Infection par MSN ou WLM

[Gof]

Bonsoir,

 

Un relais que je n'ai pas vu mentionné sur Zeb. Un rappel de Laurent, l'auteur de MSNFIX :

 

 

Alerte

Une très forte recrudescence des arnaques sur Internet visant les utilisateurs du logiciel MSN Messenger se faisant de plus en plus pressante il est très important de relayer cette information le plus largement possible.

 

 

Toutes les infections MSN, on dira 99 % pour laisser place à l'exception qui confirme la règle, utilisent des techniques dites de social engineering qui, pour expliquer ce terme, représente la capacité à manipuler l'utilisateur en le trompant.

Cette méthode est très largement employée car elle est très efficace surtout car elle fait appel à la faille par excellence ... L'utilisateur lui même et cela se traduit de plusieurs façons. 2 sont particulièrement courantes :

• 1. Malware
  • L'infection, le malware. Vous recevez généralement un lien avec un message plutôt amusant qui suscite l'intérêt et votre curiosité. Le fichier téléchargé est un programme qui, une fois exécuté, va effectuer des modifications sur votre système , comme par exemple assurer sa pérennité (ex: il redémarrera tout seul à chaque fois, désactive des fonctionnalités, etc...).
    Les symptômes peuvent être l'affichage d'une fenêtre avec la photo d'une personne (permet d'occuper l'esprit et dissiper les doutes (l'utilisateur infecté pense alors à une mauvaise blague)) mais il peut très bien n'y avoir aucun signe visible, tout au pire des ralentissements sur de vieilles machines.
    Depuis quelques mois, des méthodes de furtivités avancés sont utilisés, de nombreux outils de sécurité deviennent 'aveugles' (technologies/ techniques rootkits). Les symptômes vous sont souvent révélés par vos amis, votre famille, vous informant que vous transmettez des messages étranges (les mêmes messages que vous avez reçus).
    

• 2. Hameçonnage (Phishing)
  • L'hameçonnage, méthode de plus en plus fréquente, dont vous êtes potentiellement la cible consiste à vous attirer par le biais d'un lien sur un site vous invitant à saisir vos identifiants en fournissant plusieurs prétextes. Techniquement, une fois que VOUS avez renseigné ces champs et validé, personne ne peux plus rien faire pour vous. Ces pirates utilisent des serveurs configurés et localisés de façon à rendre très difficile voir impossible toute investigation et donc recours.
    

 

 

Il faut bien comprendre les nuances entre 'malware' (programmes malveillants) et 'anarques' de type hameçonnage (techniques qui visent à dérober vos identifiants de compte MSN)

D'un côté les sites ou messages vous demandant vos identifiants : ARNAQUES/PHISHING/SCAM

De l'autre les liens vers des programmes (.exe, .com, .pif, .etc....) : MALWARE

MSNFIX ne traite pas les tentatives d'arnaques mais uniquement des éléments liés aux infections MSN (Malware).

 

 

 

Les sites directement impliqués dans ces tromperies sont de plus en plus nombreux

• adp0int.info
  awes0me.info
  c-oo-l-st-uff.info
  c0olstuff.info
  ch33se.info
  checkp0int.info
  awes0me.info
  n1ce4ds.info
  imagehosters.info
  m33tpoint.info
  myfriendz.info
  pe0ples.info
  pr0filepix.info
  im4ges.info
  CHECK-LIST.BIZ
  CHECKMESSENGER.NET
  MESSENGERSCAN.COM
  MESSENGERSCAN.NET
  MESSENGERSCAN.INFO
  MESSENGERSCAN.NET
  MESSENGERSTATUS.NET
  MESSENGERSTATUS.BIZ
  MESSENGER-CONTACTS.TK
  MESSENGER-DETECTIVE.TK
  

 

et sont généralement très sommaire : un simple formulaire vous demandant Identifiants et Mot de passe MSN

 

 

ou

 

 

Ce formulaire est souvent accompagné d'un lien vers les Conditions Générales d'Utilisation (CGU) ou, comme sur la capture ci dessus "Terms and Conditions", que vous avez accepté en indiquant vos identifiants MSN puis en validant.

en lisant avec un peu d'attention on peut y lire par exemple :

 

 

en clair : vous autorisez clairement le site en question à envoyer des messages à vos contacts pendant un temps annoncé provisoire ../...

 

 

Il est donc de la responsabilité de l'utilisateur de bien prendre conscience des risques et des dangers inhérents à l'utilisation de tel services, quand bien même le service proposé soit effectivement honoré.

