Discussion :

[Matthieu Vergne]

Compresse ta capture en zip et upload la dans ton post directement. En dessous de la zone de texte (quand tu écrit ton post) tu as un bouton "gérer les pièces jointes" dans le cadre "options supplémentaires".

[Chlochlo]

Dites moi si ca a fonctionné

[n5Rzn1D9dC]

Première chose que je remarque, beaucoup de d'erreurs de transmission.
Seconde chose:
Tu as un serveur http ??

Je le notifie directement ici comme ça on gagnera du temps.
Il y a pleins, pleins d'échanges entre son pc et cette adresse
http://update-ws.livepcsupport.com/

Mais bon, à priori c'est bien des mises à jours, quelque "post" d'environ 30 bytes. Des échanges dns.
Du smb entre son pc et le routeur.

Fait une capture plus longue. Le mieux serait que tu laisses une capture tourner en permanence, et le jour où un profil fb s'efface (ou un des problèmes que tu as), tu enregistres la capture et on regardera.

edit:
Sais-tu chez quel opérateur est cette personne qui t'ennuie ?

[Chlochlo]

je crois qu'il est chez orange mais pas sur... je vais tenter de m'informer

et non j'ai pas de serveur http... j'ai juste ma box et mon routeur

Je peux lui tendre un embuscade pour mon facebook

Au fait moi , j'ai essayer de regarder le rapport... et je comprends rien du tout !!

[n5Rzn1D9dC]

Tu as été sur des sites pendant la capture ?

[Chlochlo]

non du tout, j'étais au lit et je dormais a point fermer ... si je me souviens bien j'ai lancer wireshark vers 23h chez moi et je l'ai arreter vers 8h du mat... J'ai 6 h de moins de différence avec la france

[n5Rzn1D9dC]

Je vois des échanges avec une freebox, par udp sur le port 1070.
Freebox est un opérateur français, pour ça que ça m'étonne, surtout si tu dis n'avoir rien fait.

[Chlochlo]

Il est avec free, je crois bien

quand je localise son ip , son nom Nom d'hôte associé c'Est .fbx.proxad.net

[n5Rzn1D9dC]

Ok ok.

Relance une capture, on va verra la suite.

[Chlochlo]

je relance maintenant ? meme si je suis sur mon jeu en ligne ?

[n5Rzn1D9dC]

Non fait le ce soir.

Edit: Si tu joues en ligne, c'est probable que ça vienne de là, que son pc essaie de se reconnecter au tiens.
C'est quoi comme jeux ?

[Chlochlo]

Dofus, je l'ai mis sur clé usb...

mais quand j'ai fait la capture, je n'avais rien d'ouvert sur mon pc et ma clé usb n'était plus branché sur mon pc!

[Chlochlo]

ce soir, je le piège avec mon facebook , je vais vous mettre la capture ici... et des que je vais au lit, je relance le truc pour la nuit

[n5Rzn1D9dC]

Tu l'as re-téléchargé après avoir formaté ?
Il ne faut vraiment que tu gardes rien d'avant le formatage, même ce qui parait anodin comme un jeux.

[Chlochlo]

Non pas re-télécharger

[n5Rzn1D9dC]

Ok. Bon ba on verra la suite. Là tout de suite, je peux rien dire de plus.
a+ tard.

[Chlochlo]

A plus tard ! Et merci de m'aider

[n5Rzn1D9dC]

Il y a des trucs bizarres quand même..
Que le même port de destination (10259) soit utilisé par une ip du Canada, et que cette ip soit blacklisté par:
- Spamhaus
- CBL_AbuseAt
- PSBL

Quand on recherche la raison pour Spamhaus, ils disent que c'est parce que cette ip est listé par CBL (ahah), et quand on recherche pour CBL, il dise ceci:

IP Address (xxx.xxx.xxx.xxx) is listed in the CBL. It appears to be infected with a spam sending trojan, proxy or some other form of botnet.

It was last detected at 2013-08-29 08:00 GMT (+/- 30 minutes), approximately 1 days, 13 hours ago.

This IP is infected (or NATting for a computer that is infected) with a spam-sending infection. In other words, it's participating in a botnet. If you simply remove the listing without ensuring that the infection is removed (or the NAT secured), it will probably relist again.

En résumé, deux ip se connecte sur son port 10259, mais utilise un port source différent:
- Une freebox port 1070 > UDP
- Un ip du Canada, port 20773 > TCP

Les bytes data udp ne ressemble à rien en code asm, donc peut être crypté.
Les bytes data tcp, bah y'en a pas, juste le header.

[Chlochlo]

J'ai rien compris du tout... a pars que je suis infecté

[n5Rzn1D9dC]

En gros, ça confirme un peu ce qu'on disait depuis le début:
- Tu es infecté par un trojan ou un botnet
- Il est très probable que ce soit le 2ème PC (qui n'a jamais été formaté) qui te ré-infecte après tous tes formatages.

SI tu peux faire une capture sur les deux pc, ce serait bien.
Je te donnerais un avis final dessus, et ensuite il faudra que tu fasses un choix:
- Installer Linux
- Formater les deux pc et réinstaller proprement
- Brûler tes pc.

Si tu as fait une capture du pc hier soir, je veux bien la voir.