1.1.168.192.IN-ADDR.ARPAFermé

Question

Bonjour, 
Mon pc pointe vers cette adresse 1.1.168.192.IN-ADDR.ARPA , j'ai pu le voir avec apat DNS.
Qu'est ce que c'est? car quand je tape l'adresse je tombe sur un panel ou il faut s'enregistrer...

Configuration: Windows 8 / Chrome 39.0.2171.95

racacax · Answer

Google est notre ami : https://www.google.fr/search?q=+1.1.168.192.IN-ADDR.ARPA
En fait, c'est juste ta box : 192.168.1.1, tu verras c'est la même chose.

lollol1 · Answer

ouai mais je tombe sur un panel situé en tailande, c'est pas le mien avec 1.1.168.192

racacax · Answer

1.1.168.192 = 
node-81s.pool-1-1.dynamic.totbb.net

Ah ! Ip malveillante, regarde là : http://www.blocklist.de/en/search.html?as=9737&page=81 Ps mal de totbb.net de bloqué

cabrier · Answer

lollol1,


Détournement de DNS !

 *	Clique sur le bouton "Démarrer"
*	Clique sur "Panneau de configuration"
*	Clique sur l'icône " Centre Réseau et partage"
*	Clique sur la ligne " Modifier les paramètres de la carte"
*	Fais un clic droit sur la carte réseau et sélectionne " propriétés"
*	Sélectionne " Protocole Internet version 4 (TCP/IPv4)" puis clique que le bouton "Propriétés"
*	coche la case "Utiliser l'adresse de serveur DNS suivante" et remplis les champs DNS préférés et auxiliaires en indiquant les DNS de ton fournisseur d'accès (F.A.I)
*	Valide par la touche "ok"
La modification des DNS peuvent se faire directement au niveau du panneau de configuration de la box 

Mais tu n'est pas obligé de mettre les DNS du FAI. Tu peux laisser vierge.

--------------------------------------------------

2ème méthode :

Télécharge sur le bureau Roguekiller (by tigzy)
Choisis la version correspondant à ta machine (x64 si 64 bits)

*    Quitte tous les programmes en cours

*    Lance RogueKiller.exe

*    Attends que le Prescan ait fini ...
Une fenêtre apparait sur l'accord de licence "Accepte"

*    Clique sur Scan.

Clique sur Rapport et copie/colle le contenu du notepad

(le rapport est également sur le bureau)

* Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois, ou renomme le en winlogon.exe 

Et si ça ne marche toujours pas , lance le en mode sans échec avec prise en charge du réseau.


Plus d'info sur RogueKiller : ICI

A+

lollol1 · Answer

donc c'est malveillant?

lollol1 · Answer

moi je veux me débarasser de ce virus... Comment il a fait pour faire apparaître son ip comme  ça 1.1.168.192 ?

racacax · Answer

Je sais pas du tout mais tu peux bloquer son IP comme ça : https://forum.malekal.com/viewtopic.php?t=33925&start=

cabrier · Answer

lollol1,


Cette IP t'envoie ici :

http://whois.domaintools.com/1.1.168.192 

et voila la photo du propriétaire du site :

https://www.linkedin.com/pub/apipol-gunabhibal/33/53b/544


Alors utilise ma 1ere méthode pour t'en débarrasser puis lance un Roguekiller car il arrive que les détournement de DNS soient accompagnée d'un RootKit !

A+
 
--------Contributeur Sécurité---------
Heureux ceux qui peuvent donner sans s'en souvenir et prendre sans oublier !

lollol1 · Answer

oui roguekiller à tué le rootkit qui est une sacrée merde car il s'injecte partout. Et ça continue à pointer vers 1.1.168.192. Je vais tout réinitialiser pas grave. 

Mais vous quand vous y allez ça vous dirige aussi vers ce panel bizarre?

Et à quoi sert le détournement DNS?

racacax · Answer

Oui ca met, en tout cas j'ai vu que ça chargeait, j'ai préféré ne pas m'aventurer.

cabrier · Answer

lollol1



Tu peux nous coller le rapport de RoqueKiller si tu as fait "Suppression" ?

A+

cabrier · Answer

lollol1,


Tiens voici un article sur la question.

