internet & fixe protéger mes données et mon accès internet Voir tous les sujets internet & fixe

[#1]

Bonjour bonjour, 

Alors voila, mes contacts depuis Aout reçoivent des SPAM de ma part, mais c'est pas moi vous vous en doutez bien. 

J'avais donc changé mon mot de passe en un truc bien compliqué. Plus de nouvelles, je pensais que c'était réglé

Depuis 2-3 jours je reçois des notifications de non-réception (les notif Daemon), m'indiquant donc que c'est reparti pour un tour. 

Donc là j'ai annalysé puis nettoyé mon Mac avec CCleaner et Malware bidule. Le fait est que je suis pas sûre que ça va cesser  et ça m'enquiquine. 

Ai-je d'autres étapes à sivre? 

Je tiens à préciser que je sais que les messages sont récents parce que j'ai réussi à avoir l'en-tête du dernier grace à la notif Daemon.

De ce que j'ai compris je ne voyais pas dans mes messages envoyés car les messages auraient été supprimés.

Je me suis dit que je pouvez contacter Orange pour bloquer l'adresse IP qui envoie ça non? (de toutes facons j'ai pas trouvé leur mail) 

Bref, voici l'en-tête si ça peut aider (j'ai caché mon adresse mail) :

Return-Path: <----------mon adresse-------------->

Received: (qmail 24954 invoked by uid 0); 18 Sep 2016 22:48:37 -0000

Received: from unknown (HELO cmgw3) (10.0.90.84)
 by qproxy4.mail.unifiedlayer.com with SMTP; 18 Sep 2016 22:48:37 -0000

Received: from box1313.bluehost.com ([50.87.249.113])
by cmgw3 with 
id lAja1t00J2TYdGa01Ajdc3; Sun, 18 Sep 2016 16:43:37 -0600

X-Authority-Analysis: v=2.1 cv=aaryw3Yt c=1 sm=1 tr=0
a=7w3m2hRX8Ed1/yV+K9jJYQ==:117 a=7w3m2hRX8Ed1/yV+K9jJYQ==:17
a=L9H7d07YOLsA:10 a=9cW_t1CCXrUA:10 a=s5jvgZ67dGcA:10 a=GW1xBdLrtEIA:10
a=DAwyPP_o2Byb1YXLmDAA:9 a=V6SNCeHSAAAA:8 a=3_GCmqYsYSVsnrWWj7AA:9
a=CjuIK1q_8ugA:10 a=-FEs8UIgK8oA:10 a=NWVoK91CQyQA:10 a=yMhMjlubAAAA:8
a=SSmOFEACAAAA:8 a=VO-eL4zdxgU7qvu9deUA:9 a=TewibtS_wVMo9LIw:21
a=gKO2Hq4RSVkA:10 a=hTZeC7Yk6K0A:10 a=dPqPdy22034EVKljCFr3:22
a=BKKCjISod1eDJeS0ORpz:22 a=zjWhRoSqWz9hl55Hdlzg:22

Received: from [197.220.25.137] (port=53805 helo=klsj.org)
by box1313.bluehost.com with esmtpsa (TLSv1.2:ECDHE-RSA-AES256-GCM-SHA384:256)
(Exim 4.86_1)
(envelope-from <-----------mon adresse------------>)
id 1blko8-0004ii-Tj; Sun, 18 Sep 2016 16:43:34 -0600

From: ----------mon nom, le début de mon adresse mail------- <-------------mon adresse--------------->

To: "Crazy Factory" <newsletter@crazy-factory.com>, "Bodyandco.comcontact" 
<bodyandco.com@mail68.us2.rsgsv.net>, "Buffalo Grill" 
<info@affairesenfolie.fr>, mailmagazine@metamorphose.gr.jp, "multimedia en espanol" <donotreply@wordpress.com&
gt;

Subject: Re: omg!

