Trojan : vol et accès compte Twitter, Instagram, Facebook

[cozy]

Hello à tous,

Je viens solliciter votre aide. J'ai été infecté par un Trojan le 2 septembre.
Cela m'est arrivé après avoir désactivé mon pare-feu en tentant de télécharger un crack ProTools sur YouTube (l'erreur de noob je m'en mords les doigts).
Dans un 1er temps, je n'ai rien remarqué, à part ça =

suspension ig flou.png

> Mes comptes META se sont fait suspendre. Pendant quelques jours j'ai cru que META avait pété un cable et qu'ils avaient suspendus mon compte de façon random (cf témoignages des proches et sur twitter)...

Le 5 septembre, je passe un coup de Malwarebytes et tiens tiens tiens : Trojan identifié, je le met en quarantaine MAIS sans le "supprimer" : l'option suppr n'était pas affichée (je suis sous W10).
> Jusqu'ici, aucune connexion externe, aucun signe, en apparence tout va bien.

MAIS, à partir du 20 septembre. J'ai pu récupérer mes comptes META associés à mon FB en prouvant mon identité avec mon ID card. Mon compte FB aété suspendu car une personne a tenté de publier une ADS Marketplace... Ensuite, il y a eu une série de connexions sur mes comptes Twitter, Insta et Google.

> Twitter : un de mes comptes a été botté et a envoyé une rasade 50 tweets à propos d'ETH. L'utilisateur était localisé en Amérique latine. J'ai de suite activé la double authentification. Hier il a eu une série de tweet (alors qu'il y avait la double authentication sur ce compte) à base de "hello 89", "hello 60" etc. J'ai donc activé le validation par SMS hier soir et RAS depuis #fingercross

> Insta : j'ai été botté une fois, mon nombre d'abonnement à gonflé + 300, j'ai de suite activé le double ID et depuis RAS.

> Google : à partir du 20/09, tous mes comptes ont été déconnectés. J'ai changé tous mes mdp, j'ai joué au chat et à la souris 2 fois avant d'activer la double authentification partout. Il y a un compte google que je n'arrive toujours pas à récupérer sur mon PC mais je peux toujours m'y connecter sur mon téléphone. Pas de nouvelles connexions depuis. Good news ?

Après des recherches et consultations d'amis avec des notions d'informatiques + poussées, je télécharge Avast avec l'option d'essai pour un cleaning + poussé. Et on me conseille de réinitialiser Windows (ce que je ne fais pas, j'le sentais pas). Et là :

- 1er scan (la localisation ne correspond pas à la mienne)

1stScanEdit.png

- 2e scan et résultats similaires pour tous les scans depuis 1 semaine

pb avancés avast.PNG

Entre temps, je supprime, en apparence, "définitivement" le Trojan de mon PC grâce à Avast ou Malwaresbytes (je ne me souviens plus...)

NB : tous mes mdp étaient stockés dans un fichier word qui a été infecté (cf scan Avast) - erreur de noob... je vais clairement me former sur les gestionnaires de mdp dont vous parlez ici. De ce que je comprends, mes données sont toujours utilisées et en free access quelque part ?

--> Comment nettoyer mon PC et me débarrasser définitivement de ce Trojan ? Je ne vous cache pas que c'est une situation bien désagréable depuis un moment... merci d'avance pour votre aide !

cozy

[dax56]

Bonsoir 1ere capture avast c 'est pour te pousser a acheter leur vpn
perso je ne prend plus avast depuis longtemps
si tu est sur Windows 10 et + tu peux essayer Windows defender qui est plus léger

[angelique]

Bonjour/Bonsoir,

Ce que dirait Malekal, Dans un 1er tmps faut diagnostiquer la machine niveau Malware.

Changer tous les mdp partout et mettre une identification 2FA two-factor authentication, ou encore vérification en deux étapes, consiste à renforcer la protection de votre compte en ajoutant un second moyen d'identification.


Après, ce que raconte avast c'est pour vendre leur produit payant !! quand c'est gratuit c'est toi le produit , comme le dit bien dax56 dans le post précédent

• Télécharge sur ton Bureau pas ailleurs FRST.EXE:
  
  
  
  La page de téléchargement : le tutoriel FRST ou FRST
  
  
  
  !! Placez le programme sur le bureau et pas ailleurs!! Par commodité
  
  -------------
• Exécute FRST.EXE, accepte le disclaimer , Cochez tous les options et cliquez sur le bouton Scan.
  Le scan se lance, les éléments scannés apparaissent en haut.
  
  -------------
• Une fois le scan terminé, une popup vous le signale et deux rapports sont générés : FRST.txt et Addition.txt ( Ces deux rapports se trouvent sur le bureau avec le programme FRST. )
  
  -------------
  
  Utilise le site http://pjjoint.malekal.com/ pour envoyer tes rapports, et poste les liens dans ta prochaine réponse pour analyse.

