[PB] Je me suis fait pirater

Ca faisait déjà quelques jours que pas mal de choses ne tournaient plus très rond sous windows, une connexion qui ressemblait par moments à du 56k voire plus de connexion, des trojan et backdoors qui apparaissaient constamment alors que je faisais tout le temps le ménage avec AVK mis à jour. Et puis tout à l'heure, pour voir si ça résolvait le problème de connexion, j'ai coupé le pare-feu (Look'n'Stop). Et dans les 5 minutes, ma souris qui se met à bouger toute seule et qui ouvre Menu Démarrer. Il ne vous faut pas un dessin, je suppose.

Donc reboot sous Linux et je compte y rester un bon moment. Mais quand même, plusieurs questions :

-> Est-il possible de savoir qui a fait ça ? Les logs du pare-feu comportent une dizaine de paquets bloqués par seconde sur toute la semaine dernière, donc je doute qu'ils me soient utiles (d'ailleurs, quelqu'un sait ce qu'est l'ICMP comme protocole et quel logiciel peut l'utiliser ?)

-> A part formater (ce que je compte de toute manière faire), y a-t-il un moyen de retrouver ma windows-box ?


Merci.

Tu devrais remettre totalement à plat la config de ton firewall, elle ne doit pas être clean...

ad-aware
spybot + protection
regcleaner
spywareblaster
secuser.com/antivirus (pour dégager les qq % non détectés par AVP)
en plus de ton antivirus.

Ceci dit, il semble étonnant que quelqu'un s'acharne sur ta bécanne depuis plusieurs jours ainsi : il a beaucoup de patience.
J'irai plutôt voir du côté du gros backdoor ouvert qui appelle l'intégralité des users : "hé ! je suis complètement ouvert ! Prenez-moi !"

Ben dis donc

Question : tu avais des dossiers partagés ?

@cactus69 :
Pourquoi dis tu que sa config de firewall devait être mauvaise ?
Tout ce qu'il a dit, c'est que lorsqu'il l'a désactivé, son PC est devenu incontrolable, donc son firewall servait manifestement à quelque chose...

cela dit, au niveau de ton look'n'stop, c'était quel genre de configuration, plutôt le jeu de règle classique ou alors tu avais rajouté plein de règles et permis plein de ports/ip etc... ?

L'ICMP, je sais que ça sert pour faire des pings, mais sinon

Parce que des firewall mal réglés j'en vois tous les jours et que les symptomes sont toujours les mêmes en coupant son firewall il a juste ouvert la porte en plus grand.

Pour plus d'info sur l'ICMP
https://www.commentcamarche.net/internet/icmp.php3

J'utilise (presque) tous ces softs, Benmars, sauf secuser.
Sinon, j'ai gardé le jeu de règles standards de Look'n'Stop, en rajoutant juste l'ouverture du port UDP de Kad.
@ KeySoze : dossiers partagés ? Celui de la mule, c'est tout. Pourquoi ?

Je pense en effet à la backdoor, j'étais obligé d'en fermer toutes les 3 minutes par le Task Manager (version améliorée), j'effaçais les fichiers correspondant ET je faisais des analyses anti-virus pour tout mettre en quarantaine mais ça réapparaissait dans la minute...

Heu, pour les dossiers partagés, je parlais d'un éventuel partage de fichiers pour un réseau local.

Le virus apparaissait dans quel dossier ? Toujours le même ?

Non, l'antivirus m'en trouvait dans plusieurs dossiers différents. Par contre, il ne se lançait que depuis E:\Windows\System32\
A noter que j'ai eu un Sasser il y a une semaine, désinfecté dès détection mais peut-être trop tard.

question bête : tu as bien mis un mot de passe au compte administrateur de ta machine ??

si tu n'en met pas pendant l'installation de windows, n'importe qui peut prendre le controle de ton PC, firewall ou pas firewall...

Ensuite, désactiver le partage windows sur la connexion réseau qui part vers internet...

Réponse bête : non, pas de MdP. Mais encore faudrait-il que le pirate puisse rentrer, non ?

Je ne me suis jamais soucié d'un éventuel partage réseau. Windows l'utilise par défaut ?

Es-tu certain là ? Parce que ça c'est techniquement impossible si tu as un firewal correctement verrouillé, même celui de XP suffit.

alors si je connais ton IP, je te pirate dans la minute qui suit avec un soft comme Dameware (soft de prise de controle à distance...)

il suffit que j'arrive à un moment où ton firewall est désactivé et c'est OK.

Et je parle là d'un soft officiel qui sert pour la télémaintenance... je ne suis pas un hacker, alors je ne connais pas tous les softs plus "sauvages" qui doivent surement exister...

Pour comparer, j'utilise depuis maintenant 1 mois une config windows 2000 SANS firewall, allumée 24/24 et connectée sur mon IP (ip fixe en plus) : aucun ennuis...

mais à coté de ça, installation de tous les patchs, mot de passe admin costau, et suppression des services de voisinnage réseau et partage d'imprimante sur la connexion vers mon modem....

c'est vrai, mais il suffit de très peu de temps : par exemple, pour installer un autre firewall, tu désactives d'abord celui de XP non ?

Bon, j'y penserai lors de ma réinstallation. Bien que je pense rester un bon moment sous Linux (bon courage pour trouver mon password root)