com/firewall-window ... n-reglages
Blocages de scripts avec HARDENTOOLS (Qui va grandement réduire la surface d'attaque des malwares)https://www.malekal.com/hardentools-securiser-windows/
et compléments viewtopic.php?t=60030
Comment désactiver PowerShell par le registre Windows (avec un script d'activation et désactivation powershell ET mshta )https://www.malekal.com/comment-desacti ... ell-mshta/
Cela fait double emploi avec ce que fait hardentools pour powershell, mais il y a 2 scripts (Activation/désactivation) sous forme de .reg bien utiles
Edit : On peut installer PowerShell 7, qui alors n'est plus une fonction système mais un programme à part entière qui va s'installer dans "Program files"
Lien Github avec les explications et téléchargements : https://github.com/PowerShell/PowerShell
Lien Microsoft pour autres détails : https://learn.microsoft.com/fr-fr/power ... rshell-7.4
Je conseille d'avoir les 2.reg (Activation/Désactivation) à portée de main, cela évite de relancer Hardentools pour réactiver PowerShell en cas de besoin (99% des utilisateurs n'en n'ont pas besoin, c'est juste "au cas où")
Là on a tout ce qu'il faut pour se protéger (même avec un .pdf vérolé en phishing ou avec un script foireux via powershell)
Néanmoins on peut passer à l'étape au dessus (Pour utilisateurs confirmés)
SIMPLEWALLSimplewall n'est pas une interface utilisateur de contrôle sur le pare-feu Windows et n'interagit à AUCUN niveau avec le pare-feu Windows.
Il fonctionne sur la plate-forme de filtrage Windows (WFP), qui est un ensemble d'API et de services système qui fournissent une plate-forme pour créer des applications de filtrage réseau.
viewtopic.php?t=74733
Bloquer les exécutables sensibles de Windows pour le sécuriserhttps://www.malekal.com/bloquer-executa ... securiser/
Dans l'article il y a 2 scripts : Pour activer et désactiver
On peut également les modifier si une ligne de restriction pose problème
A CONSIDÉRER:
Aucun AV ne peut se vanter de bloquer tous les ransomwares et surtout stealer du fait, par exemple, qu'ils n'arrivent pas le plus souvent à déterminer si le script Powershell est lancé volontairement par l'utilisateur ou par un tiers non autorisé
C'est pour cela que l'on voit des taches programmées actives liées
Néanmoins avec le blocage de scripts via ce qui précède, l'action des ransomwares, stealers sera jugulée dès lors qu'ils utilisent PowerShell (ce qui est le cas)
Le trojan de base (ou le leurre envoyé par le programme malfaisant) lui sera "normalement" bloqué par l'anti virus
Une des raisons principale qui concerne tous les antivirus : Le trou dans la raquette
viewtopic.php?p=541514#p541514
Rappel :
Concernant les cracks et les dernières infections en vogue comme les stealers
viewtopic.php?p=544690#p544690 Qui résume le comment le pourquoi et surtout les conséquences
De base, ce qu'est un Stealer : https://www.malekal.com/trojan-stealer/
METTRE A JOUR SES PROGRAMMES==================================
On ne compte plus le nombre de programmes malveillants qui passent par la fenêtre du fait d'applications détenues sur le PC qui ne sont pas à jour. Donc la règle
- Maintenir ses programmes à jour avec par ex par exemple en gratuit QuickInstaller : https://www.malekal.com/quickinstaller- ... n-un-clic/
Sinon en payant il existe Ucheck (Recommandé par l'auteur de Sumo aujourd'hui disparu) et d'autres
https://www.malekal.com/mettre-a-jour-a ... s-windows/
- Ne pas garder de programmes obsolètes sur son PC pour du "au cas où"
Pour mettre en avant ce principe important de mise à jour on a eu le cas du programme de décompactage/compactage WINRAR
Les malveillants ont profité d'une faille existante pour infecter les personnes qui ouvraient des fichiers en .zip ou .rar
viewtopic.php?f=36&t=74424
Si on ne prend que le forum de Malekal, lors des analyses des logs FRST, on s'aperçoit qu'il y a environ 80% de personnes qui utilisent une version 5.xx de WINRAR
A la base ce n'est pas entièrement de leur faute, car WinRar n'a AUCUN système de mise à jour existant dans son programme
Il faut donc aller chercher manuellement sur leur site la dernière version
Plus globalement, les logiciels non à jour peuvent contenir des vulnérabilités qui peuvent permettre l'installation d'infections sur votre système de manière automatique.
Cela se fait à travers des attaques drive-by-download et des Exploitations de failles sur des sites WEB.
Maintenir l'ensemble de vos logiciels à jour réduit les chances d'infection.
