Transmission de mail à mon insu

[invite6c9660ed]

Bonjour,

J’ai reçu aujourd’hui un avis de non-distribution de mail : rien d’anormal, ça arrive régulièrement, sauf que je n’ai jamais transmis de mail à cette adresse qui m’est totalement inconnue. Il n’y a que moi qui ait accès à mon PC.
Je suppose donc que mon PC héberge un virus ou une autre petite bête de ce genre, qui prend la main sur mon PC pour lui faire envoyer des mails, en espérant qu’il n’y a pas de données confidentielles qui partent ainsi (on peut rêver).

Mon PC tourne sous W7, avec AVG antivirus en protection.

Ne pouvant pas mettre le mail en PJ, je vous l'ai copié ci-dessous, ainsi que le fichier "détails.txt" qui y est joint. Je n'ose pas par contre ouvrir le mail objet de la non-distribution qui y est egalement joint, et que je ne peux pas vous transmettre.


Avis de non-distribution :
This is the mail system at host beka.pro-9.com.

I'm sorry to have to inform you that your message could not be delivered to one or more recipients. It's attached below.

For further assistance, please send mail to postmaster.

If you do so, please include this problem report. You can delete your own text from the attached returned message.

The mail system

<acc****@eko****.lv>: host 127.0.0.1[127.0.0.1] said: 554 5.7.0 Reject,
id=19189-05 - spam (in reply to end of DATA command)


Détails.txt :
Reporting-MTA: dns; beka.pro-9.com
X-Postfix-Queue-ID: CC5A926AAD1
X-Postfix-Sender: rfc822; fran****@cami****.fr
Arrival-Date: Thu, 24 Sep 2015 13:05:48 +0300 (EEST)

Final-Recipient: rfc822; acc****@eko****.lv
Original-Recipient: rfc822;acc****@ek****.lv
Action: failed
Status: 5.7.0
Remote-MTA: dns; 127.0.0.1
Diagnostic-Code: smtp; 554 5.7.0 Reject, id=19189-05 - spam

L'adresse mail fran****@cami**** est mon adresse de travail (je bosse en télétravail)

Dans l'attente de votre retour, en vous remerciant une nouvelle fois pour votre aide,

FPich
-----

[invite6c9660ed]

Bonjour,

Désolé de relancer le sujet, mais un autre envoi similaire vient de se produire (voir ci-dessous), avec un autre message de non-distribution. Combien de mails ont pu partir à mon insu si je ne reçois que ceux qui n'ont pas été distribués, et avec quoi dedans ?
Je suis vraiment largué, une aide de votre part serait un très gros +.

Merci d'avance de prendre en compte cette demande d'aide.

Fpich

This message was created automatically by mail delivery software.

A message that you sent could not be delivered to one or more of its recipients. This is a permanent error. The following address(es) failed:

sha****@gmail.com
(ultimately generated from wl****@srh.com.au)
SMTP error from remote mail server after end of data:
host gmail-smtp-in.l.google.com [173.194.72.26]:
552-5.7.0 This message was blocked because its content presents a potential
552-5.7.0 security issue. Please visit
552-5.7.0 https://support.google.com/mail/answer/6590 to review our message
552 5.7.0 content and attachment content guidelines. xt7si4596052pab.187 - gsmtp

------ This is a copy of the message, including all the headers. ------

Return-path: <fran****@cami****.fr>
Received: from [118.102.112.14] (helo=mail2.cam****.fr)
by host.srhcommunications.com with esmtps (TLSv1:AES256-SHA:256)
(Exim 4.69)
(envelope-from <fran****@cami****.fr>)
id 1ZfQ75-0005tO-A2
for wl****@srh.com.au; Fri, 25 Sep 2015 06:20:31 -0400
Received: from [118.102.112.14] (ident=mail) by mail2.camifhabitat.fr with local
(from <fran****@cami****.fr>)
id uBroJHIHc5Y7jcl for wl****@srh.com.au;
Fri, 25 Sep 2015 11:20:24 +0100
Received: from [118.102.112.14] by cami****.fr with HTTP;
Fri, 25 Sep 2015 11:20:24 +0100
From: "fran****@cami****.fr" <fran****@cami****.fr>
To: wl****@srh.com.au
Subject: Cancellation of your transaction
X-Originating-IP: [118.102.112.14]
Date: Fri, 25 Sep 2015 11:18:24 +0100
Reply-To: <fran****@cami****.fr>
Message-ID: <560****@mail2.cami****.fr>
Content-Type: multipart/mixed;
boundary="U8yzYHT6bKQ8l8dkPrhI f9Tke5TqbQFsXaD9k4"
MIME-Version: 1.0
X-Spam-Status: No, score=6.1
X-Spam-Score: 61
X-Spam-Bar: ++++++
X-Ham-Report: Spam detection software, running on the system "host.srhcommunications.co m", has
identified this incoming email as possible spam. The original message
has been attached to this so you can view it (if it isn't spam) or label
similar future email. If you have any questions, see
the administrator of that system for details.
Content preview: Unfortunately your remittance transfer was cancelled. Please
verify your transaction details. Full info attached. [...]
Content analysis details: (6.1 points, 8.0 required)
pts rule name description
---- ---------------------- --------------------------------------------------
0.4 RCVD_IN_XBL RBL: Received via a relay in Spamhaus XBL
[118.102.112.14 listed in zen.spamhaus.org]
2.7 DNS_FROM_AHBL_RHSBL RBL: Envelope sender listed in dnsbl.ahbl.org
1.4 RCVD_IN_BRBL_LASTEXT RBL: RCVD_IN_BRBL_LASTEXT
[118.102.112.14 listed in bb.barracudacentral.org]
0.8 BAYES_50 BODY: Bayes spam probability is 40 to 60%
[score: 0.5026]
0.8 RDNS_NONE Delivered to internal network by a host with no rDNS
X-Spam-Flag: NO

