Piratage de boite mail : vérification de virus [résolu]

[Legoman]

Bonjour,
Récemment mes parents se sont fait piraté leurs boite mail.
J'ai donc (sous conseil des gendarmes) effectuer une analyse avec spy-bot puis comme régulièrement fait une analyse avec mon antivirus et une analyse avec Malwarebytes Anti-Malware (MBAM). Rien n'a donc été trouver. Mais j'ai remarqué que défois l'utilitaire cmd de windows s'ouvre au démarrage de leurs pc puis se referme quelque seconds après. Ne trouvant pas cela normal j'ai donc fait une analyse avec le logiciel (FRST) qui est conseiller sur le site malekal.
Je vous met donc les résultats de la recherche de frst.
Merci du temps que vous prendrez a regardé mon cas.
Cordialement
legoman

[Parisien_entraide]

Bonsoir,

Malekal ou Angélique te diront ce qui en est d'une possible infection

MAIS il faut savoir que les piratages de boite mail proviennent souvent de vol de données de sites sur lesquels les gens sont inscrits
Tu ne nommes pas la boite mail (Orange, Yahoo, Gmail, .. sont des cibles prioritaires)

Pour t'en assurer tu peux vérifier avec le nom de l'adresse mail, du mot de passe également (vol via l'ordinateur, une tablette, un smartphone)
On peut meme mettre un numéro de téléphone (piratage de smartphone si tes parents se connectent à leur boite mail via un smartphone
Description et procédure
https://www.malekal.com/haveibeenpwned- ... -de-passe/


A SAVOIR


SPYBOT faut l'oublier (et ce n'est pas lui qui va te dire si ton adresse mail est piratée)
Les gendarmes sont restés sur leurs acquis d'il y a 15 ans. SPYBOT au eu son heure de gloire
Maintenant il ne sert plus à rien
Pire il a pourri le fichier HOSTS de presque 16 000 entrées de sites bloqués, principalement des sites pornos
Ou alors les gendarmes ont établi que le possible piratage mail émanait de la visites de sites X ce dont je doute vu qu'ils conseillent Spybot
Il y a d'autres méthodes pour eviter les visites à ces sites de toutes les façons
J'espère que le service "Client DNS" est désactivé sinon le PC doit fortement être ralenti lors d'usages internet (navigation web)

Spybo a un module "Spybot Identity Monitor" qui permet de faire la meme chose que HaveIBeenPwned.com
Normal ils se servent chez eux donc autant aller à la source SANS installer tout ce qu'il y a autour de Spybot
C'est peut etre ce module que les gendarmes voulaient que tu installes (mais tu as installé l'anti virus
https://www.malekal.com/spybot-search-d ... -pc-virus/


AVAST
Tu peux le virer aussi. Windows defender vu que tu es sous Windows 10 prendra le relais

Idem pour CCLEANER (mauvaise réputation qui est justifiée)
Il peut etre remplacé par PRIVAZER par ex https://www.malekal.com/privazer-nettoyer-windows/



Ce sont tes parents qui ont installé AMAZON Music ?
CARDO cela sert à quo i?

A la lecture des rapports on a l'impression que ce ne sont pas eux qui ont installés certains logiciels (toi peut etre ?)

[Legoman]

Bonsoir
Ok merci de ta réponse, oui leurs adresses mail est une adresse Orange, j’ai déjà regardé sur le site mais leurs adresses mail n’apparait pas comme étant apparue dans une fuite de données…
Ok je vais regarder pour privazer.
Sinon Cardo c’est un installateur pour le micro logiciel du connecteur Bluetooth de leurs casque moto https://www.cardosystems.com/fr/shop/
Pour Cardo et Amazon musique c’est eu qui l’on installé…

[angelique]

Les rapports sont corrects, vire SPYBOT.

Pour les fenêtres CMD voir ➮ https://www.malekal.com/comment-trouver ... s-cmd-exe/

[Legoman]

Ok merci beaucoup
J’ai juste remarqué qu’il y avait 3 "attention". Est-ce normal ?
Sinon encore un grand merci heureusement qu’il y a des personnes comme vous encore !

