Keylogger encore actif ?

Bonjour,

https://pjjoint.malekal.com/files.php?id=FRST_20160704_x10s8n9y9q11

https://pjjoint.malekal.com/files.php?id=20160704_t1215w14q13q12

Par contre je n'ai pas le Shortcut.txt car je ne l'ai pas coché comme indiqué sur la copie d'écran du logiciel en version française.

D'ailleurs le tutoriel a changé de page :)
https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/

Bonsoir,

M'avez vous oublié ? Désolé d'insister mais j'ai un serveur de jeu et je souhaite savoir s'il est possible que ce que j'ai tapé au clavier depuis que j'ai réussis à faire disparaitre le dossier a put aller encore ailleurs, même si ça m'étonnerait vu que ça a l'air d'un logiciel fait par un particulier, on sait jamais ...

Oh mince Paypal, skrill, mon serveur, etc etc .. ah que je suis bête d'avoir fais ça. Pour le moment aucune activité suspecte.

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 02-07-2016
Exécuté par Jeremy (2016-07-04 21:57:52) Run:3
Exécuté depuis C:\Users\Jeremy\Desktop
Profils chargés: Jeremy & (Profils disponibles: Jeremy)
Mode d'amorçage: Normal
==============================================

fixlist contenu:

CreateRestorePoint:
CloseProcesses:
Startup: C:\Users\Jeremy\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\RFfcfiYZFOgePTbV.cmd.lnk [2016-07-04]
ShortcutTarget: RFfcfiYZFOgePTbV.cmd.lnk -> C:\Users\Jeremy\AppData\Roaming\Winlogon.exe (AutoIt Team)
2016-07-04 00:40 - 2016-07-04 00:31 - 00936960 ___SH (AutoIt Team) C:\Users\Jeremy\AppData\Roaming\Winlogon.exe
2016-07-04 00:40 - 2016-07-04 00:31 - 00036759 ___SH C:\Users\Jeremy\AppData\Roaming\iUGfgJiTJDPOFXFUONg
2016-07-04 00:40 - 2016-07-04 00:30 - 00222224 ___SH C:\Users\Jeremy\AppData\Roaming\RFfcfiYZFOge
2016-07-04 00:40 - 2016-07-04 00:31 - 0036759 ___SH () C:\Users\Jeremy\AppData\Roaming\iUGfgJiTJDPOFXFUONg
2015-10-18 16:22 - 2015-10-18 16:22 - 0000600 _____ () C:\Users\Jeremy\AppData\Roaming\PUTTY.RND
2016-07-04 00:40 - 2016-07-04 00:30 - 0222224 ___SH () C:\Users\Jeremy\AppData\Roaming\RFfcfiYZFOge
2016-06-24 10:24 - 2016-07-04 10:45 - 0000165 _____ () C:\Users\Jeremy\AppData\Roaming\sp_data.sys
2016-07-04 00:40 - 2016-07-04 00:31 - 0936960 ___SH (AutoIt Team) C:\Users\Jeremy\AppData\Roaming\Winlogon.exe
2015-09-08 21:23 - 2015-09-08 21:23 - 0000003 _____ () C:\Users\Jeremy\AppData\Local\updater.log
2015-09-08 21:23 - 2015-10-02 01:00 - 0000424 _____ () C:\Users\Jeremy\AppData\Local\UserProducts.xml
2015-07-08 17:53 - 2015-07-08 17:53 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
2016-06-20 01:46 - 2016-06-20 01:46 - 0000016 _____ () C:\ProgramData\mntemp
2016-02-21 17:20 - 2016-02-21 17:20 - 0004136 _____ () C:\ProgramData\oqztiqep.adk
Hosts:
EmptyTemp:
RemoveProxy:

Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
C:\Users\Jeremy\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\RFfcfiYZFOgePTbV.cmd.lnk => déplacé(es) avec succès
C:\Users\Jeremy\AppData\Roaming\Winlogon.exe => déplacé(es) avec succès
"C:\Users\Jeremy\AppData\Roaming\Winlogon.exe" => non trouvé(e).
C:\Users\Jeremy\AppData\Roaming\iUGfgJiTJDPOFXFUONg => déplacé(es) avec succès
C:\Users\Jeremy\AppData\Roaming\RFfcfiYZFOge => déplacé(es) avec succès
"C:\Users\Jeremy\AppData\Roaming\iUGfgJiTJDPOFXFUONg" => non trouvé(e).
C:\Users\Jeremy\AppData\Roaming\PUTTY.RND => déplacé(es) avec succès
"C:\Users\Jeremy\AppData\Roaming\RFfcfiYZFOge" => non trouvé(e).
C:\Users\Jeremy\AppData\Roaming\sp_data.sys => déplacé(es) avec succès
"C:\Users\Jeremy\AppData\Roaming\Winlogon.exe" => non trouvé(e).
C:\Users\Jeremy\AppData\Local\updater.log => déplacé(es) avec succès
C:\Users\Jeremy\AppData\Local\UserProducts.xml => déplacé(es) avec succès
C:\ProgramData\DP45977C.lfl => déplacé(es) avec succès
C:\ProgramData\mntemp => déplacé(es) avec succès
C:\ProgramData\oqztiqep.adk => déplacé(es) avec succès
"C:\Windows\System32\Drivers\etc\hosts" => Impossible de déplacer.
Impossible de restaurer Hosts.

========= RemoveProxy: =========

HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-924534825-2999465490-2818305029-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-924534825-2999465490-2818305029-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-924534825-2999465490-2818305029-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-924534825-2999465490-2818305029-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-924534825-2999465490-2818305029-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-1\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-924534825-2999465490-2818305029-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-1\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-924534825-2999465490-2818305029-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-2\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-924534825-2999465490-2818305029-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-2\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-924534825-2999465490-2818305029-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-3\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-924534825-2999465490-2818305029-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-3\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-924534825-2999465490-2818305029-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-4\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-924534825-2999465490-2818305029-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-4\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

BITS transfer queue => 12582912 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 12061382 B
Java, Flash, Steam htmlcache => 47150 B
Windows/system/drivers => 662298 B
Edge => 0 B
Chrome => 95594286 B
Firefox => 603127328 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 106043 B
systemprofile32 => 64482 B
LocalService => 4811380 B
NetworkService => 0 B
Jeremy => 151718269 B

RecycleBin => 858196568 B
EmptyTemp: => 1.6 GB données temporaires supprimées.

================================


Le système a dû redémarrer.

Fin de Fixlog 22:04:53

Il faut savoir que dans Avira j'avais coché la case pour protéger le fichier host.

Merci de votre aide.

https://pjjoint.malekal.com/files.php?id=20160704_s11n11j6o11c12

https://pjjoint.malekal.com/files.php?id=FRST_20160704_n10y11s8e11f15

Pensez vous que les mots de passes sauvegardés dans thunderbird et firefox que je n'ai donc pas écris au clavier depuis plusieurs mois ont aussi été volés ?
Ils sont très compliqués et je les connais par coeur ...

Je pensais qu'un de mes joueurs a créé un petit jeu, il m'a demandé de le tester et comme j'ai l'habitude de faire pareil avec le logiciel de connexion au jeu lorsque je sors une nouvelle version, je me suis pas posé de question dès le début ...

Bon d'un autre côté ça ne peut pas être une mauvaise idée de modifier des mots de passe utilisés depuis 2-3 ans pour certains.

Bon RIP mon compte Paypal avec 1700 € dessus et lié à mon compte bancaire ...
1h plus tôt et Paypal aurait encore été ouvert par téléphone :-(

Le client du jeu se télécharge ici: http://mixmasteralchemist.fr/downloadclient/MixMasterAlchemist.exe
(Environ 630 Mo).

Avast et bitdefender détectent souvent le MixMaster.exe et le Start_MixMasterAlchemist.exe donc bon je l'ajoute dans les exclusions et je les recontact à chaque fois.