[réglé] probable piratage de mon adresse IP

[fil57]

Bonjour
Je reviens du forum voisin (Internet...).
J'ai 3 PC (1 fixe et deux portables) tous connectés à Internet en WiFi via un routeur
La protection est assurée par une clé WAP
Hier mon fils m'a fait remarqué que quelqu'un téléchargé un film sur MegaUpload.
En réalité il a essayé d'en télécharger 1 mais n'y est pas arrivé car il y avait un téléchargement en cours
Le message disait l'adresse IP....... télécharge un film ACI de ...... bits.
J'ai vérifié mon adresse IP et cela correspondait.
Les deux portables étaient éteints. J'ai vérifié qu'il n'y avait aucun téléchargement ce qui était le cas.
J'ai arrêté le routeur WiFI en me disant que quelqu'un avait craqué le code WAP.
Donc connexion en direct avec le modem et le TÉLÉCHARGEMENT ÉTAIT TOUJOURS EN COURS !!!!!!
posting.php?mode=post&f=19#
Il m'a été conseillé de venir chez vous pour une analyse du PC. EinsteinZero pense qu'il pourrait s'agir d'un cheval de troie.
Ci dessous les liens pour les fichiers ODT.
Je vous remercie par avance de votre coup de main et appui.
Cordialement et bonne journée
Fil
Extras.txt
http://9q2tev.pjointe.com/
OTL.txt
http://offcg6.dl4free.com/

[bernard53]

Bonjour

Si tu n'as pas de compte sur "MegaUpload" tu ne peux donc télécharger qu'une fois toutes les 24heures ou selon un espace de temps précis d'ou l'alerte que tu as eu.
Même après un essai qui a été estompé c'est tout à fait normal que tu as eu cette alerte.

Ton rapport n'indique rien de bien méchant juste quelques lignes donc fait ceci quand même.

* Fait un double-clic sur l'icône d'OTL pour le lancer
/!\ pour Vista/Seven fais un clic-droit sur l'icône d'OTL et choisis "Exécuter en tant qu'administrateur"

* Assure-toi d'avoir fermé toutes les applications en court de fonctionnement.

* Quand la fenêtre d'OTL apparaît, assure toi que dans la section "Rapport" (en haut à droite) la case " Rapport minimal" soit cochée.

* Copies et colles le contenue de cette citation dans la partie inférieure d'OTL "Personnalisation"

:OTL
IE - HKU\S-1-5-21-3451806230-3451391636-1116651438-1001\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://search.babylon.com/home?AF=16876
[2011/04/04 17:23:28 | 000,000,000 | ---D | M] (No name found) -- C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Extensions
[2011/05/06 17:44:57 | 000,000,000 | ---D | M] (No name found) -- C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions
[2011/04/14 14:54:11 | 000,000,000 | ---D | M] (DownloadHelper) -- C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\{b9db16a4-6edc-47ec-a1f4-b86292ed211d}
[2011/05/06 17:44:57 | 000,000,000 | ---D | M] (Babylon) -- C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\ffxtlbr@babylon.com
[2011/05/06 18:00:38 | 000,000,000 | ---D | M] (No name found) -- C:\Program Files (x86)\Mozilla Firefox\extensions
File not found (No name found) --
O4 - HKLM\..\Run: [] File not found
O4 - HKU\S-1-5-19\..\RunOnce: [mctadmin] File not found
O4 - HKU\S-1-5-20\..\RunOnce: [mctadmin] File not found
:Commands
[emptytemp]

* Cliques sur l'icône Correction (en haut à gauche) .
* Laisse le scan aller à son terme sans te servir du PC
* A la fin du scan un rapport s'ouvrir "OTL.log"
* Copie et colle le ou les rapports dans ta réponse stp...
* Au cas où, tu peux les retrouver dans le dossier C:\OTL ou sur ton bureau en fonction des cas rencontrés
Mets le rapport ici car il prend bien de la place.

http://www.cijoint.fr/index.php

[fil57]

