Hack de comptes internet : malware ? [résolu]

[Fourmi]

Bonjour
Depuis peu je me fait hacker de nombreux comptes en tout genre j'ai fait une analyse FRST j'aimerai savoir si il est possible qu'on me l'analyse.
https://pjjoint.malekal.com/files.php?i ... o7g8r13n15
https://pjjoint.malekal.com/files.php?i ... 12c7o15z15
https://pjjoint.malekal.com/files.php?i ... w15s8l6p15


merci d'avance

[Parisien_entraide]

Bonjour

Malekal ou Angélique te diront ce qu'il en est, mais, tu ne t'es pas fait "'hacker" c'est toi qui a offert sur un plateau tes données de comptes dont de jeux

On voit (juste un ex) encore des traces

Code : Tout sélectionner

C:\WINDOWS\SysWOW64\MdSched.exe [2022-05-31] <==== ATTENTION (zéro octet Fichier/Dossier)
C:\WINDOWS\SysWOW64\msconfig.exe [2022-05-31] <==== ATTENTION (zéro octet Fichier/Dossier)
C:\WINDOWS\SysWOW64\RecoveryDrive.exe [2022-05-31] <==== ATTENTION (zéro octet Fichier/Dossier)
C:\WINDOWS\SysWOW64\SnippingTool.exe [2022-05-31] <==== ATTENTION (zéro octet Fichier/Dossier)
C:\WINDOWS\SysWOW64\WFS.exe [2022-05-31] <==== ATTENTION (zéro octet Fichier/Dossier)

Dès lors que je vois un programme de torrent installé on peut etre certain que ce n'est pas pour télécharger une iso linuxc ou la suite Libre Office

Donc on trouve :
Des cracks (je n'ai pris que quelques exemples)

D:\crack\pumping.simulator.2.v0.1.81
D:\crack\Red-Dead-Redemption-
et d'autres


Vu ce qui traine tu rentres dans ce cas de figure
viewtopic.php?p=544690#p544690


En plus tu es un tricheur dans les jeux
E:\Logiciel\CHEat\9.7.6\9.7.6\test.dist\test.exe

Tu télécharges n'importe quoi
- !Ultimate Checking Pack - Version 10.rar
- patcher-premium
- soopyv2-installer.jar (bourré se scripts dont certains ne sont pas clairs)

Spybot c'est inutile

AV: Spybot - Search and Destroy (Disabled - Out of date) {F77C7796-45C4-531E-0DAE-B4A8229B11C8}
AV: Windows Defender (Enabled - Up to date) {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
AV: Kaspersky Security Cloud (Enabled - Up to date) {4F76F112-43EB-40E8-11D8-F7BD1853EA23}
FW: Kaspersky Security Cloud (Disabled) {774D7037-0984-41B0-3A87-5E88E680AD58}

Connu pour créer des instabilités dans les jeux

Glary Utilities 6.9

On trouve également
Un kit Python installé (utile pour les malwares car je doute fortement que tu fasses du dev en python)

Un mouchard Chinois
Wondershare

Un WinRar pas à jour
WinRAR 6.11

Voila ce que tu risques :
viewtopic.php?t=74424

Donc un peu de lecture en attendant (Et ne touches à rien, attends le passage de Malekal ou Angélique)

[angelique]

Bonjour/Bonsoir/Salam/Shalom

Présence Trojan RAT donc change tous tes mots de passe (bank, mail, etc.....) après correction

La machine est et a été compromise.

L'idéal est une remise à 0



Télécharge à coté de FRST64.EXE , PAS AILLEURS !!!!! le fichier fixlist.txt en pièce jointe en bas du message.

➯ Relance FRST64(clic droit exécuter en tant qu'administrateur) et clic sur le bouton corriger/fix

Un redémarrage peut être nécessaire, ne touche à rien et accepte le redémarrage

Un fichier texte apparaît peut être nommé fixlog.txt au même endroit que frst64.exe et que fixlist.txt, copie/colle le contenu ici dans un nouveau message avec ton commentaire.

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnements et endommager Windows /!\

[Fourmi]

Bonjour/Bonsoir/Salam/Shalom

Présence Trojan RAT donc change tous tes mots de passe (bank, mail, etc.....) après correction

La machine est et a été compromise.

L'idéal est une remise à 0



Télécharge à coté de FRST64.EXE , PAS AILLEURS !!!!! le fichier fixlist.txt en pièce jointe en bas du message.

