Zakath

Guru

Niveau : 5
N° de Membre : 7213

Ancienneté : 97% Participation : 12% Inscription: 15 Dec 2002
Localisation: Copenhague
Messages: 9866
Sujets Lancés : 426

[PB] Je me suis fait pirater

Ca faisait déjà quelques jours que pas mal de choses ne tournaient plus très rond sous windows, une connexion qui ressemblait par moments à du 56k voire plus de connexion, des trojan et backdoors qui apparaissaient constamment alors que je faisais tout le temps le ménage avec AVK mis à jour. Et puis tout à l'heure, pour voir si ça résolvait le problème de connexion, j'ai coupé le pare-feu (Look'n'Stop). Et dans les 5 minutes, ma souris qui se met à bouger toute seule et qui ouvre Menu Démarrer. Il ne vous faut pas un dessin, je suppose.

Donc reboot sous Linux et je compte y rester un bon moment. Mais quand même, plusieurs questions :

-> Est-il possible de savoir qui a fait ça ? Les logs du pare-feu comportent une dizaine de paquets bloqués par seconde sur toute la semaine dernière, donc je doute qu'ils me soient utiles (d'ailleurs, quelqu'un sait ce qu'est l'ICMP comme protocole et quel logiciel peut l'utiliser ?)

-> A part formater (ce que je compte de toute manière faire), y a-t-il un moyen de retrouver ma windows-box ?


Merci.

__________________

Allez jeter un œil à mon portfolio !

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 103 Jours, 6 Heures, 14 Minutes, 38 Secondes en ligne

cactus69

Expert

Niveau : 3
N° de Membre : 6158

Ancienneté : 98% Participation : 3% Inscription: 17 Nov 2002
Localisation: Lyon - France
Age: 63
Messages: 2087
Sujets Lancés : 415

Tu devrais remettre totalement à plat la config de ton firewall, elle ne doit pas être clean...

__________________

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 23 Jours, 4 Heures, 35 Minutes, 38 Secondes en ligne

Benmars

Guru

Niveau : 5
N° de Membre : 870

Ancienneté : 100% Participation : 13% Inscription: 03 Apr 2002
Localisation:
Age: 55
Messages: 11324
Sujets Lancés : 780

ad-aware
spybot + protection
regcleaner
spywareblaster
secuser.com/antivirus (pour dégager les qq % non détectés par AVP)
en plus de ton antivirus.

Ceci dit, il semble étonnant que quelqu'un s'acharne sur ta bécanne depuis plusieurs jours ainsi : il a beaucoup de patience.
J'irai plutôt voir du côté du gros backdoor ouvert qui appelle l'intégralité des users : "hé ! je suis complètement ouvert ! Prenez-moi !"

__________________
Tout le monde est un génie. Mais si vous jugez un poisson sur ses capacités à grimper à un arbre, il passera sa vie à croire qu'il est stupide.
A. Einstein

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 57 Jours, 6 Heures, 9 Minutes, 0 Seconde en ligne

KeySoze

Modérateur

Niveau : 5
N° de Membre : 4449

Ancienneté : 98% Participation : 8% Inscription: 15 Sep 2002
Localisation: IDF
Age: 42
Messages: 6370
Sujets Lancés : 603

Ben dis donc

Question : tu avais des dossiers partagés ?

@cactus69 :
Pourquoi dis tu que sa config de firewall devait être mauvaise ?
Tout ce qu'il a dit, c'est que lorsqu'il l'a désactivé, son PC est devenu incontrolable, donc son firewall servait manifestement à quelque chose...

cela dit, au niveau de ton look'n'stop, c'était quel genre de configuration, plutôt le jeu de règle classique ou alors tu avais rajouté plein de règles et permis plein de ports/ip etc... ?