 

Maintenant imprimez ces petites phrases, affichez les près de l'écran et chaque fois que vous vous serez sur le point de vous connecter à MSN relisez les une à une et répétez les trois fois religieusement :

• Sur MSN ...
  

• • Mes identifiants et mots de passe jamais je ne donne
    
  • Un lien m'est proposé, méfiant je serai et confirmation de l'expéditeur j'attendrai
    
  • Un fichier m'est envoyé .. l'expéditeur je questionnerai avant d'accepter
    

 

 

si malgré tout vous êtes malheureusement infecté merci de bien vouloir prendre quelques secondes pour alerter les services compétents.

Ce formulaire peut être utilisé pour notifier tout liens (vers un fichier ou un formulaire ) http://secubox.gateweb.org/notify/

pour me faire parvenir des fichiers (fichiers suspects, fichiers reçus ou envoyés ..) éventuellement en indiquant le message ou le lien dans les commentaires http://upload.changelog.fr

[Gof]

Bonjour à tous,

 

Explications sur le rappel que j'ai relayé dans mon message précédent de Laurent, l'auteur de MsnFix.

 

Les liens "............info" et autres

 

Circulent beaucoup en ce moment des liens xxxxxxxxx.info ou y ressemblant (ou xxxx est généralement l'adresse du contact hotmail avant l'@). Le nom de domaine peut changer. Ces liens, à la différence d'une infection véritable se propageant par MSN, vous renvoie sur des sites vous invitant à saisir vos identifiants afin de prendre connaissance d'un pseudo message :

 

 

La première des prudences est en effet de ne pas cliquer sur le lien. La deuxième des prudences est de ne pas saisir vos identifiants de messagerie sur ces pseudos sites !

 

Tous vos contacts qui vous inondent de liens de ce genre sont des contacts qui ont livré, à un moment ou un autre, leurs identifiants sur un site de ce genre. Leur adresse email a été enregistrée, et leur carnet de contacts a été spammé afin de les attirer, eux aussi, à saisir leurs identifiants. Mais il ne s'agit pas d'une véritable infection, puisque ces derniers ont volontairement saisi leurs identifiants.

 

Que peuvent-ils faire à terme de ces adresses et coordonnées de messagerie ? Dans votre malheur, vous avez de la chance. Les identifiants ne sont pas changés, vous pouvez encore accéder à vos messageries. Si cela avait été quelqu'un de malveillant, il aurait pu supprimer votre compte, envoyer des mails injurieux ou obscènes à vos contacts, etc. Là, il semble qu'il s'agisse d'une logique plus commerciale et plus mercantile. Les adresses doivent demeurer valides pour être utiles, à des fins de publicité et de spam.

 

Un exemple peut-être lié, ou pas, sont les bots -des robots s'ajoutant à vos contacts- et déterminés pour converser afin de vous inviter à consulter un site (cf le sujet emmanuelledion.com par exemple). Il s'agit dans ce cas de stricte publicité, plutôt agressive.

 

Il s'agit de distinguer donc, par le rappel qu'a formulé Laurent, les infections se propageant par MSN vous invitant à télécharger un fichier qui infectera le système, de ces sites vous incitant à livrer vos identifiants à des fins commerciales mais non infectieuses.

 

Si vous avez donné vos identifiants, vous devez alors changer vos mots de passe, cela devrait suffire.

[Gof]

Bonjour tout le monde,

 

Il sera difficile d'être exhausitf sur ces liens publicitaires vous incitant à y saisir vos identifiants (voir message précédent). En fait, par défaut le seul valable est la page Hotmail où l'on doit s'identifier. Tous les autres sont à proscrire.

 

Cependant, à titre info, à la liste initialement créée par Laurent, on peut en rajouter quelques uns :

