Nettoyer PC suite à une arnaque à la fausse assistance technique [résolu]

[alaka]

Bonjour,

je suis nouvellement inscrite sur le forum mais il m'a déjà beaucoup aidé par le passé, un grand merci à la communauté car j'y ai trouvé beaucoup de réponses.

Cette fois je sollicite en direct votre aide pour être certaine de bien nettoyer le pc de mon père. Il s'est fait avoir par une arnaque à la fausse assistance technique, ils lui ont soutiré 1016 euros ! J'ai réussi à les faire rembourser car heureusement j'ai pu intervenir assez tôt avant qu'ils finissent de tout lui installer. Parallèlement au signalement sur PHAROS, j'ai commencé à nettoyer son pc et à désinstaller ce qu'ils avaient déjà réussi à installer.

Cependant, je suis limitée dans l'analyse des rapports FRST ci-dessous et la génération d'un fix potentiellement nécessaire.
Si quelqu'un pouvait m'aider ce serait génial.

FRST.txt :
https://pjjoint.malekal.com/files.php?i ... 11t1510q12

Shortcut.txt :
https://pjjoint.malekal.com/files.php?i ... o6f13y5o10

Addition.txt :
https://pjjoint.malekal.com/files.php?i ... 6k14d10c11

Un grand merci par avance,

[Malekal_morte]

Bonsoir,

Bienvenue à toi.
Tu peux désinstaller cela, pas très utile :

CCleaner
CyberLink

Quelques restes de l'intervention par les faussaires dont ChicaLogic et des outils utilisés après comme Hitman Pro ou AdwCleaner.
Par contre le script FRST va supprimer Teamviewer, j'imagine qu'il était utilisé durant l'intervention.
Si c'est toi qui l'utilise pour accéder au PC de ton père, il ne faut pas utiliser ce script (ou retirer les lignes Teamviewer).


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
2021-08-30 18:14 - 2021-08-30 18:16 - 000000000 ____D C:\AdwCleaner
2021-08-30 18:01 - 2021-08-30 18:01 - 000000000 ____D C:\Users\JACQUES\AppData\Roaming\WildTangent
2021-08-30 17:59 - 2021-08-30 17:59 - 000000000 ____D C:\Windows\system32\Tasks\Intel
2021-08-30 17:59 - 2021-08-30 17:59 - 000000000 ____D C:\Program Files\Intel Corporation
2021-08-24 12:46 - 2021-08-24 12:49 - 000000000 ____D C:\ProgramData\HitmanPro
2021-08-24 12:46 - 2021-08-24 12:46 - 000040960 _____ C:\Windows\system32\Drivers\hitmanpro37.sys
2021-08-24 12:46 - 2021-08-24 12:46 - 000000000 ____D C:\Program Files (x86)\Adware Removal Tool by TSA
2021-08-24 11:37 - 2021-08-24 11:37 - 000058741 _____ C:\Users\JACQUES\Documents\recu-ordinateur.pdf
2021-08-24 10:16 - 2021-08-24 10:16 - 000000000 ____D C:\Users\JACQUES\AppData\Roaming\ChicaLogic
2021-08-24 10:16 - 2021-08-24 10:16 - 000000000 ____D C:\ProgramData\ChicaLogic
2021-08-24 09:59 - 2021-08-24 09:59 - 000000000 ____D C:\Users\JACQUES\AppData\Local\TeamViewer
2021-08-24 09:58 - 2021-08-30 18:30 - 000000000 ____D C:\Program Files\TeamViewer
2021-08-24 09:58 - 2021-08-24 09:58 - 000000000 ____D C:\Users\JACQUES\AppData\Roaming\TeamViewer
"C:\Program Files (x86)\GlobalExtra
Hosts:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

[alaka]

Bonjour !

Merci beaucoup pour la réponse rapide.
Effectivement teamviewer a été utilisé par les faussaires. J'avais commencé par désinstaller celui-là. Je n'aurai pas pensé qu'il reste encore des traces. Idem pour les autres.
Je vais suivre tes indications et je reviens avec le contenu du .txt dès que j'ai tout fait.

[Malekal_morte]

De rien =)
Après surveiller les données bancaires ou faire opposition à la carte, si elle a été donnée par prévention.

Bonne fin de journée !

[alaka]

oui l'opposition à la carte a été fait assez rapidement même si ils lui avaient déjà débité la somme... Franchement, j'avais des doutes sur le fait qu'ils remboursent mais ils l'ont fait dans l'heure qui a suivi la réclamation bien salée avec menaces de plainte etc. que je leur ai envoyé, ils ont dû se rendre compte que c'était plus le "p'tit vieux" démuni qui était devant son ordi et qu'ils venaient de se faire démasquer. Mais c'est très certainement parce qu'ils n'ont pas eu le temps de terminer leurs installations donc "légalement" aucune raison d'être payé. Ou peut-être qu'on a eu juste de la chance punaise. Ils ont commencé à manipuler mon père en milieu de matinée, en milieu d'après-midi ils nous confirmaient par mail le remboursement.
D'ailleurs pour info, c'est le site 24sept.com, il fait très pro quand on n'y connait rien. Mais l'absence d'infos légales, de coordonnées précises etc. donne le ton. C'est une boite des émirats qui possède aussi 24seven (même principe) et un paquet d'autres.