[Parisien_entraide]

Important : Désinstalle ce qui est à virer avec REVO https://www.malekal.com/revo-uninstall ... acilement/

Pour Avast je ne sais si leur outils est efficace ou pas https://www.malekal.com/desinstaller-supprimer-avast/ mais perso vu les manières de la sté il vaut mieux utiliser REVO

Pour les 3 lignes cela peut etre le fait d'AVAST ou pas (généralement ce sont des paramètres microsoft mais un fix peut faire sauter ces lignes)

Ensuite quant tout sera revu, il faudra penser à blinder les navigateurs.(la procédure sera donnée)

Edit : Pour en revenir au tout premier message... Qu'est ce que tu appelles "piratage de mail" ?

La boite mail n'était plus accessible ?
Le mot de passe a été changé ?
Des mails frauduleux étaient envoyés à partir de cette boite mail ?
Il y a eu du phishing reçu ?
..... ?

https://www.malekal.com/piratage-mail-q ... -reflexes/

[Legoman]

Ok,pour le premier message c’etait une personne qui avait accès à la boîte mail, j’ai donc signalé le piratage a [email protected] et changé le mdp. Sinon je ne pense pas qu’il a eu des mails frauduleux envoyer avec cette boîte.

[Parisien_entraide]

Il y a pas mal de "piratages" de boites mail chez ORANGE et ce depuis des années

Les causes (au plus rapidement) si on fait abstraction des malwares autres que ceux qui sont contenus en phishing

Souvent les gens
- Se connectent directement sur leur messagerie en Web MAIL (il vaut mieux utiliser un programme de messagerie sur le PC)
- Se connectent sur leur boite mail sur des Wi fi non ou mal sécurisés (en vacances, à l'hotel etc) ou même via leur box surtout si ancienne (c'est une histoire de configuration) Une clé WEP cela met 20 secondes pour la cracker
- Utilisent un mot de passe "'faible" facile à retenir, en lien avec leur vie, et le même mot de passe souvent utilisé sur plein de sites

Ensuite vient le phishing. On pourrait croire qu'il y en a plus chez ORANGE mais c'est du fait du type de clients, qui ont suivi la transformation France telecom --> Orange (souvent par défaut car il y avait la facilité de transfert) avec des comptes wanadoo etc
Bref une clientèle plus agée, par toujours au fait des activités frauduleuses

Puis le vol de données comme déjà indiqué (il y en a tous les jours) sur divers sites

Après pour avoir bossé avec Orange j'ai souvent été en relation avec des personnes douteuses (casier) dont même une qui ne faisait pas que revendre les données des clients (mais elle a été virée)

Bref les sources sont multiples

Par contre comme indiqué, il faut blinder firefox
viewtopic.php?t=71117

Le minimum étant de mettre uBlock Origin avec les listes qui vont bien (tout est indiqué dans le lien avec les tutos sur le site)

Pour le PC : Hardentools https://www.malekal.com/hardentools-securiser-windows/
L'avantage c'est qu'il se fait oublier. et ne va pas bloquer du légitime


Edit : Il faut protéger les login et mots de passe de sites, et il ne faut surtout pas les enregistrer dans le navigateur
Il faut donc utiliser un gestionnaire de mots de passe
Il en existe plusieurs, mais mon préféré est https://www.malekal.com/keepassxc-le-ge ... piratages/

Par contre attention avec le navigateur Chrome, car les dernier malwares arrivent même à récupérer les login et mot de passe même si on utilise une extension de gestion de mots de passe (Même Keepass)
Firefox n'est pas touché par cela


Plus globalement pour sécuriser son PC
https://www.malekal.com/proteger-pc-virus-pirates/

[Legoman]

Ok merci beaucoup je vais regarder ça

[Legoman]

Ok merci beaucoup
J’ai juste remarqué qu’il y avait 3 "attention". Est-ce normal ?
Sinon encore un grand merci heureusement qu’il y a des personnes comme vous encore !

