Arnaque téléphonique et ConnectWiseControl [résolu]

[elfikirax]

Bonjour à tous,

Mes parents se sont fait avoir via une arnaque téléphonique, (son fort + ecran avec numero de tel) se faisant passer pour une fausse aide Windows.

Ils ont fait installé ConnectWise Control et peut etre d'autres conneries du genre, trop paniqué elle ne se souvient pas trop. Par contre j'ai trouvé 2 fichier textes nommé "client.txt" et "client (1).txt" dans le dossier telechargement. Ces fichiers contenaient les infos completes des deux cartes banquaire de la mère.
Elle me jure ne pas les voirs donné au tel. Je ne sais pas comment ils ont pu y avoir acces

J'ai passé un antivirus, Windows n'a rien trouvé.
Au moment ou j'ai généré les rapport FRST à un moment avast c'est reveillé pour mettre en quarantaine l'installeur de ConnectWiseControl (j'ai accepté la mise en quarantaine), Frst a continué son analyse après ça.

voila les 3 liens :
https://pjjoint.malekal.com/files.php?i ... 5u10j15d13
https://pjjoint.malekal.com/files.php?i ... j15x7n12q9
https://pjjoint.malekal.com/files.php?i ... 8t5d8q5z12

Merci de votre aide

[Parisien_entraide]

Bonjour


L'antivirus ne verra rien normalement puisque le but premier est de faire acheter une suite d'antivirus (AVAST, AVIRA, etc à prix fort)
Le soucis c'est que l'on voit de plus en plus de ces arnaqueurs qui en profite EN PLUS pour voler les données personnelles (Avant et pendant l'arnaque)

La présence des fichiers.txt n'est pas apparue par magie

le "ScreenConnect.WindowsClient.exe" est effectivement toujours en place




Pour RAPPEL (message générique) mais cela te feras de la lecture en attendant que Malekal ou Angélique s'occupe des rapports et/ou amène du complément parce qu'il y a urgence avec les cartes bancaires à faire annuler pour en commander d'autres


Il s'agit d'un message d'arnaque de support téléphonique qui vise à te faire croire que ton PC est infecté pour te faire appeler un support téléphonique....
Le but de ce support est de te conforter dans le fait que ton ordinateur est infecté, pour va te faire acheter des logiciels à des prix élevés, souvent au final 200 euros.
Ces messages cherchant à bloquer le navigateur WEB et indiquant que le PC est infecté viennent de publicités sur des sites de streaming/torrent illégaux, les publicités sur Facebook en diffusent aussi.

Cela peut aussi aller par des campagnes téléphoniques, où tu reçois un appel par un technicien se faisant passer pour Microsoft.
Ton ordinateur n'est pas infecté.

Ces fausses alertes de virus sont monnaie et pas que dans ce contexte, par exemple, ces fausses alertes peuvent aussi servir pour refiler des logiciels de nettoyage peu fiables (Reimage, PCKepeer, MacKeeper, etc). Lire ces dossiers pour bien comprendre et avoir des exemples.
- les arnaques de support téléphonique
- Arnaque : les fausses alertes de virus

1/ Signalez le : Si tu as appelé le numéro de téléphone... Je t'invite à aller signaler ces pratiques, donne le nom de la société ainsi que le numéro de téléphone de contact qui s'est affiché sur le faux message de virus.

Signale les sur :

• Portail Pharos
• reporter l'arnaque à Microsoft

2/ Rappel les et menace les de porter plainte, demande à être rembourser, vous avez 14 jours de rétractation.
N'hésite pas à les harceler parfois cela fonctionne.
Plus d'informations : Recours pour les victimes de virus ou arnaque sur internet.

3/ vas dans le Panneau de configuration
puis programmes et fonctionnalités.
Trie la liste par date en cliquant sur la colonne.
Désinstalle tous les logiciels qui ont été installés le jour de la prise en main.