En tout cas voilà le fixlog.txt, j'imagine à la lecture que ça confirme que le script a fonctionné ?

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 01-09-2021
Exécuté par JACQUES (02-09-2021 19:06:15) Run:1
Exécuté depuis C:\Users\JACQUES\Desktop
Profils chargés: JACQUES
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
Start:
CloseProcesses:
CreateRestorePoint:
2021-08-30 18:14 - 2021-08-30 18:16 - 000000000 ____D C:\AdwCleaner
2021-08-30 18:01 - 2021-08-30 18:01 - 000000000 ____D C:\Users\JACQUES\AppData\Roaming\WildTangent
2021-08-30 17:59 - 2021-08-30 17:59 - 000000000 ____D C:\Windows\system32\Tasks\Intel
2021-08-30 17:59 - 2021-08-30 17:59 - 000000000 ____D C:\Program Files\Intel Corporation
2021-08-24 12:46 - 2021-08-24 12:49 - 000000000 ____D C:\ProgramData\HitmanPro
2021-08-24 12:46 - 2021-08-24 12:46 - 000040960 _____ C:\Windows\system32\Drivers\hitmanpro37.sys
2021-08-24 12:46 - 2021-08-24 12:46 - 000000000 ____D C:\Program Files (x86)\Adware Removal Tool by TSA
2021-08-24 11:37 - 2021-08-24 11:37 - 000058741 _____ C:\Users\JACQUES\Documents\recu-ordinateur.pdf
2021-08-24 10:16 - 2021-08-24 10:16 - 000000000 ____D C:\Users\JACQUES\AppData\Roaming\ChicaLogic
2021-08-24 10:16 - 2021-08-24 10:16 - 000000000 ____D C:\ProgramData\ChicaLogic
2021-08-24 09:59 - 2021-08-24 09:59 - 000000000 ____D C:\Users\JACQUES\AppData\Local\TeamViewer
2021-08-24 09:58 - 2021-08-30 18:30 - 000000000 ____D C:\Program Files\TeamViewer
2021-08-24 09:58 - 2021-08-24 09:58 - 000000000 ____D C:\Users\JACQUES\AppData\Roaming\TeamViewer
"C:\Program Files (x86)\GlobalExtra
Hosts:
Reboot:
End:
*****************

Processus fermé avec succès.
Le Point de restauration a été créé avec succès.
C:\AdwCleaner => déplacé(es) avec succès
C:\Users\JACQUES\AppData\Roaming\WildTangent => déplacé(es) avec succès
C:\Windows\system32\Tasks\Intel => déplacé(es) avec succès
C:\Program Files\Intel Corporation => déplacé(es) avec succès
C:\ProgramData\HitmanPro => déplacé(es) avec succès
C:\Windows\system32\Drivers\hitmanpro37.sys => déplacé(es) avec succès
C:\Program Files (x86)\Adware Removal Tool by TSA => déplacé(es) avec succès
C:\Users\JACQUES\Documents\recu-ordinateur.pdf => déplacé(es) avec succès
C:\Users\JACQUES\AppData\Roaming\ChicaLogic => déplacé(es) avec succès
C:\ProgramData\ChicaLogic => déplacé(es) avec succès
C:\Users\JACQUES\AppData\Local\TeamViewer => déplacé(es) avec succès
C:\Program Files\TeamViewer => déplacé(es) avec succès
C:\Users\JACQUES\AppData\Roaming\TeamViewer => déplacé(es) avec succès
"C:\Program Files (x86)\GlobalExtra" => non trouvé(e)
C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.


Le système a dû redémarrer.

==== Fin de Fixlog 19:06:37 ====

[Malekal_morte]

Oui le site est totalement bidon.
C'est juste une vitrine!

Tu peux supprimer FRST sur ton bureau et le dossier C:\FRST

Je pense que l'on a terminé.
D'autres problèmes ou tout est OK ?

[alaka]

Ok ça marche, je vais faire ça.
Non, aucun autre souci, tout est ok, ouf !

Merci encore pour ton soutien et surtout ta rapidité !! C'est super gentil et ça m'a bien aidé (et ça va rassurer mon père qui était quand même bien paniqué :( le pauvre.

Bon week-end !

[Malekal_morte]

Merci bon WE à toi aussi =)