• xxxx.adp0int.info
  xxxx.amazing-thingz.com
  xxxx.awes0me.info
  xxxx.awes0me.info
  xxxx.awesomeoffers.info
  xxxx.Awesomess.com
  xxxx.awesomezz.com
  xxxx.c0olstuff.info
  xxxx.catchedyou.com
  xxxx.ch33se.info
  xxxx.CHECK-LIST.BIZ
  xxxx.CHECKMESSENGER.NET
  xxxx.checkp0int.info
  xxxx.checkpics.com
  xxxx.c-oo-l-st-uff.info
  xxxx.CrazyThingx.com
  xxxx.crazyThingzz.com
  xxxx.cybershotsx.com
  xxxx.dirty-nightz-out.com
  xxxx.dirty-nightz-out.com
  xxxx.dontstayin-pics.com
  xxxx.flicker-pics.com
  xxxx.flicker-pics.com
  xxxx.flickrzx.com
  xxxx.freakpics.info
  xxxx.freegiftz4u.com
  xxxx.freegiftz4u.com
  xxxx.frieendz.com
  xxxx.frienderzz.com
  xxxx.[chiffre].friendsfind.me
  xxxx.g00d-stuff.com
  xxxx.gallery-picturez.com
  xxxx.GALLERY-SHOTZ.com
  xxxx.gallery-shootz.com
  xxxx.holiday-picz.com
  xxxx.home-picz.com
  xxxx.home-picturez.com
  xxxx.hostfriendpics.com
  xxxx.hotdealzz.com
  xxxx.hotpiczz.com
  xxxx.iimagespacer.info
  xxxx.ilovethiz.com
  xxxx.im4ges.info
  xxxx.imagecrisp.info
  xxxx.imagedescription.com
  xxxx.ImageFreakz.com
  xxxx.imagefrosty.info
  xxxx.imagehosters.info
  xxxx.imagehostz.com
  xxxx.imagepeepz.com
  xxxx.imagerzz.com
  xxxx.imageshotz.com
  xxxx.imagesnapz.com
  xxxx.ImageTalez.com
  xxxx.imaginerzz.com
  xxxx.imgbests.com
  xxxx.imgfriendz.com
  xxxx.imglists.com
  xxxx.imgshakhost.com
  xxxx.imgshootz.com
  xxxx.imultihosti.com
  xxxx.insaneimagz.com
  xxxx.invite.AmazingThingss.com
  xxxx.invite.piczzx.com
  xxxx.invite.piczzx.com
  xxxx.invites.realdealzz.com
  xxxx.jigglepics.com
  xxxx.just-so-cool.com
  xxxx.likethatstuff.com
  xxxx.m33tpoint.info
  xxxx.MESSENGER-CONTACTS.TK
  xxxx.MESSENGER-DETECTIVE.TK
  xxxx.MESSENGERSCAN.COM
  xxxx.MESSENGERSCAN.INFO
  xxxx.MESSENGERSCAN.NET
  xxxx.MESSENGERSCAN.NET
  xxxx.MESSENGERSTATUS.BIZ
  xxxx.MESSENGERSTATUS.NET
  xxxx.msgpics.info
  xxxx.myfriendz.info
  xxxx.mytubesz.com
  xxxx.n1ce4ds.info
  xxxx.naughty-nightz.com
  xxxx.naughty-nightz.com
  xxxx.paparazziss.com
  xxxx.party-picturez.com
  xxxx.party-picturez.com
  xxxx.partytimess.com
  xxxx.passionzz.com
  xxxx.pe0ples.info
  xxxx.pic4fun.info
  xxxx.picfriendz.com
  xxxx.pics.frieendz.com
  xxxx.picsearcherz.com
  xxxx.picshotz.com
  xxxx.picsnapz.com
  xxxx.picslists.com
  xxxx.picthanks.com
  xxxx.picturehostz.com
  xxxx.picture-maniacs.com
  xxxx.picture-maniacs.com
  xxxx.pictureroid.com
  xxxx.pictureshotz.com
  xxxx.picturestoriez.com
  xxxx.PictureFreakz.com
  xxxx.piczflick.com
  xxxx.piczzx.com
  xxxx.playshost.com
  xxxx.polaroids-alive.com
  xxxx.polaroids-alive.com
  xxxx.pr0filepix.info
  xxxx.quicklycheck.com
  xxxx.realcoolss.com
  xxxx.realcoolss.com
  xxxx.RealCoolThingz.com
  xxxx.realdealzz.com
  xxxx.seasonsgreetingz.info
  xxxx.seasonsgreetingz.info
  xxxx.singlezcomehere.com
  xxxx.snapsh0t.info
  xxxx.so-cool-4u.com
  xxxx.StayFriendsForever.com
  xxxx.summarypic.com
  xxxx.summer-picz.com
  xxxx.supercoolz.com
  xxxx.super-galleri.com
  xxxx.sweetstufff.com
  xxxx.tightpicz.com
  xxxx.torrocheck.com
  xxxx.Ultimate-stuff.com
  xxxx.ultimatestufff.com
  xxxx.UltraCoool.com
  xxxx.whats-up-today.com
  xxxx.yoimgz.com
  xxxx.yopicz.com
  xxxx.youimgz.com
  xxxx.youphotoz.com
  xxxx.yourpiczz.com
  xxxx.youtubeimgs.com
  

 

xxxx au nom du contact devant son adresse MSN/WLM. Parfois l'adresse est à la fin du lien.

