anarque et PC Privacy Shield

[Gdonizuka]

Bonjour a tous,

Hier mon père a vu sur son PC une page indiquant des problèmes de virus etc... avec un numéro à appeler pour nettoyer tout ça.
Il a appelé pour avoir de l'assistance sans savoir qu'il s'agissait d'une arnaque.
L' "assistance" à installer un outil de prise en main à distance puis a installé un logiciel de nettoyage "PC Privacy Shield 2018" qui a évidement découvert beaucoup de virus à nettoyer en urgence.
Ils lui ont demandé de payer 237€ pour effectuer le nettoyage. Ils l'ont redirigé vers un formulaire de paiement par CB. Il a rentré son num de CB mais le paiement a été refusé. Il a rentré le num d'une 2eme CB et la paiement a encore été refusé. Ils lui ont dit qu'ils retenteront Lundi.
Heureusement les refus ont été fait par ses banques car il y avait un doute sur le fait que ce soit frauduleux. Il a reçu un SMS des banques peu de temps après.
Depuis hier, lorsqu'il ouvrait son PC il avait la page indiquant les problèmes avec le numéro à appeler mais aujourd'hui en venant me voir, en allumant le PC, pas de message.
Je suis tombé sur votre site en cherchant comment l'aider.
J'ai donc lancé l'outil Kaspersky Virus removal Tool, il a trouvé 2 problèmes puis a demandé à redémarrer.
Au redémarrage, le PC affichait des écrans Bleu au chargement de Win10 puis je suis arrivé sur l'assistant de démarrage Windows, j'ai lancé une analyse de système avancé, ca a duré bien 30 minutes, ensuite le PC a redémarré normalement et cette fois sur le bureau l'icone de "PC Privacy Shield 2018" à disparu.
Dans le doute, j'ai lancé une analyse FRST et me voila en train de rédiger ce message pour vous demander votre aide ;)

Ci dessous les 3 fichiers, merci.

FRST : https://pjjoint.malekal.com/files.php?i ... 8t11p12i10
Addition : https://pjjoint.malekal.com/files.php?i ... t9e8x12w10
Shortcut : https://pjjoint.malekal.com/files.php?i ... 4r13z7i5t7

[Malekal_morte]

Salut,


Il s'agit d'un message d'arnaque de support téléphonique qui vise à te faire croire que ton PC est infecté pour te faire appeler un support téléphonique....
Le but de ce support est de te conforter dans le fait que ton ordinateur est infecté, pour va te faire acheter des logiciels à des prix élevés, souvent au final 200 euros.
Ces messages cherchant à bloquer le navigateur WEB et indiquant que le PC est infecté viennent de publicités sur des sites de streaming/torrent illégaux, les publicités sur Facebook en diffusent aussi.

Cela peut aussi aller par des campagnes téléphoniques, où tu reçois un appel par un technicien se faisant passer pour Microsoft.
Ton ordinateur n'est pas infecté.

Ces fausses alertes de virus sont monnaie et pas que dans ce contexte, par exemple, ces fausses alertes peuvent aussi servir pour refiler des logiciels de nettoyage peu fiables (Reimage, PCKepeer, MacKeeper, etc). Lire ces dossiers pour bien comprendre et avoir des exemples.
- les arnaques de support téléphonique
- Arnaque : les fausses alertes de virus


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
2020-12-18 09:30 - 2020-12-19 17:04 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PC Privacy Shield 2018
2020-12-18 09:30 - 2020-12-19 17:04 - 000000000 ____D C:\Program Files (x86)\PC Privacy Shield 2018
2020-12-18 09:30 - 2020-12-19 15:51 - 000000000 ____D C:\Users\Paul\AppData\Local\PCPrivacyShield2018
2020-12-18 09:29 - 2020-12-19 17:04 - 000000000 ____D C:\ProgramData\scre..tion_2c2536e5112611c9_0006.0003_eb1b38d6bf0fc0d9
2020-12-18 09:28 - 2020-12-18 09:29 - 000000000 ____D C:\Users\Paul\AppData\Local\Deployment
2020-12-18 09:26 - 2020-12-18 09:27 - 000000000 ____D C:\Users\Paul\AppData\Roaming\AnyDesk
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

[Gdonizuka]

Ok, merci beaucoup pour ta réponse !
Je vais essayer de faire le nettoyage aujourd'hui.

J'ai 2 questions lié a la sécurité de ses données à la suite de ses actions lors de l'arnaque.
1. Vu qu'il a rentré ses numéros de CB sur un formulaire de paiement en ligne (heureusement bloqué par la banque), est ce qu'il doit annuler et refaire ses 2 CB ? Je lui ai dis que oui dans le doute mais je préfère poser la question ici.
2. Vu que les arnaqueurs ont installé un logiciel de prise en main sur son PC, est ce qu'il y a un risque qu'ils aient récupéré ses infos type mot de passe windows, mot de passe gmail etc ... ?

Merci de votre aide.

[Parisien_entraide]

Bonjour,

Face à ces menaces il y a 2 façons de voir les choses

1) Les faits : Dans l'absolu le but n'est pas de pirater l'ordi et de voler les données, mais plutôt de faire acheter une solution de protection
Pour que leur business continue ils doivent agir comme une sté de sécurité

2) La sécurité : Comme il est dit dans la présentation que Malekal à mis en lien : '(extrait)

"CHANGEZ VOS MOTS DE PASSE
Par sécurité, nous vous recommandons de changer tous vos mots de passe WEB (Facebook, compte en ligne, jeu) ainsi que les mots de passe Windows.
Il s'agit ici plus d'une recommandation de sécurité élémentaire car le faux technicien n'a installé aucun malware."

Il en est de même pour les cartes bancaires.

Rien n'interdit le fait de récupérer les numéros de cartes bancaires et de les revendre (plus tard pour ne pas que le lien soit établi entre la pseudo sté de sécurité) , ce même si ils n'ont pas le cryptogramme ou le code car certains pays ou sites (surtout étrangers ne sont pas regardant)

Par contre il est intéressant de lire dans le premier message que la banque a bloqué les achats
Cela veut dire qu'il y a une liste noire actualisée

Si il y a encore les coordonnées disponibles des arnaqueurs, ne pas hésiter à contacter la plate forme PHAROS (voir le lien de Malekal)même si on a l'impression que cela ne bouge pas, cela peut prendre du temps comme (dans un autre domaine mais toujours lié aux arnaques)

https://www.clubic.com/antivirus-securi ... demie.html

Seulement, Il y aura toujours d'autres personnes pour prendre le relais, car la pourriture n'est jamais exterminée