--U8yzYHT6bKQ8l8dkPrhIf9Tke5TqbQ FsXaD9k4
Content-Type: text/plain; charset=utf-8; format=flowed
Content-Transfer-Encoding: 7bit

Unfortunately your remittance transfer was cancelled. Please verify your transaction details. Full info attached.

--U8yzYHT6bKQ8l8dkPrhIf9Tke5TqbQ FsXaD9k4
Content-Type: application/zip; name="Doc_2161076_Cancellation of your transaction .pdf.zip"
Content-Disposition: attachment; filename="Doc_2161076_Cancella tion of your transaction .pdf.zip"
Content-Transfer-Encoding: base64
X-Attachment-Id: CaUFJnu3EHVoTORt8Lv


Je n'ai pas copié la 100aine de lignes de code qui suivent, mais je peux les rajouter à votre demande.

[invite9ce22e65]

bonjour

comme te le dis f6bes, cesse de divulguer ton adresse mail sur le forum


Ensuite, en premier lieu, change le mot de passe de ta messagerie et la question secrète s'il y en a une



***


on va utiliser un outil de diagnostique

/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

choisis ci-dessous la version compatible avec ton système (32 bits ou 64 bits)
et Important, Enregistre FRST sur ton Bureau

• Télécharge FRST 32 bits de Farbar
• Télécharge FRST 64 bits de Farbar

Clique sur ce lien si tu ne sais pas: Comment savoir quelle version 32 bits ou 64 bits est exécutée sur mon système ?


Sous Internet Explorer, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même

• Ferme toutes les applications, y compris ton navigateur
• Double-clique sur FRST.exe et clique sur Oui pour accepter le Disclaimer
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Sur le menu principal, clique sur Analyser et patiente le temps de l'analyse
• A la fin du scan, un rapport FRST.txt s'ouvre.
• A son premier lancement, l'outil va aussi créer un fichier nommé Addition.txt

Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"

*****


tu as donc deux rapports à fournir
--> FRST.txt
--> Addition.txt

[invite6c9660ed]

Bonjour, et merci pour l'aide.

Voir les 2 fichiers joints

Fpich

[A voir en vidéo sur Futura]

[invite9ce22e65]

re

pas d'infection visible dans tes rapports

Vois si avec le changement de mot de passe l'activité cesse

Tu utilises Akamai NetSession Interface ?


Note:

Tu dois faire de la place sur ton système, partition C, risque d'instabilité, voir plantage

[invite6c9660ed]

OK, merci pour l'analyse, je suis un peu rassuré, mais les questions demeurent :
- Comment ces mails ont pu partir (je suis sûr à 100% qu'il n'y a que moi qui touche à mon PC) ?
- Je ne connais pas l'interface Akamai NetSession, je ne l'ai pas installé.

Merci pour ton commentaire sur mon disque C, je vais lui faire de la place.

Fpich

[invite9ce22e65]

re

désinstalle via le panneau de configuration / désinstaller un programme
--> Akamai NetSession Interface (il te prend des ressources)

Comment ces mails ont pu partir

plusieurs possibilités ... une piste

Vois si avec le changement du mot de passe l'activité cesse

[invite6c9660ed]

Bonjour,

Akamai est désinstallé,
Le MdP de mon adresse mail est changé,

Je vais attendre pour voir si d'autres mails partent (on dirait qu'ils sont transmis vers midi ts les jours - à voir).

Merci encore pour le travail effectué. Je vais lire de près l'article du Cnet. J'espère ne pas avoir à revenir vers vous.

Bonne journée, bon WE

Fpich

[invite9ce22e65]

re

J'espère ne pas avoir à revenir vers vous

si bonne nouvelle ... fais le savoir

Au passage, pas question d'un mot de passe du style ... 123456
un mot de passe fort

[invite6c9660ed]

Pas d'autre émission de mail, ça semble bon.
Pas d'inquiétude pour mon MdP, j'ai mis T56gt89W. ça va comme ça ?

Merci bcp pour l'aide apportée.

Fpich

[invite9ce22e65]

re

très bien


Télécharge DelFix (de Xplode) sur ton bureau.

• Ferme toutes tes fenêtres, puis double clique sur DelFix.exe pour le lancer.
  (Utilisateur de Vista/Windows 7/windows 8.1, faites un clic droit -> "Exécuter en tant qu'administrateur")
• laisse l'option "Supprimer les outils de désinfection" cochée
• coche aussi l'option "Purger la restauration système" <-- /!\ important /!\
• Clique sur le bouton "Exécuter"
• Laisse travailler l'outil.

Le rapport est enregistré à la base de ton disque dur, (C:\DelFix.txt généralement)

Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"

[invite6c9660ed]

Voir ci-joint

Bonne journée

Fpich

[invite9ce22e65]

re

ok pour le rapport Delfix