➯ Relance FRST64(clic droit exécuter en tant qu'administrateur) et clic sur le bouton corriger/fix

Un redémarrage peut être nécessaire, ne touche à rien et accepte le redémarrage

Un fichier texte apparaît peut être nommé fixlog.txt au même endroit que frst64.exe et que fixlist.txt, copie/colle le contenu ici dans un nouveau message avec ton commentaire.

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnements et endommager Windows /!\

Voila Le fixlog

Code : Tout sélectionner

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 23.06.2024
Exécuté par romai (25-06-2024 16:37:06) Run:1
Exécuté depuis C:\Users\romai\Downloads
Profils chargés: romai & lucie
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
CreateRestorePoint:
Task: {D97AA62F-9A80-427B-8E7D-BEC2A3C2985F} - System32\Tasks\aHR0cDgwMg== => C:\Users\romai\AppData\Roaming\tdp\udp\http.exe [798014464 2024-06-22] () [Fichier non signé] <==== ATTENTION
Task: {45F30B62-2157-4790-966D-55D0A8EBEBFD} - System32\Tasks\Apple Diagnostics => eReporter-AppX.exe  (Pas de fichier)
Task: {1690F7B9-B302-4175-8619-1FB983B2C1A5} - System32\Tasks\FreeDownloadManagerHelperService => D:\logiciel\helperservice.exe [137216 2023-12-18] (Softdeluxe) [Fichier non signé]
Task: {E0F10DCF-44AD-40E8-9370-FB5DA59F93FB} - System32\Tasks\Microsoft\Windows\UpdateOrchestrator\USO_UxBroker => %systemroot%\system32\MusNotification.exe  (Pas de fichier)
Task: {A37B2C80-E9A8-45ED-8ED3-5E18A4B115C6} - System32\Tasks\System Cache Cleaner 3WB => C:\Users\romai\AppData\Roaming\SystemCacheCleaner3WB\cachevnb.exe [10596880 2024-05-20] () [Fichier non signé] <==== ATTENTION
Task: {E462FA01-76C4-4633-94B4-87D5A30FDBA5} - System32\Tasks\WindowsSetup => C:\Windows\System32\oobe\Setup.exe [333296 2024-06-14] (Microsoft Windows -> Microsoft Corporation)
S2 ACCSvc; "C:\Program Files (x86)\Acer\Care Center\ACCSvc.exe" [X]
S3 QASvc; "C:\Program Files\Acer\Quick Access Service\QASvc.exe" [X]
S3 UEIPSvc; "C:\Program Files\Acer\User Experience Improvement Program Service\Framework\UBTService.exe" [X]
2024-06-23 12:51 - 2024-06-23 12:51 - 008790880 _____ (Malwarebytes) C:\Users\romai\Downloads\adwcleaner.exe
2024-06-22 19:42 - 2024-06-22 19:42 - 000003452 _____ C:\WINDOWS\system32\Tasks\aHR0cDgwMg==
2024-06-22 19:41 - 2024-06-22 19:41 - 000003490 _____ C:\WINDOWS\system32\Tasks\WindowsSetup
2024-06-22 19:41 - 2024-06-22 19:41 - 000000000 ____D C:\Users\romai\AppData\Roaming\tdp
2024-06-22 19:41 - 2024-06-22 19:41 - 000000000 ____D C:\ProgramData\OWYsN2YsN2YsYTAsOWUsODYsOGMsOTYsNjQsN2Ms
2024-06-21 12:51 - 2024-06-21 12:51 - 000000000 ____D C:\Users\romai\AppData\Roaming\TDM
2024-06-21 12:51 - 2024-06-21 12:51 - 000000000 ____D C:\ProgramData\INTL
2024-06-21 12:38 - 2024-06-21 12:38 - 000001008 _____ C:\Users\romai\AppData\Roaming\taris_launcher.reg
2024-06-21 12:36 - 2024-06-21 12:36 - 011386232 _____ (PROXIMA BETA PTE. LIMITED) C:\Users\romai\Downloads\TARISMiniLoader_official.wg.intl.exe
2024-06-21 12:36 - 2024-06-21 12:36 - 000000000 ____D C:\Users\romai\AppData\Local\TARISMiniloader
2024-06-21 12:36 - 2024-06-21 12:36 - 000000000 ____D C:\ProgramData\intl_ua
2024-06-19 12:27 - 2024-06-19 12:27 - 000000000 ____D C:\Users\romai\AppData\LocalLow\OhYeah
2023-06-11 19:09 - 2023-06-11 19:09 - 000000889 _____ () C:\Users\romai\AppData\Local\recently-used.xbel
Hosts:
EmptyTemp:


