Empêcher le service rpcnetp de se lancer

[KarlFranz]

Bonjour,

Suite à la lecture d'un article du blog Korben sur le logiciel espion rpcnet, je tente d'empêcher ce dernier de se lancer.

En effet, le service rpcnetp se lance souvent au démarrage (pas toujours mais souvent). Il est lié au fichier rpcnetp.exe dans C:\Windows\System32.

Une fois j'ai tenté de replacer ce fichier par un autre (en fait, un fichier Word renommé rpcnetp.exe) mais apparemment il génère un nouveau fichier rpcnetp.exe à chaque démarrage de Windows.

Maintenant ce que je voudrais faire c'est arrêter le service chaque fois que je lancer Windows. Pour cela, je procéderais en deux temps :

1. Créer un fichier .bat ou .cmd pour désactiver le service. La commande "Net stop rpcnetp" fonctionne mais je ne sais pas la mettre en batch. En fait, j'ai créé un fichier "Stop_le_mouchard.bat" dont le contenu est "Net stop rpcnetp" mais ça ne fonctionne pas. C'est mon premier batch depuis au moins 7 ans donc je ne sais pas faire.

2. Après il faudrait demander à Windows de lancer le .bat à chaque démarrage de session

Toute aide serait bienvenue. Il y a probablement d'autres méthodes pour neutraliser ce mouchard auxquelles je ne pense pas. Contrairement à ce qu'écrivait Korben, il doit être possible de le neutraliser de manière durable.

[Parisien_entraide]

Bonjour,

"Contrairement à ce qu'écrivait Korben" ?
Visiblement tu as mal lu et tu n'as pas compris le fonctionnement

viewtopic.php?t=47894&start=https://for ... 894&start=

Si tu penses régler cela à coup de .bat c'est raté. C'est du meme ordre que

https://forum.hardware.fr/forum2.php?co ... w=0&nojs=0

Tu peux juste l'empecher de communiquer (fichier HOSTS)

Edit
https://sourceforge.net/projects/comput ... e/download

Sinon :

127.0.0.1 search.namequery.com
127.0.0.1 search.us.namequery.com",
127.0.0.1 search64.namequery.com
127.0.0.1 bh.namequery.com
127.0.0.1 namequery.nettrace.co.za
127.0.0.1 search2.namequery.com
127.0.0.1 m229.absolute.com
127.0.0.1 m*.absolute.com
127.0.0.1 209.53.113.223

[KarlFranz]

Merci pour ces liens qui me rafraîchissent la mémoire.

Je viens de mettre à jour le fichier hosts.

Pour info l'outil que j'ai téléchargé grâce à ton lien me donne le résultat suivant :

LOOKING IN SYSTEM32...

- rpcnet.exe does not exist.
- rpcnetp.exe is here : Bad news for you, seems anyone can remote control your device...
- wceprv.exe does not exist.
- identprv.exe does not exist.
- Upgrd.exe does not exist.
- autochk.exe.bak does not exist.

LOOKING IN REGISTRY...

- System\CurrentControlSet\Services\rpcnet does not exist.
- System\CurrentControlSet\Services\rpcnetp is here : Bad news for you, seems anyone can remote control your device...

LOOKING IN RUNNING PROCESSES...

- rpcnet does not exist.
- rpcnetp does not exist.


Je voudrais savoir s'il y a moyen d'aller plus loin.

A mon avis le pouvoir du mouchard n'est pas absolu. A chaque démarrage de Windows il va créer un fichier rpcnetp.exe, un fichier rpcnetp.dll et réactiver le service rpcnetp qui y est associé. Il crée aussi une clef de registre puisque j'avais supprimé la clef de registre du rpcnetp et qu'elle est réapparue (selon le rapport ci-dessus). Mais quand Windows a terminé son démarrage on peut détruire ces deux fichiers et arrêter le service associé (et détruire la clef de registre, mais c'est toujours plus compliqué d'aller dans le registre).

Pour arrêter le service, il est possible d'afficher la liste des processus en cours avec CTRL MAJ ESCAPE, puis de sélectionner le processus en arrière-plan rpcnetp.exe, faire clic-droit et sélectionner fin de tâche. Tant que je ne redémarre pas Windows, le service ne se relance pas - je l'ai fait un certain nombre de fois.

Si je veux que ces opérations se fassent à chaque démarrage je dois utiliser un fichier .bat et le régler pour qu'il se lance automatiquement au démarrage.

J'espère être clair sinon je peux toujours (tenter de) reformuler.

[angelique]

Bonjour,

Tu veux un .bat qui:

Code : Tout sélectionner

echo off
title rpcnetp
cls
color 0f
pause
sc stop rpcnetp
cd C:\Windows\System32\
del rpcnetp.exe
del rpcnetp.dll

?

[Parisien_entraide]

Le gros soucis avec ce truc, c'est qu'à la base tout est dans le bios

Si je me rappelle bien certains constructeurs ont mis à jour le firmware pour se débarrasser de Computrace (iil y a une faille)

Le fait de décharger le service n'empêchera jamais une infection de faire des modifications (comme pour l'affaire du bios/uefi modifié)
La partie logicielle est juste là pour faciliter la vie de ceux qui "en face" voudraient s'en servir avec une procédure d'appel à distance

Du reste il faut savoir que la société qui gère ce composant n'a la trace que d'une petite partie des activations de computrace.. il est facile de deviner qui a fait le reste

En fait on retrouve l'affaire Clipper Chip. C'est sorti par la porte mais c'est revenu par la fenêtre

C'est le même soucis avec le ME (à ne pas confondre avec l'IMEI qui est la partie logicielle) dont j'ai donné le lien
Même si on vire la partie logicielle pour le ME, on peut accéder au PC dès lors qu'il est.. sous tension ET même éteint
Vu le fonctionnement d'un RPCNET (ca date du temps des premiers IBM) c'est tout à fait possible, mais on ne trouve pas trace des détails du fonctionnement réel "atualisé"

Ensuite le .bat fonctionnera mais à quel moment le service est lancé ? (il y a plusieurs niveaux comme Boot, Boot Start, ... et c'est lancé à bas niveau donc avant même que windows se soit lancé)
Une fois qu'il est installé il "peut" communiquer avant même que le .bat soit effectif

Dans le firewall on peut bloquer les requêtes rpcnet.exe and rpcnetp.exe., ca agira pour la voie d'utilisation normale de ce truc
Quant aux antivirus, c'est sur .. liste blanche (sauf certains donc Kaspersky évidemment :-)
De toutes les façons la seule solution est un bios modé

Mais tu n'as peut etre pas de chance car la majorité des PC ayant Computrace ont une fonction dans le bios pour le désactiver... ce qui n'est pas un gage absolu car si tu désactives l'option du BIOS, il faut tout virer dans windows, car le programme qui est installé dans ton système d'exploitation sera toujours présent et continuera à fonctionner. Il pourra par exemple recevoir l'ordre de réactiver l'option du BIOS…

Ah tiens dans mes archives j'ai retrouvé son fonctionnement et ca date de ... 2009 :-) mais ca du évoluer

https://pjjoint.malekal.com/files.php?i ... 0t6p5f14q8

Concernant le bios cela dit "qu'aucune activation ou désactivation permanente ne peut être réalisée. "...