L'ICMP, je sais que ça sert pour faire des pings, mais sinon

__________________
OXMO : On est plus intelligent à plusieurs que tout seul...mais certains aident moins que d'autres

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 46 Jours, 18 Heures, 58 Minutes, 16 Secondes en ligne

cactus69

Expert

Niveau : 3
N° de Membre : 6158

Ancienneté : 98% Participation : 3% Inscription: 17 Nov 2002
Localisation: Lyon - France
Age: 63
Messages: 2087
Sujets Lancés : 415

Citation: Message écrit par KeySoze, le 17-06-2004 à 17:52 @cactus69 : Pourquoi dis tu que sa config de firewall devait être mauvaise ? Tout ce qu'il a dit, c'est que lorsqu'il l'a désactivé, son PC est devenu incontrolable, donc son firewall servait manifestement à quelque chose...

Parce que des firewall mal réglés j'en vois tous les jours et que les symptomes sont toujours les mêmes en coupant son firewall il a juste ouvert la porte en plus grand.

__________________

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 23 Jours, 4 Heures, 35 Minutes, 38 Secondes en ligne

Puma-FraKC

Confirmé

Niveau : 2
N° de Membre : 6784

Ancienneté : 97% Participation : 1% Inscription: 03 Dec 2002
Localisation: en orbite geostationaire
Age: 46
Messages: 754
Sujets Lancés : 37

Citation: Le protocole ICMP (Internet Control Message Protocol) est un protocole qui permet de gérer les informations relatives aux erreurs aux machines connectées. Etant donné le peu de contrôles que le protocole IP réalise, il permet non pas de corriger ces erreurs mais de faire part de ces erreurs aux protocoles des couches voisines. Ainsi, le protocole ICMP est utilisé par tous les routeurs, qui l'utilisent pour signaler une erreur (appelé Delivery Problem).

__________________

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 5 Jours, 12 Heures, 52 Minutes, 46 Secondes en ligne

Zakath

Guru

Niveau : 5
N° de Membre : 7213

Ancienneté : 97% Participation : 12% Inscription: 15 Dec 2002
Localisation: Copenhague
Messages: 9866
Sujets Lancés : 426

J'utilise (presque) tous ces softs, Benmars, sauf secuser.
Sinon, j'ai gardé le jeu de règles standards de Look'n'Stop, en rajoutant juste l'ouverture du port UDP de Kad.
@ KeySoze : dossiers partagés ? Celui de la mule, c'est tout. Pourquoi ?

Je pense en effet à la backdoor, j'étais obligé d'en fermer toutes les 3 minutes par le Task Manager (version améliorée), j'effaçais les fichiers correspondant ET je faisais des analyses anti-virus pour tout mettre en quarantaine mais ça réapparaissait dans la minute...

__________________

Allez jeter un œil à mon portfolio !

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 103 Jours, 6 Heures, 14 Minutes, 38 Secondes en ligne

KeySoze

Modérateur

Niveau : 5
N° de Membre : 4449

Ancienneté : 98% Participation : 8% Inscription: 15 Sep 2002
Localisation: IDF
Age: 42
Messages: 6370
Sujets Lancés : 603

Heu, pour les dossiers partagés, je parlais d'un éventuel partage de fichiers pour un réseau local.

Le virus apparaissait dans quel dossier ? Toujours le même ?

__________________
OXMO : On est plus intelligent à plusieurs que tout seul...mais certains aident moins que d'autres

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 46 Jours, 18 Heures, 58 Minutes, 16 Secondes en ligne

Zakath

Guru

Niveau : 5
N° de Membre : 7213

Ancienneté : 97% Participation : 12% Inscription: 15 Dec 2002
Localisation: Copenhague
Messages: 9866
Sujets Lancés : 426

Non, l'antivirus m'en trouvait dans plusieurs dossiers différents. Par contre, il ne se lançait que depuis E:\Windows\System32\
A noter que j'ai eu un Sasser il y a une semaine, désinfecté dès détection mais peut-être trop tard.

__________________

Allez jeter un œil à mon portfolio !

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 103 Jours, 6 Heures, 14 Minutes, 38 Secondes en ligne

shakes808080

Guru

Niveau : 5
N° de Membre : 517

Ancienneté : 100% Participation : 11% Inscription: 08 Mar 2002
Localisation:
Messages: 8978
Sujets Lancés : 354

question bête : tu as bien mis un mot de passe au compte administrateur de ta machine ??

si tu n'en met pas pendant l'installation de windows, n'importe qui peut prendre le controle de ton PC, firewall ou pas firewall...