Bonjour Bernard53
Merci de ta réponse et de ton aide.
Impossible de transférer le fichier .log de OTL via le lien que tu m'as donné.
Il n'est pas très gros, je pense donc qu'en copie dans ce poste, cela passera.
Concernant mon souci, nous n'avons rien téléchargé.Le délai de 24 heures est par ailleurs déjà passé.
Enfin et là je désespère, je viens moi même d'essayer megaupload et à ma grande surprise un autre téléchargement est en cours. Puisque la taille et le type de fichier est indiqué, hier j'avais vu (google) que c'était les grimlins et cet AM c'est autre chose.
Quelqu'un utilise mon adresse IP j'en suis certain.
Maintenant, je ne vis pas en France mais dans un pays (dont je tairai le nom) où il n'y a quasiment pas de règles aussi je suis en train de me demander si ce piratage d'IP ne se fait pas à la source ? chez le FAI. Mais comment le prouver ?
Dans l'attente cordialement et bonne fin de journée
Fil
Le rapport OTL
All processes killed
========== OTL ==========
HKU\S-1-5-21-3451806230-3451391636-1116651438-1001\SOFTWARE\Microsoft\Internet Explorer\Main\\Start Page| /E : value set successfully!
C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Extensions folder moved successfully.
C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\{b9db16a4-6edc-47ec-a1f4-b86292ed211d}\local folder moved successfully.
C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\{b9db16a4-6edc-47ec-a1f4-b86292ed211d}\defaults\preferences folder moved successfully.
C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\{b9db16a4-6edc-47ec-a1f4-b86292ed211d}\defaults folder moved successfully.
C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\{b9db16a4-6edc-47ec-a1f4-b86292ed211d}\components folder moved successfully.
C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\{b9db16a4-6edc-47ec-a1f4-b86292ed211d}\chrome folder moved successfully.
C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\{b9db16a4-6edc-47ec-a1f4-b86292ed211d} folder moved successfully.
C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\ffxtlbr@babylon.com\defaults\preferences folder moved successfully.
C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\ffxtlbr@babylon.com\defaults folder moved successfully.
C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\ffxtlbr@babylon.com\content\imgs\mnRadio folder moved successfully.
C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\ffxtlbr@babylon.com\content\imgs\flgs folder moved successfully.
C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\ffxtlbr@babylon.com\content\imgs folder moved successfully.
C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\ffxtlbr@babylon.com\content folder moved successfully.
C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\ffxtlbr@babylon.com\components folder moved successfully.
C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\ffxtlbr@babylon.com\chrome folder moved successfully.
C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\ffxtlbr@babylon.com folder moved successfully.
C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions folder moved successfully.
Folder C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\{b9db16a4-6edc-47ec-a1f4-b86292ed211d}\ not found.
Folder C:\Users\C.C.S. PREDIVAC\AppData\Roaming\mozilla\Firefox\Profiles\xg6t6lj7.default\extensions\ffxtlbr@babylon.com\ not found.
C:\Program Files (x86)\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd} folder moved successfully.
C:\Program Files (x86)\Mozilla Firefox\extensions folder moved successfully.
Registry key HKEY_LOCAL_MACHINE\\Software\Microsoft\Windows\CurrentVersion\Run not found.
Registry value HKEY_USERS\S-1-5-19\\Software\Microsoft\Windows\CurrentVersion\RunOnce\\mctadmin deleted successfully.
Registry value HKEY_USERS\S-1-5-20\\Software\Microsoft\Windows\CurrentVersion\RunOnce\\mctadmin deleted successfully.
File ptytemp] not found.

OTL by OldTimer - Version 3.2.22.3 log created on 05072011_152915

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...

[bernard53]

OK pour le rapport.

Tu n'as pas un logiciel qui permet de reprendre un téléchargement arrêter qui serait en cause et donc normal que tu es cette info de téléchargement en cours

[Del-crosseur]

Bonsoir vous deux ,

@Fil57 Tu est chez quel Opérateur ?
Orange , Neuf.... ?

[fil57]

Re Bernard 53
Voir la Mayenne dans ton adresse me fait sentir l'air du pays avec les pommiers bientôt en fleurs.
Mais bon, je ne comprends pas ce que tu m'as écris. Désolé!
Sur les 3 PC, il n'y a eu (à ma connaissance) aucun téléchargement et/ ou de téléchargement interrompu.
(suite à un edit = mon fils vient de me dire qu'il n'y a rien d'installer sur ce PC (neuf) que je ne connaisse pas donc à priori pas de logiciel de téléchargement susceptible de reprendre un téléchargement interrompu)
Je reviens de chez un collègue à qui j'ai raconté mes malheurs.
Nous avons essayé de télécharger un film sur megaupload et cela n'a pas été possible. Lui aussi avait le message qu'un film était en cours de téléchargement (différent du mien).
Bref, maintenant je voudrai démontrer que le FAI télécharge des films à partir d'adresses IP de clients. mais est ce possible ?
Pour conclure, je dois me débrouiller seul. Impossible d'imaginer un recours à la force publique.... je ne suis pas chez moi. Et puis je sais bien que cela remettrait en cause tout un pan de l'économie souterraine..... mais avec mon bâton de pèlerin, je peux faire du bruit.
Cordialement et A+
Fil

[fil57]

Je viens de voir le message de Del-Crosseur
Je ne suis pas en France. Mon fournisseur d'accès est l'unique opérateur téléphonique de l'Ile.

Je suis désolé.
A+
Fil

[bernard53]

tu as windows Seven donc fait ceci pour voir sinon désolé je ne sais pas


Réinitialisation des paramètres de connexion :
tapes cmd dans la recherche "Vista" ou "Seven" <ensuite clique droit sur la petite fenêtre noire nommée cmd.exe et choisis "Exécuter en tant qu'administrateur".
Dans le fenêtre DOS qui va s'afficher tapes ceci.


ipconfig /flushdns
netsh winsock reset
netsh winhttp reset proxy
netsh winhttp reset tracing
netsh winsock reset catalog
netsh int ipv4 reset catalog
netsh int ipv6 reset catalog

Valide par la touche Entrée chaque commande.

Tu redémarres le PC.

Sinon je viens de constater que ton ile est bien loin

[fil57]

Re,
Je viens d'effectuer ta manip.
He bien à priori, cela à virer l'intrus. Il n'est plus là.
Maintenant je n'ai plus qu'à attendre qu'il revienne car il reviendra c'est certain.
Peut être qu'à force de faire cette manip, il en aura marre !!!! sait on jamais
Sinon, je m'étais un planté dans mes renseignements.
L'adresse IP qui m'était communiquée par megaupload est l'adresse du serveur DNS à l’exception de la 4° série de chiffres.
Rien à voir avec l'adresse Ipv4.
N'y connaissant pas grand chose, je n'irai pas plus loin.
Merci de ton appui et des senteurs printanière (j'ai fait un gros effort) de la campagne Mayennaise.
A+ et cordialement
Fil

[bernard53]

OK alors la Mayenne te salue bien et te souhaite une bonne soirée