4/ Faire opposition à la banque pour éviter les prélèvements (abonnement à leurs support ou logiciel)

5/ Faire lire le dossier suivant à la victime pour comprendre ce qui s'est passé.
d'arnaque de support téléphonique

[Malekal_morte]

Salut,

Je pense que tu peux désinstaller tous les programmes Avast!
Encombrant, laisse Windows Defender.

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
2025-02-06 14:50 - 2025-02-08 13:36 - 000000000 ____D C:\Users\elfik\AppData\Local\Deployment
2025-02-06 14:50 - 2025-02-08 13:10 - 000000000 ____D C:\ProgramData\scre..tion_2c2536e5112611c9_0006.0003_5a191960d67acf32
2025-02-06 14:50 - 2025-02-06 14:50 - 000000000 ____D C:\Users\elfik\AppData\Local\Apps\2.0
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

Important :

Le contenu de la correction ne doit pas être vide et doit refléter le script donné précédemment.
Dans le cas où la correction est vide, essaye de faire la correction FRST comme ceci :

Place le programme FRST sur le bureau
Ouvre le bloc-note.
Colle le script donné plus haut.
Enregistre le fichier sur le sur le bureau de Windows (pas ailleurs) sous le nom de fixlist.txt.
Relance FRST puis Corriger.

[elfikirax]

Merci beaucoup pour vos réponces

Voila le Fixlog

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 03-02-2025
Exécuté par elfik (08-02-2025 16:56:17) Run:1
Exécuté depuis C:\Users\elfik\OneDrive\Bureau
Profils chargés: elfik
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
Start:
CloseProcesses:
CreateRestorePoint:
2025-02-06 14:50 - 2025-02-08 13:36 - 000000000 ____D C:\Users\elfik\AppData\Local\Deployment
2025-02-06 14:50 - 2025-02-08 13:10 - 000000000 ____D C:\ProgramData\scre..tion_2c2536e5112611c9_0006.0003_5a191960d67acf32
2025-02-06 14:50 - 2025-02-06 14:50 - 000000000 ____D C:\Users\elfik\AppData\Local\Apps\2.0
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End:̩
*****************

Processus fermé avec succès.
Le Point de restauration a été créé avec succès.

"C:\Users\elfik\AppData\Local\Deployment" Dossier déplacer:

C:\Users\elfik\AppData\Local\Deployment => déplacé(es) avec succès

"C:\ProgramData\scre..tion_2c2536e5112611c9_0006.0003_5a191960d67acf32" Dossier déplacer:

C:\ProgramData\scre..tion_2c2536e5112611c9_0006.0003_5a191960d67acf32 => déplacé(es) avec succès

"C:\Users\elfik\AppData\Local\Apps\2.0" Dossier déplacer:

C:\Users\elfik\AppData\Local\Apps\2.0 => déplacé(es) avec succès
C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.

========= RemoveProxy: =========

"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1433481653-3750445312-1882938215-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1433481653-3750445312-1882938215-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

FlushDNS => terminé(e)
BITS transfer queue => 0 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 1504793225 B
Java, Discord, Steam htmlcache, WinHttpAutoProxySvc/winhttp *.cache => 0 B
Windows/system/drivers => 35861310 B
Edge => 0 B
Chrome => 582316880 B
Firefox => 0 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 160 B
systemprofile32 => 176 B
LocalService => 469068 B
NetworkService => 469068 B
elfik => 127729614 B

RecycleBin => 0 B
EmptyTemp: => 2.1 GB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 17:00:33 ====

J'espere que tout est ok.
Merci encore.

[Malekal_morte]

Supprime C:\FRST et ses restes.

A lire : que faire après une attaque de virus informatique.
Change tes mots de passe et assure toi que Windows Defender fonctionne correctement (protections activées et qu'il n'y a pas d'exceptions ajoutées).

Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?

[elfikirax]

Supprime C:\FRST et ses restes.

A lire : que faire après une attaque de virus informatique.
Change tes mots de passe et assure toi que Windows Defender fonctionne correctement (protections activées et qu'il n'y a pas d'exceptions ajoutées).

Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?

Voila c'est fait.
j'ai egalement viré avast et activé Windows Defender.
Merci encore.
Bon week end