 

Souvenez vous que si vous recevez ces liens de la part de vos contacts, qu'il ne s'agit pas d'une infection, mais d'une imprudence de l'un de vos contacts (émetteurs de ces liens). La solution est qu'ils changent leurs identifiants de messagerie (mot de passe). Relisez les posts précédents pour plus de détails.

[WawaSeb]

Bonsoir à tous,

 

En voici un nouveau, découvert sur une machine infectée par NaviPromo (il n'y a sans doute aucun lien !), mais vous pouvez vérifier...

xxxx.cybershotsx.com

 

Bonne soirée !

[Gof]

Bonjour tout le monde,

 

Merci Wawaseb de la remontée.

 

***

 

Petit rappel

 

Beaucoup de monde s'évertue, ici et ailleurs, à vous sensibiliser sur ces infections se propageant via MSN ou WLM. Des développeurs, Laurent en tête, entretiennent assidument leurs outils afin de proposer des scripts les plus efficaces et les plus à jours possibles pour vous débarrasser de ces plaies.

 

En parallèle, la sensibilisation se porte aussi (comme le montre les posts précédents) à vous alerter sur ces "fameux" sites vous demandant pour diverses raisons vos identifiants : vous y gagnez un "service" tout relatif en échange de la divulgation de votre carnet de contacts à des fins de matraquage publicitaire : vos contacts apprécieront...

 

Mais quand certains se laissent berner par des arnaques plus grosses qu'eux, à des fins presque inavouables... On peut se dire parfois que ces derniers méritent tout particulièrement ce qui leur arrive. Cette minorité d'inconscients dévalue et dénigre tout le travail de ces nombreux bénévoles s'efforçant de vous tirer de mauvais pas (souvent issus de votre propre imprudence)... Entendez bien que j'évoque les indélicats qui se laissent avoir là, pas les auteurs responsables de l'arnaque.

 

Le site WEBCAM-DISCOVERY.COM propose de télécharger une application qui permet d'espionner ses contacts MSN par webcam (...)

MAD - Dodone Worm: Webcam-Discovery

 

 

 

Difficile d'être sensible à vos "appels au loup" lorsqu'il est chez vous, si vous avez vous-même tiré sur sa laisse pour l'emmener chez le voisin...

 

[Akred]

Bonsoir tout le monde,

Excellent sujet, bravo

[Fly_indian]

Merci pour ton aide gof.

 

Ce sujet est très intéressant. Mais le comble c'est que lorsque j'ai utilisez le lien que tu as posté pour télécharger "MSNFix.zip", mon antivirus a stopé un trojan. Pour quelqu'un qui veut nous alerter sur la sécurité....

 

Il n'y a aucune accusation, je n'y connais rien en informatique. C'est juste pour t'informer, parce que pour le coup ça le fait pas trop. A bon entendeur salut...Ciao

[oGu]

Salut.

 

Ton antivirus se trompe, c'est un faux positif: définition d'un faux-positif:

 

http://www.libellules.ch/fauxpositifs.php

 

 

Quel est ton antivirus, qu'on fasse remonter cette fausse détection directement chez l'éditeur?

 

Mon NOD32 détecte aussi un trojan, comme quoi même les bons produits ont leurs points faibles...

[Gof]

Bonjour,

 

Je reprends ma petite liste de liens publicitaires du post suivant : ici.

 

Il sera difficile d'être exhausitf sur ces liens publicitaires vous incitant à y saisir vos identifiants (voir message précédent). En fait, par défaut le seul valable est la page Hotmail où l'on doit s'identifier. Tous les autres sont à proscrire.

 

Cependant, à titre info, à la liste initialement créée par Laurent, on peut en rajouter quelques uns (...)

 

La consigne est toujours la même. Les liens se baladent toujours, malgré l'absence de contenu :

<html><head><title></title></head><frameset rows='100%, *' frameborder=no framespacing=0 border=0><frame src="http://66.199.179.111/ads/"'>http://66.199.179.111/ads/" name=mainwindow frameborder=no framespacing=0 marginheight=0 marginwidth=0></frame></frameset><noframes><h2>Your browser does not support frames. We recommend upgrading your browser.</h2><br><br><center>Click <a href="http://66.199.179.111/ads/" >here</a> to enter the site.</center></noframes></html>

Le flux n'étant plus alimenté. Ce qui signifie que la propagation de ces liens publicitaires devraient s'arrêter à partir du moment où les contacts spammers auront changé leurs mots de passe tout simplement.