A lire : viewtopic.php?p=552810#p552810
Je passe le fait de maintenir son Windows à jour, car c'est une évidence
Le seul bémol que je place, c'est de décaler l'installation des mises à jour, car on a vu par le passé certaines générant un BSOD (Ecran bleue) au redémarrage (Surtout avec Windows 11)
Il faut donc se renseigner avec un moteur de recherches sur les KB (numéros) de mises à jour pour savoir ce qui se raconte
Je conseille également de désactiver la mise à jour automatique des pilotes via Microsoft (On le voit sur les forums surtout avec les PC portables il y a souvent de gros soucis soit pour les pilotes graphiques, mais surtout pour les pilotes Wi Fi, Bluetooth, .. par exemple)
https://www.malekal.com/windows-10-11-d ... e-pilotes/
FAIRE APPARAITRE LES EXTENSIONS DE FICHIERSLe masquage des extensions et la sécuritéLe problème : Microsoft masque par défaut les extensions de fichiers dans Windows, même s'il s'agit d'un risque de sécurité couramment utilisé par les e-mails de phishing et les distributeurs de logiciels malveillants pour inciter les utilisateurs à ouvrir des fichiers malveillants.
Fichiers masqués et problèmes de sécurité
https://www.malekal.com/extensions-fich ... securite/
Il y a 2 cas de figure
- Une double extension
- Un fichier avec une extension en .exe au lieu de .pdf par contre mais dont l'icone est celle du fichier .pdf
Une extension de fichier correspond aux lettres immédiatement affichées après le dernier point dans un nom de fichier et est utilisée par le système d'exploitation pour déterminer quel programme est utilisé pour ouvrir, afficher et utiliser le fichier.
Par exemple, le fichier report.txt a une extension .txt , qui est associée au programme Windows Notepad pour ouvrir et afficher son contenu.
Les auteurs de malwares ont su tirer parti du masquage des extensions depuis bien longtemps et c'est toujours d'actualité en 2024
Lors des grandes vagues de vers de mail, dans les années 2004-2005, les auteurs de malwares envoyaient des mails avec des doubles extensions afin de tromper les internautes.
Cela a été réactualisé depuis avec les malwares et les liens .lnk (on notera le lien avec Powershell et les scripts dont .vbs, d'où l'usage de Hardentools)
Malware .lnk
https://www.malekal.com/lnk-malware/
Malware .lnk - Powershell Campagne visant la France
https://www.malekal.com/trojan-lnk-malw ... nt-france/
Là le problème est spécifique car Windows par défaut ne lit.. Que la première extension
Imaginez que l'on vous envoie un mail proposant d'ouvrir une vidéo contenant une pièce jointe avec comme nom de fichier : videos.avi.exe
Windows va masquer la dernière extension, nous verrons donc videos.avi avec comme type de fichiers "fichier exécutable".
Seulement, lorsque vous ouvrez une piège jointe, le type de fichier n'apparaît pas.
L'internaute voit video et l'extension .avi, il sait que avi est une extension de type vidéo. Dans le mail, on lui parle de vidéos... naïf, il ouvre donc la-dite vidéo qui est, en fait, un fichier exécutable... L'infection s'installe.
Au plus simple si on ne laisse pas apparaitre les extensions de fichiers, celui reçu/téléchargé affichera tout simplement un "video.exe" ou un "fichier_PDF.exe avec.. L'icone d'un fichier .pdf ou .avi (idem avec les fichiers issus de Microsoft Office etc)
Exemple : Ces fichiers semblent identiques, pourtant celui de droite comportent une extension .exe au lieu de .pdf
Il est donc impératif d'afficher les extensions de fichiers
https://www.malekal.com/windows-11-affi ... fichiers/ (idem sous les anciennes versions de Windows)
ALLER PLUS LOIN
On peut aller nettement plus loin dans la sécurisation (Ordinateur Réseaux, paramètres, ...) , MAIS :
Il faut trouver le juste équilibre entre sécuriser et ne pas être ennuyé par de multiples avertissements, des blocages, des "possibles" faux positifs, des ralentissements, etc (la liste est longue)
Donc ce qui précède est un juste compromis, qui suffit pour 99% des gens, est accessible à tous et ne vous embêtera pas (sauf si vous paramétrez DefenderUI à fond) . Il suffit de bien lire les tutos
Par exemple il existe des scripts de renforcement pour Windows10 et 11 (Derrière on a Andy Gill bien connu dans le domaine de la sécurité)
Windows Hardening Scripts
https://github.com/ZephrFish/WindowsHardeningScript
MAIS et l'auteur le précise bien, c'est à destination des pros de la sécurité et administrateurs systèmes
Pour certains si on regarde les scripts en détails, ils sont pour ceux qui utilisent principalement l'éco système Microsoft avec Edge, Office Defender et son firewall, même si il y a une partie pour Chrome, d'autres ne servent pas vraiment pour les particuliers etc
Donc on n'applique pas bêtementPublic cible : le script est conçu explicitement pour les professionnels de la sécurité et les administrateurs système qui comprennent les subtilités des systèmes d'exploitation Windows et de leurs cadres de sécurité.
De plus certains scripts vont introduire une charge supplémentaire (consommation des ressources) et c'est normal
Il faut donc choisir en sachant ce que c'est et les implications, et en se rappelant que c'est en lien avec la configuration de votre Windows, usage etc Il n'y a donc pas de règle unique
____________________________
A LIRE Des conseils, des outils, ....
Le site : https://digital-defense.io/
En plus ciblé, avec une sécurisation progressive et en fin de page des liens pour les outils
https://digital-defense.io/checklist/pe ... computers/
De base c'est parti de là
https://github.com/Lissy93/personal-security-checklist
Avec les détails
https://github.com/Lissy93/personal-sec ... -computers