-----------------------------------

[cozy]

Bonsoir 1ere capture avast c 'est pour te pousser a acheter leur vpn
perso je ne prend plus avast depuis longtemps
si tu est sur Windows 10 et + tu peux essayer Windows defender qui est plus léger

Yop, merci pour ta réponse !

J'ai pris la version d'essai en mode #panik et je compte bien me désengager au plus vite.
J'ai oublié de préciser : Windows Defender ne détecte aucune menace alors qu'il y avait ces connexions...

Merci pour ton message en tout cas !

[Parisien_entraide]

Bonsoir

Malekal t'en dira plus mais ta petite visite sur youtube avec des cracks/programmes vérolés sont dans l'air du temps
viewtopic.php?t=71178

Sinon comme décrit dans le lien ci dessus, le trojan (que tu ne nommes pas !) va voler tout ce qu'il trouve, et peut s'auto détruire ensuite après avoir envoyé les données ce qui fait qu'il ne reste pas de traces sur le PC

Tes données ont été exploitées, mais elles peuvent AUSSI être revendues
Si tu as changé les mots de passe, il reste les adresses mails qui peuvent servir à du spam (au mieux) ou du phishing (au pire)
Tu retrouveras possiblement tes données login ou mdp un jour sur I have been Pwned sur https://www.malekal.com/haveibeenpwned- ... -de-passe/

Tu parles de localisation qui ne correspond pas (adresse IP ?) ce n'est pas visible dans les captures AVAST
Reste la possibilité d'un proxy en place après infection (ce qui est classique) et il ne sert à rien de changer mdp pour l'instant si il y a "des fuites" encore actives

De toutes les façons si il reste des scories du ou des trojans, il vaut mieux faire des analyses



La procédure de Malekal
__________________
Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST,
Attendre la fin du scan, un message indique que l'analyse est terminée.

Trois rapports FRST seront générés :
* FRST.txt
* Shortcut. ----> Ne pas oublier de cocher la case qui figure sur l'écran d'accueil
* Additionnal.txt

Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

(Les liens bleus mènent à des tutoriels explicatifs pas à pas, clic dessus pour avoir les instructions plus précises à suivre).

______


Edit : Zut problème de cache.. La procédure d' Angélique est à l identique que celle décrite ci dessus tu as donc des rapports à fournir

Edit 2 : L'ip qui apparait est chez SFR/Numéricable

[cozy]

Hello again !

=> Addition : https://pjjoint.malekal.com/files.php?i ... 1j12l9g8w9

=> FRST : https://pjjoint.malekal.com/files.php?i ... n6y6m13f14

=> Shortcut (.txt vide ? ) : https://pjjoint.malekal.com/files.php?i ... d6q15l11s8

@Angelique & Parisien_entraide : merci beaucoup :prayers:

@Parisien_entraide :

Sinon comme décrit dans le lien ci dessus, le trojan (que tu ne nommes pas !) va voler tout ce qu'il trouve, et peut s'auto détruire ensuite après avoir envoyé les données ce qui fait qu'il ne reste pas de traces sur le PC

> Quand tu dis que "je ne nomme pas" le trojan, tu parles de son "numéro de série" (si je peux dire ça comme ça Kappa) ? Si c'est le cas, je n'avais pas noté ni pris de screen quand je l'ai supprimé avec MalwareB...

L'ip qui apparait est chez SFR/Numéricable

> Je suis bien chez SFR, je parlais de la localisation "Champs-sur-Marne qui ne correspond pas à ma loc irl !

Merci pour vos réponses et votre bienveillance <3

EDIT : je viens de remettre la main sur mon historique des détections MB. Pas d'intitulé "trojan". Je suis pourtant certain d'en avoir supprimé un, ça devait être sur Avast...

histoDetectionsMB.PNG

[Malekal_morte]

Salut,

Le rapport Addition.txt est vide.

Sinon, pas l'air d'y avoir de malware actif.

Désinstalle tous les programmes Avast! et AVG.
Cela ralentit le PC pour rien.
Windows Defender est suffisant.

~~


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
2022-09-02 17:39 - 2022-09-02 17:39 - 000000000 _____ () C:\ProgramData\01339571908851896536.exe
2022-09-02 18:23 - 2022-02-15 00:22 - 000000000 ___HD C:\Program Files (x86)\InstallShield Installation Information
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)


2°)
Réinitialise/Répare les navigateurs WEB concerné(s) par les problèmes :

• Réparer Mozilla Firefox (premier paragraphe)
• Réparer Google Chrome (premier paragraphe)
• Comment réparer ou réinitialiser Microsoft Edge
• Comment réparer ou réinitialiser Brave

[cozy]

Merci @Malekal !