 

Je vous invite donc, si vous recevez des messages publicitaires ressemblant aux liens indiqués à sensibiliser vos contacts, de sorte qu'ils changent leurs mots de passe. Et cela s'arrêtera naturellement.

[Gof]

Bonjour,

 

Si vous avez été redirigé sur cette page en ayant remonté un lien susceptible d'être infectieux via l'interface SecuGate, c'est que ce lien est un lien publicitaire non infectieux. La solution pour s'en débarrasser si vous en émettez est de changer votre mot de passe ; si vous en recevez, d'indiquer à votre correspondant de changer son mot de passe Hotmail. L'explication est ci-dessous et résulte d'une imprudence en n'ayant pas pris connaissance des conditions d'utilisation du service proposé. Vous trouverez dans les posts qui suivent des exemples d'interfaces de sites utilisant ce procédé publicitaire.

 

Petite piqure de rappel.

 

Tous les liens envoyés par e-mail ou par messagerie instantanée via l'interface MSN ou WLM ne sont pas forcément infectieux. Ainsi, les liens dont l'adresse commence par le nom d'un contact fini par un nom de domaine (comme recensés sur ce post que je mets à jour de temps en temps) vous renvoie sur des pages de ce genre là :

 

 

En saisissant vos identifiants sur ce genre de sites, vous autorisez la société derrière à mailer ou spammer vos contacts à des fins publicitaires. Ci-dessous les conditions d'utilisation du service :

 

• Terms of Use / Privacy Policy:
   
  By filling out this form, you authorize T P Ltd to spread the word about this new 100% real and upcoming Messenger Community Site. You will receive your share of the credit in helping us spread the word. This is a harmless Community site which is offering users a platform to meet each other for free.
  
  We do not share your private information with any third parties. By using our service/website you hereby fully authorize T P Ltd to send messages of a commercial nature via Instant Messages and E-Mails on behalf of third parties via the information you provide us. This is not a "phishing" site that attempts to "trick" you into revealing personal information. Everything we do with your information is disclosed here. If you are under eighteen (18), you MUST obtain permission from a parent or guardian before using our website/service.
   
  This page is not affiliated with or operated by Microsoft or MSN Network.
   
  ANY LIABILITY, INCLUDING WITHOUT LIMITATION ANY LIABILITY FOR DAMAGES CAUSED OR ALLEGEDLY CAUSED BY ANY FAILURE OF PERFORMANCE, ERROR, OMISSION, INTERRUPTION, DEFECT, DELAY IN OPERATION OR TRANSMISSION, COMMUNICATIONS LINE FAILURE, SHALL BE STRICTLY LIMITED TO THE AMOUNT PAID BY OR ON BEHALF OF THE SUBSCRIBER TO THIS SERVICE.
   
  We may temporarily access your MSN account to do a combination of the following: 1. Send Instant Messages to your friends promoting this site. 2. Introduce new entertaining sites to your friends via Instant Messages.
   
  This is a free service. You will not be asked to pay at any time. You will not be subscribed to anything asking for payment. This service is made possible by many hours of human effort.
   
  T P Ltd reserves the right to change the terms of use / privacy policy at any time without notice. To view the latest version of this privacy policy, simply bookmark this page for future reference.
   
  You understand that this agreement shall prevail if there is any conflict between this agreement and the terms of use you accepted when you signed up with MSN. You also understand that by temporarily accessing your msn account, T P Ltd is NOT agreeing to MSN's terms of use and therefore not bound by them.
   
  This agreement shall be construed and governed by the law of the republic of Panama. You expressly consent to the exclusive venue and personal jurisdiction of the courts located in the Republic of panama for any actions arising from or relating to this agreement.
   
  If any provision of this agreement is held to be invalid, illegal or unenforceable for any reason, such invalidity, illegality or unenforceability shall not effect any other provisions of this agreement, and this agreement shall be construed as if such invalid, illegal or unenforceable provision had not been contained herein.
  Copyright 2008 T P Ltd
  
  

 

Les choses sont on ne peut plus clair... Si les lecteurs ont besoin d'une traduction afin de comprendre, on traduira Et ce n'est en aucun cas du "Pishing" car il est clairement affirmé dans les conditons d'utilisation que la société n'est pas affiliée à Microsoft, tout en n'étant pas du "spam" à destination de vos correspondants, car les liens et messages publicitaires émanent de votre propre adresse, avec votre autorisation.