*****************

Le Point de restauration a été créé avec succès.
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{D97AA62F-9A80-427B-8E7D-BEC2A3C2985F}" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{D97AA62F-9A80-427B-8E7D-BEC2A3C2985F}" => supprimé(es) avec succès
C:\WINDOWS\System32\Tasks\aHR0cDgwMg== => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\aHR0cDgwMg==" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{45F30B62-2157-4790-966D-55D0A8EBEBFD}" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{45F30B62-2157-4790-966D-55D0A8EBEBFD}" => supprimé(es) avec succès
C:\WINDOWS\System32\Tasks\Apple Diagnostics => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Apple Diagnostics" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Boot\{1690F7B9-B302-4175-8619-1FB983B2C1A5}" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{1690F7B9-B302-4175-8619-1FB983B2C1A5}" => supprimé(es) avec succès
C:\WINDOWS\System32\Tasks\FreeDownloadManagerHelperService => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\FreeDownloadManagerHelperService" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{E0F10DCF-44AD-40E8-9370-FB5DA59F93FB}" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{E0F10DCF-44AD-40E8-9370-FB5DA59F93FB}" => supprimé(es) avec succès
C:\WINDOWS\System32\Tasks\Microsoft\Windows\UpdateOrchestrator\USO_UxBroker => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\UpdateOrchestrator\USO_UxBroker" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{A37B2C80-E9A8-45ED-8ED3-5E18A4B115C6}" => non trouvé(e)
"C:\WINDOWS\System32\Tasks\System Cache Cleaner 3WB" => non trouvé(e)
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\System Cache Cleaner 3WB" => non trouvé(e)
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{E462FA01-76C4-4633-94B4-87D5A30FDBA5}" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{E462FA01-76C4-4633-94B4-87D5A30FDBA5}" => supprimé(es) avec succès
C:\WINDOWS\System32\Tasks\WindowsSetup => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\WindowsSetup" => supprimé(es) avec succès
HKLM\System\CurrentControlSet\Services\ACCSvc => supprimé(es) avec succès
ACCSvc => service supprimé(es) avec succès
HKLM\System\CurrentControlSet\Services\QASvc => supprimé(es) avec succès
QASvc => service supprimé(es) avec succès
HKLM\System\CurrentControlSet\Services\UEIPSvc => supprimé(es) avec succès
UEIPSvc => service supprimé(es) avec succès
C:\Users\romai\Downloads\adwcleaner.exe => déplacé(es) avec succès
"C:\WINDOWS\system32\Tasks\aHR0cDgwMg==" => non trouvé(e)
"C:\WINDOWS\system32\Tasks\WindowsSetup" => non trouvé(e)

"C:\Users\romai\AppData\Roaming\tdp" Dossier déplacer:

C:\Users\romai\AppData\Roaming\tdp => déplacé(es) avec succès

"C:\ProgramData\OWYsN2YsN2YsYTAsOWUsODYsOGMsOTYsNjQsN2Ms" Dossier déplacer:

C:\ProgramData\OWYsN2YsN2YsYTAsOWUsODYsOGMsOTYsNjQsN2Ms => déplacé(es) avec succès

"C:\Users\romai\AppData\Roaming\TDM" Dossier déplacer:

C:\Users\romai\AppData\Roaming\TDM => déplacé(es) avec succès

"C:\ProgramData\INTL" Dossier déplacer:

C:\ProgramData\INTL => déplacé(es) avec succès
C:\Users\romai\AppData\Roaming\taris_launcher.reg => déplacé(es) avec succès
C:\Users\romai\Downloads\TARISMiniLoader_official.wg.intl.exe => déplacé(es) avec succès

"C:\Users\romai\AppData\Local\TARISMiniloader" Dossier déplacer:

C:\Users\romai\AppData\Local\TARISMiniloader => déplacé(es) avec succès

"C:\ProgramData\intl_ua" Dossier déplacer:

C:\ProgramData\intl_ua => déplacé(es) avec succès

"C:\Users\romai\AppData\LocalLow\OhYeah" Dossier déplacer:

C:\Users\romai\AppData\LocalLow\OhYeah => déplacé(es) avec succès
C:\Users\romai\AppData\Local\recently-used.xbel => déplacé(es) avec succès
C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.