Voici le rapport Addition (je n'ai pas pu éditer mon précédent msg, idkw ?) : https://pjjoint.malekal.com/files.php?i ... 13d14e5d13

Noté pour Avast et AVG. Je me lance dans la correction après analyse du Addition.txt !

Encore merci pour votre réactivité, c'est vraiment agréable =)

cozy

[Malekal_morte]

Merci pour le moment.

Soit il n'y a jamais eu de malware sur ce PC (je ne vois pas trop de traces restantes)
Soit tu as déjà tout désinfecté avec Malwarebytes Anti-Malware (MBAM) et compagnie.
Soit le cracks a lancé un trojan qui a récupéré les mots de passe, les a transmis et ne reste pas résident

Dans tous les cas, le mal est déjà.

[cozy]

Merci pour le moment.

Soit il n'y a jamais eu de malware sur ce PC (je ne vois pas trop de traces restantes)
Soit tu as déjà tout désinfecté avec Malwarebytes Anti-Malware (MBAM) et compagnie.
Soit le cracks a lancé un trojan qui a récupéré les mots de passe, les a transmis et ne reste pas résident

Dans tous les cas, le mal est déjà.

Quand tu dis 'je ne vois pas trop de traces restantes', c'est qu'il y en a quand même ? Sans savoir comment lire le fichier Addition, j'ai checké la partie 'Erreurs sytème', j'ai vu que ma CAM et d'autres APPS comme Corsaire Service s'était terminé de manière inentendue. Dois-je m'en préoccuper ?

> Dans le cas où le mal est déjà, je suis le process que tu as décrit ci-dessus du coup ?

NB : un de mes comptes Twitter vient de se faire suspendre après le botting et le spam qui a été fait la semaine dernière. J'ai contesté la décision.

[Malekal_morte]

D'après les rapports, ça ne semble pas venir de ton PC à l'heure actuelle.
FRST OK - MBAM ne trouve que des riskwares.

Mais comme je t'ai dit, la récupération des mots de passe s'est peut être déjà fait.
On est vendredi. Mets à jour MBAM ces prochains jours et fais des scans tous les jours.
Reviens faire un scan FRST, dimanche ou lundi, histoire de voir si de nouvelles choses sont apparues.
Mais ca semble correct à priori.

Tu n'as pas d'autres appareils où tu utilises ces comptes internet ?
Rien d'installer de particulier sur ton téléphone, si tu accèdes à tous ces comptes depuis ce dernier ?

[cozy]

D'après les rapports, ça ne semble pas venir de ton PC à l'heure actuelle.
FRST OK - MBAM ne trouve que des riskwares.

Mais comme je t'ai dit, la récupération des mots de passe s'est peut être déjà fait.
On est vendredi. Mets à jour MBAM ces prochains jours et fais des scans tous les jours.
Reviens faire un scan FRST, dimanche ou lundi, histoire de voir si de nouvelles choses sont apparues.
Mais ca semble correct à priori.

Tu n'as pas d'autres appareils où tu utilises ces comptes internet ?
Rien d'installer de particulier sur ton téléphone, si tu accèdes à tous ces comptes depuis ce dernier ?

Oui, mes MDP / données ont dû être récupérés début septembre. Je viens de faire la Màj MBAM et 0 menace.
Je vais faire un scan tous les jours et faire 1 FRST dimanche ou lundi. Je peux quand même utiliser le 'fix' dont il est question ci-dessus de suite ?

J'utilise ces comptes sur mon PC portable (mac) que je n'ai pas utilisé sur mon WiFi perso depuis un moment - c'est à dire pas de connexion depuis que j'ai été infecté.
Je les utilise aussi sur mon téléphone et je n'ai rien téléchargé de particulier dernièrement ; des PDF venant de mon école, l'appli REDDIT... Niveau installation RAS, je vais quand même me creuser la tête dans les heures à venir histoire de double check.

Avez-vous des solutions pour scanner son téléphone ?

[Malekal_morte]

Oui fais le fix.
Tous les éditeurs d'antivirus ont leurs versions mobiles.
Essaye avec Kaspersky.

[cozy]

Oui fais le fix.
Tous les éditeurs d'antivirus ont leurs versions mobiles.
Essaye avec Kaspersky.

Fix fait + réparation de Chrome et Firefox.
J'ai analysé mon téléphone avec Kaspersky, RAS.

Néanmoins, Avast affiche toujours ça : qu'est-ce que ça veut vraiment dire, ma webcam est toujours susceptible d'être hackée ?

again.PNG

[Malekal_morte]

Les messages d'Avast! sont bidons, c'est pour te faire installer leurs applications et te les faire ensuite acheter.
Désinstalle Avast!, laisse Windows Defender.