C'est du sérieux !

https://www.informatiquenews.fr/les-attaques-de-dns-obligent-repenser-ses-strategies-de-securite-7618

A+

lollol1 · Answer

RogueKiller V10.1.1.0 [Dec 23 2014] par Adlice Software
email : https://www.adlice.com/contact/
Remontées : https://forum.adlice.com/
Site web : https://www.adlice.com/fr/roguekiller/
Blog : https://www.adlice.com/

Système d'exploitation : Windows 8 (6.2.9200 ) 64 bits version
Démarré en  : Mode normal
Utilisateur : Mathieu [Administrateur]
Mode : Scan -- Date : 12/27/2014  23:29:30

¤¤¤ Processus : 0 ¤¤¤

¤¤¤ Registre : 4 ¤¤¤
[PUM.DesktopIcons] (X64) HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel | {20D04FE0-3AEA-1069-A2D8-08002B30309D} : 1  -> Trouvé(e)
[PUM.DesktopIcons] (X64) HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel | {59031a47-3f72-44a7-89c5-5595fe6b30ee} : 1  -> Trouvé(e)
[PUM.DesktopIcons] (X86) HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel | {20D04FE0-3AEA-1069-A2D8-08002B30309D} : 1  -> Trouvé(e)
[PUM.DesktopIcons] (X86) HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel | {59031a47-3f72-44a7-89c5-5595fe6b30ee} : 1  -> Trouvé(e)

¤¤¤ Tâches : 0 ¤¤¤

¤¤¤ Fichiers : 0 ¤¤¤

¤¤¤ Fichier Hosts : 0 ¤¤¤

¤¤¤ Antirootkit : 0 (Driver: Non chargé [0x20]) ¤¤¤

¤¤¤ Navigateurs web : 0 ¤¤¤

¤¤¤ Vérification MBR : ¤¤¤
+++++ PhysicalDrive0: Crucial_CT256MX100SSD1 ATA Device +++++
--- User ---
[MBR] fba40230399f501152a49f8110646944
[BSP] b751e26aa7138395f2e9b10e3d46975a : Windows Vista/7/8 MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x7) [VISIBLE] Offset (sectors): 2048 | Size: 350 MB
1 - [XXXXXX] NTFS (0x7) [VISIBLE] Offset (sectors): 718848 | Size: 243846 MB
User = LL1 ... OK
User = LL2 ... OK

+++++ PhysicalDrive1: Generic- Multi-Card USB Device +++++
Error reading User MBR! ([15] Le périphérique n?est pas prêt. )
Error reading LL1 MBR! NOT VALID!
Error reading LL2 MBR! ([32] Cette demande n?est pas prise en charge. )


============================================
RKreport_SCN_12272014_224318.log - RKreport_SCN_12272014_230822.log - RKreport_SCN_12272014_232338.log

cabrier · Answer

lollol1, Je vais me coucher, désolé. Il te faudrait, pour s'assurer qu'il ne subsiste pas un RootKit, utiliser ce tool. [*] Télécharge TDSSKiller de Kaspersky et enregistre-le sur ton Bureau [*] Double-clique sur TDSSKiller.exe /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur [*] Clique sur Change parameters et coche la case Loaded modules. Le message Reboot is required s'affiche. [*] Il faut le valider en cliquant sur Reboot now. [*] Au redémarrage, valider la demande Voulez-vous exécuter ce fichier (Editeur Kasperky.Labs). L'outil TDSSKiller se relance. [*] Clique de nouveau sur Change parameters et coche dans Additionnal options les cases Verify driver digital signatures et Detect TDLFS file system. Valide par OK [*] Clique sur Start scan pour lancer l'analyse. Laisse travailler l'outil sans l'interrompre. [*] En fin d'analyse, si l'outil a trouvé des éléments suspects ou malicieux, laisse les options indiquées par l'outil pour l'action à effectuer : Vérifie que : Si TDSS.tdl2 est détecté, l'option par défaut soit delete Si TDSS.tdl3 est détecté, l'option par défaut soit Cure Si TDSS.tdl4 (mbr) est détecté, l'option par défaut soit Cure Si Suspicious object est indiqué, l'option par défaut soit Skip [*] Clique ensuite sur Continue, puis clique sur Reboot computer [*] Au redémarrage, poste le rapport TDSSKiller.Version_Date_Heure_log.txt dans ta réponse sur le forum Le rapport TDSSKiller.Version_Date_Heure_log.txt est enregistré sous C:\TDSSKiller.Version_Date_Heure_log.txt Tutoriel d'utilisation TDSSKiller en images : https://forum.security-x.fr/tutoriels-317/tutoriel-tdsskiller-nouvelle-version/ ou http://www.sosvirus.net/tdsskiller-kaspersky-t82423.html ----------------------------------------------------- Et demain si tu es toujours là on fera un scan de ta machine : * Télécharge sur ton BUREAU Farbar Recovery Scan Tool à partir de ce tutorie. * Download - choisis la version 32 ou 64 bits selon l'architecture de ton système. * Laisse les cases cochées par défaut et clique sur le bouton Scan * Le scan se lance, les éléments scannés apparaissent en haut. * si tu as le message « Disclaimer of warranty » => clique sur Oui. -------- * Une fois le scan terminé, une popup te le signale et 3 rapports sont générés : FRST.txt, Shortcut.txt et Addition.txt * Ces 3 rapports se trouvent sur le bureau avec le programme FRST. * Transmets moi ces rapports par un dépôt de fichiers en cliquant sur ce lien : pjoint * Donne moi les liens de ces rapports --------------------------------------------------------------- Sache que FRST créé un dossier C:/FRST dans lequel se trouve un dossier Logs qui contient les rapports mais aussi un dossier Quarantine dans lequel sont placés les fichiers qui ont été supprimés depuis l'application. A+