Après correction les 2 attention on disparu mais il reste toujours cette ligne :
HKLM\SOFTWARE\Policies\Mozilla\Firefox <== Attention

[Parisien_entraide]

Plusieurs causes :

Firefox demande a être le navigateur par défaut et cela ne plait à Microsoft :-)
AVAST qui modifie certaines choses (il ne s'en prive pas) Même si tu le désinstalle il peut rester des entrées qui ne sont pas remises comme à l'origine

Il y a de grandes chances que cela soit le fait également d'ADOBE Reader qui prend le relais au lieu du lecteur intégré de Firefox et qui a modifié les entrées registre dont des autorisations
De toutes les façons tu n'a pas besoin d'Adobe reader sauf si tu as acheté la version pro et que tu en as usage
Si tu en as besoin tu as des alternatives moins intrusives et surtout qui ne font pas toutes l'objet d'attaques de pirates

Ex
https://www.malekal.com/meilleur-lecteu ... nge_Viewer
il y a cela aussi, touit dépend des besoins
https://www.xpdfreader.com/download.html

Tu peux également ré-initisaliser Firefox
https://www.malekal.com/reparer-reiniti ... r-firefox/

[Legoman]

Ce qui m’étonne c’est que je n’ai jamais installé Firefox sur ce pc…
Comme navigateur il y a juste Google chrome qui est installé donc après jsp…
Ok je vais donc désinstalle adobe si il n’a pas l’utilité

[Parisien_entraide]

J'avoue que je n'ai pas regardé à l'installation mais aux extensions (je regarderai plus tard)
Il s'agit peut etre d'une trace dans la base de registre, malgré une désinstallation

En tous les cas il vaut mieux utiliser un firefox bien configuré qu'un Chrome qui est la cible des pirates du fait de failles

[Legoman]

J'avoue que je n'ai pas regardé à l'installation mais aux extensions (je regarderai plus tard)
Il s'agit peut etre d'une trace dans la base de registre, malgré une désinstallation

En tous les cas il vaut mieux utiliser un firefox bien configuré qu'un Chrome qui est la cible des pirates du fait de failles

Ok je vais regarder ça, sinon je suis déjà passé à firefox sur mon pc et installé les extensions que tu conseille.
Mais je vois que no script n’aime pas trop le site d’orange

[Parisien_entraide]

No scirpt n 'aime pas tout un tas de sites :-) (en fait heureusement) Et le site fournit un orangeads à une époque.. Orange veut le beurre et l'argent du beurre

La page fait donc appel à hxxps://cdn.adgtw.orangeads.fr/build/lib/prebid4.7.0.js
Prebid c'est cela https://github.com/prebid/Prebid.js/releases/tag/4.7.0

C'est une technologie de diffusion de publicités qui permet de mettre en compétition plusieurs partenaires réputés et sérieux sur un emplacement publicitaire
Donc, par définition ça va appeler N sociétés qui vont dire si oui ou non elles ont une publicité à diffuser.

Je copie colle :

"Ce cookie orangeads contient un «User ID». Ce «User ID» est un numéro codé unique qui ne contient que des données anonymes.
Il est attribué de manière aléatoire et anonyme par le serveur orangeads. Il permet d identifier les pages consultées sur le site Internet au cours de votre navigation. Grâce aux informations relatives à votre comportement de navigation collectées à chaque connexion, lors de vos visites des pages du site Internet votre «profil de navigation» est établi en tenant compte : de la thématique des pages du site Internet visitées, de la fréquence des pages visitées au cours de chaque connexion, des mots-clés que vous avez tapés dans les boîtes de recherches sur ledit portail et en relation avec les publicités qui vous intéressent. En établissant votre «profil de navigation», le serveur orangeads est ainsi en mesure d optimiser la pertinence des bandeaux publicitaires existant sur le site Internet en affichant, pendant votre session de connexion, des bandeaux publicitaires ciblés qui correspondent davantage à votre profil de navigation que les publicités qui s affichent de manière standard. "

Voilaaa c'est donc pour ton bien parce que cela optimise la pertinence des bandeaux de pubs que tu reçois :-)
Néanmoins on ne peut pas considérer cela comme un mouchard (si c'était un site perso je laisse passer mais émanant d'ORANGE je bloque
Le truc c'est qu'en bloquant tout un tas de trucs parfois on ne peut plus aller sur le site ORANGE en étant connecté ou pour accéder à la messagerie

Les anti "trucs" demandent donc un apprentissage de la part de l'utilisateur

Sinon vaut mieux utiliser un lecteur de courrier
https://communaute.orange.fr/t5/Trucs-e ... p/2035682
et éviter le web mail ( si ils utilisent les contacts c'est une source d'attaques)
https://communaute.orange.fr/t5/Trucs-e ... -p/1281880