Ensuite, désactiver le partage windows sur la connexion réseau qui part vers internet...

__________________
Racket logiciel

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 45 Jours, 5 Heures, 55 Minutes, 7 Secondes en ligne

Zakath

Guru

Niveau : 5
N° de Membre : 7213

Ancienneté : 97% Participation : 12% Inscription: 15 Dec 2002
Localisation: Copenhague
Messages: 9866
Sujets Lancés : 426

Réponse bête : non, pas de MdP. Mais encore faudrait-il que le pirate puisse rentrer, non ?

Je ne me suis jamais soucié d'un éventuel partage réseau. Windows l'utilise par défaut ?

__________________

Allez jeter un œil à mon portfolio !

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 103 Jours, 6 Heures, 14 Minutes, 38 Secondes en ligne

cactus69

Expert

Niveau : 3
N° de Membre : 6158

Ancienneté : 98% Participation : 3% Inscription: 17 Nov 2002
Localisation: Lyon - France
Age: 63
Messages: 2087
Sujets Lancés : 415

Citation: Message écrit par shakes808080, le 17-06-2004 à 18:51 question bête : tu as bien mis un mot de passe au compte administrateur de ta machine ?? si tu n'en met pas pendant l'installation de windows, n'importe qui peut prendre le controle de ton PC, firewall ou pas firewall...

Es-tu certain là ? Parce que ça c'est techniquement impossible si tu as un firewal correctement verrouillé, même celui de XP suffit.

__________________

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 23 Jours, 4 Heures, 35 Minutes, 38 Secondes en ligne

shakes808080

Guru

Niveau : 5
N° de Membre : 517

Ancienneté : 100% Participation : 11% Inscription: 08 Mar 2002
Localisation:
Messages: 8978
Sujets Lancés : 354

alors si je connais ton IP, je te pirate dans la minute qui suit avec un soft comme Dameware (soft de prise de controle à distance...)

il suffit que j'arrive à un moment où ton firewall est désactivé et c'est OK.

Et je parle là d'un soft officiel qui sert pour la télémaintenance... je ne suis pas un hacker, alors je ne connais pas tous les softs plus "sauvages" qui doivent surement exister...

Pour comparer, j'utilise depuis maintenant 1 mois une config windows 2000 SANS firewall, allumée 24/24 et connectée sur mon IP (ip fixe en plus) : aucun ennuis...

mais à coté de ça, installation de tous les patchs, mot de passe admin costau, et suppression des services de voisinnage réseau et partage d'imprimante sur la connexion vers mon modem....

__________________
Racket logiciel

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 45 Jours, 5 Heures, 55 Minutes, 7 Secondes en ligne

shakes808080

Guru

Niveau : 5
N° de Membre : 517

Ancienneté : 100% Participation : 11% Inscription: 08 Mar 2002
Localisation:
Messages: 8978
Sujets Lancés : 354

Citation: Message écrit par cactus69, le 17-06-2004 à 18:59 Es-tu certain là ? Parce que ça c'est techniquement impossible si tu as un firewal correctement verrouillé, même celui de XP suffit.

c'est vrai, mais il suffit de très peu de temps : par exemple, pour installer un autre firewall, tu désactives d'abord celui de XP non ?

__________________
Racket logiciel

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 45 Jours, 5 Heures, 55 Minutes, 7 Secondes en ligne

Zakath

Guru

Niveau : 5
N° de Membre : 7213

Ancienneté : 97% Participation : 12% Inscription: 15 Dec 2002
Localisation: Copenhague
Messages: 9866
Sujets Lancés : 426

Bon, j'y penserai lors de ma réinstallation. Bien que je pense rester un bon moment sous Linux (bon courage pour trouver mon password root)

__________________

Allez jeter un œil à mon portfolio !

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 103 Jours, 6 Heures, 14 Minutes, 38 Secondes en ligne