lollol1 · Answer

lien rappot HijickThis : https://pjjoint.malekal.com/files.php?id=HijackThis_20141227_x10t14f14f12x6

l'interprétation sur http://www.hijackthis.de/ me dit que je suis infecté

lollol1 · Answer

TDSS KILLER n'a rien trouvé

Rapport FRST :
FRST : https://pjjoint.malekal.com/files.php?id=20141228_u10s14e10r9r10
Addition : https://pjjoint.malekal.com/files.php?id=20141228_r5f8p12l13q8
Shortcut : https://pjjoint.malekal.com/files.php?id=20141228_x11x14m14e9w7

Merci beaucoup pour ton aide c'est super sympas ;)

cabrier · Answer

lollol1,

OK c'est net !
Mais les cr..ks c'est pas bon pour ton PC !!!!

Toujours ton problème ?


Si oui :

* Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau,
/!\Il est très important de l'enregistrer sur le bureau / !\  

*Si tu utilises Adblock sur ton navigateur, il faut le désactiver temporairement pour le site de l'éditeur pour accéder au téléchargement

    Sur Firefox, clique sur l'icône Adblock et choisir "Désactiver pour Nicolas Coolman.fr"
    Sur Chrome, clique sue l'icône Adblock et choisis "Ne rien bloquer sur les pages de ce domaine. Cliquer sur "exclure" dans la fenêtre suivante

Tu le réactiveras après le téléchargement en faisant la manip inverse si tu le souhaites

* Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et laisse se dérouler l'installation
/!\L'outil a créé 2 icônes ZHPDiag , ZHPFix /!\
/!\Utilisateurs de Vista et Windows 7/8 : Clic droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur » /!\

* A l'ouverture le programme te proposes plusieurs options, cliques sur "Complet" et laisse travailler l'outil.


* ZHPDiag va alors analyser le contenu de ton ordinateur à la recherche d'informations sur ton système d'exploitation, la base de registre... Patiente jusqu'à la fin de l'analyse. Il peut arriver que le logiciel donne l'impression d'être bloqué ; patiente !

* Laisse l'outil travailler, il peut être assez long. 

* Le rapport s'ouvre dans le bloc note, ferme le car il est aussi enregistré sur ton bureau sous le nom ZHPDiag.txt et dans le dossier où est installé ZHPDiag (en général C:\ZHP\). 

* Transmets moi le lien du fichier par l'intermédiaire d'un dépôt de fichiers.

* Rappel des dépôts : cjoint ou  pjoint


A+

cabrier · Answer

lollol1,

OK,


Effectivement tu as beaucoup de tools d'installés dont une VM et plein d'autres choses.....!

Mais ce n'est pas ce qui a provoqué ton détournement de DNS, ça c'est cr**ck ou  un faux codec ou ..... tellement de possibilités !!!

Ton PC est difficile à remettre en état compte tenu des modifications apportées par les différents outils que tu as utilisé; la Base de Registre doit en avoir pris un sacré coup et je ne connais pas de tool capable de la restaurer.

Désolé mais pour un PC opérationnel faut repartir à zéro.


A+

1.1.168.192.IN-ADDR.ARPA

18 réponses

Discussions similaires

Newsletters