=========== EmptyTemp: ==========

FlushDNS => terminé(e)
BITS transfer queue => 1310720 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 81455366 B
Java, Discord, Steam htmlcache, WinHttpAutoProxySvc/winhttp *.cache => 1142947379 B
Windows/system/drivers => 1290878534 B
Edge => 0 B
Chrome => 368453867 B
Firefox => 19484734 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 155081797 B
systemprofile32 => 155081797 B
LocalService => 156328185 B
NetworkService => 156349389 B
romai => 1727810440 B
lucie => 1790051809 B
defaultuser100000 => 1790058977 B

RecycleBin => 504888721 B
EmptyTemp: => 8.7 GB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 16:38:31 ====

[angelique]

Suppression de FRST

Pour supprimer automatiquement tous les fichiers/dossiers créés par FRST et l'outil lui-même, renommez FRST/FRST64.exe en uninstall.exe et exécutez-le. La procédure nécessite un redémarrage



Passe un coup de malwarebytes et corrige si éléments trouvés:

https://downloads.malwarebytes.com/file/mb-windows

https://www.malekal.com/malwarebyte-ant ... les-virus/

Poste le rapport

[Fourmi]

Suppression de FRST

Pour supprimer automatiquement tous les fichiers/dossiers créés par FRST et l'outil lui-même, renommez FRST/FRST64.exe en uninstall.exe et exécutez-le. La procédure nécessite un redémarrage



Passe un coup de malwarebytes et corrige si éléments trouvés:

https://downloads.malwarebytes.com/file/mb-windows

https://www.malekal.com/malwarebyte-ant ... les-virus/

Poste le rapport

voila

Code : Tout sélectionner

Malwarebytes
www.malwarebytes.com

-Détails du journal-
Date de l'analyse: 25/06/2024
Durée d'analyse: 20:28
Fichier journal: ae659166-3320-11ef-80d1-98eecbd522e8.json

-Informations du logiciel-
Version: 5.1.5.116
Version de composants: 1.0.1252
Version de pack de mise à jour: 1.0.86262
Licence: Essai

-Informations système-
Système d'exploitation: Windows 11 (Build 22631.3737)
Processeur: x64
Système de fichiers: NTFS
Utilisateur: DESKTOP-I9UKLB1\romai

-Résumé de l'analyse-
Type d'analyse: Analyse des menaces
Analyse lancée par: Manuelle
Résultat: Terminé
Objets analysés: 412934
Menaces détectées: 0
Menaces mises en quarantaine: 0
Temps écoulé: 2 min, 50 s

-Options d'analyse-
Mémoire: Activé
Démarrage: Activé
Système de fichiers: Activé
Archives: Activé
Rootkits: Désactivé
Heuristique: Activé
PUP: Détection
PUM: Détection

-Détails de l'analyse-
Processus: 0
(Aucun élément malveillant détecté)

Module: 0
(Aucun élément malveillant détecté)

Clé du registre: 0
(Aucun élément malveillant détecté)

Valeur du registre: 0
(Aucun élément malveillant détecté)

Données du registre: 0
(Aucun élément malveillant détecté)

Flux de données: 0
(Aucun élément malveillant détecté)

Dossier: 0
(Aucun élément malveillant détecté)

Fichier: 0
(Aucun élément malveillant détecté)

Secteur physique: 0
(Aucun élément malveillant détecté)

WMI: 0
(Aucun élément malveillant détecté)


(end)

[Fourmi]

dois je faire une remise a zéro cela ne me dérange pas vraiment ca permettra d'enlever toute les bêtises que j'ai dl depuis de nombreuse année et ca me permettra du tri

[Parisien_entraide]

Tu peux mais la priorité est de changer tes mots de passe maintenant que le stealer est parti (si tu l'avais fais avant c'est à refaire) et activer le 2FA (double authentification) sur steam, EA etc
Relis bien le lien donné sur les stealer et cracks avec les conséquences

[angelique]

Non pas besoin, c'est OK, change tous tes mots de passe comme l'a bien dit Le Parisien.


Supprime C:\FRST et ses restes.

A lire : que faire après une attaque de virus informatique.
Change tes mots de passe et suis les instructions pour la bonne conduite pour ne plus te faire infecter.

Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?

Si l'aide t'a contenu ou si les tutoriels du site t'ont aidé, tu peux prendre le temps d'évaluer le site sur Bing, ce serait sympa : Evaluer le site malekal.com

[Fourmi]

Merci bien