Date: RANDOM_Mon, 19 Sep 2016 01:43:26 +0300

Message-ID: <00007cba5046$f45e681a$148443ea$@orange.fr>

MIME-Version: 1.0

Content-Type: multipart/alternative;
       boundary="----=_NextPart_000_002B_017C5EE0.1D0DC285"

Thread-Index: AdID+UEXwoit9YGIa07anLdplwYqdw==

Content-Language: en-gb

X-AntiAbuse: This header was added to track abuse, please include it with any abuse report

X-AntiAbuse: Primary Hostname - box1313.bluehost.com

X-AntiAbuse: Original Domain - mail68.us2.rsgsv.net

X-AntiAbuse: Originator/Caller UID/GID - [47 12] / [47 12]

X-AntiAbuse: Sender Address Domain - orange.fr

X-BWhitelist: no

X-Source-IP: 197.220.25.137

X-Exim-ID: 1blko8-0004ii-Tj

X-Source: 

X-Source-Args: 

X-Source-Dir: 

X-Source-Sender: (klsj.org) [197.220.25.137]:53805

X-Source-Auth: kgilrain@kylegilrain.com

X-Email-Count: 14758

X-Source-Cap: YmVhcmJhc2g7YmVhcmJhc2g7Ym94MTMxMy5ibHVlaG9zdC5jb20=

Je m'y connais pas des masses mais du coup je supconne le "kgilrain@kylegilrain.com" qui a pour adresse IP: 197.220.25.137

Que puis-je faire avec ces infos pour que cela cesse ? 

Je vais de ce pas re-changer mon mot de passe

Merci de votre aide

[#2]

Bonjour,

Envoyez votre message avec une entete complete (plus complete que celle que vous avez posté) à abuse@orange.fr. (pas la peine de tenter de faire de la réthorique avec eux : ils ne sont pas bavards).

et il est tres probable que la source des spams soit un de vos contacts qui s'est fait moisir son ordinateur et dont la liste des contacts à fuité.

Sinon, à part ça... votre truc ne vas pas etre marrant vu l'IP du relais connu :

$$ whois 197.220.25.137

#
# ARIN WHOIS data and services are subject to the Terms of Use
# available at: https://www.arin.net/whois_tou.html
#
# If you see inaccuracies in the results, please report at
# https://www.arin.net/public/whoisinaccuracy/index.xhtml
#

#
# Query terms are ambiguous. The query is assumed to be:
# "n 197.220.25.137"
#
# Use "?" to get help.
#

#
# The following results may also be obtained via:
# https://whois.arin.net/rest/nets;q=197.220.25.137?showDetails=true&showARIN=false&showNonArinTopLeve...
#

NetRange: 197.0.0.0 - 197.255.255.255
CIDR: 197.0.0.0/8
NetName: NET197
NetHandle: NET-197-0-0-0-1
Parent: ()
NetType: Allocated to AfriNIC
OriginAS:
Organization: African Network Information Center (AFRINIC)
RegDate: 2008-10-27
Updated: 2010-11-09
Ref: https://whois.arin.net/rest/net/NET-197-0-0-0-1

ResourceLink: http://afrinic.net/en/services/whois-query
ResourceLink: whois.afrinic.net

OrgName: African Network Information Center
OrgId: AFRINIC
Address: Level 11ABC
Address: Raffles Tower
Address: Lot 19, Cybercity
City: Ebene
StateProv:
PostalCode:
Country: MU
RegDate: 2004-05-17
Updated: 2015-05-04
Comment: AfriNIC - http://www.afrinic.net
Comment: The African & Indian Ocean Internet Registry
Ref: https://whois.arin.net/rest/org/AFRINIC

ReferralServer: whois://whois.afrinic.net
ResourceLink: http://afrinic.net/en/services/whois-query

OrgAbuseHandle: GENER11-ARIN
OrgAbuseName: Generic POC
OrgAbusePhone: +230 4666616
OrgAbuseEmail: abusepoc@afrinic.net
OrgAbuseRef: https://whois.arin.net/rest/poc/GENER11-ARIN

OrgTechHandle: GENER11-ARIN
OrgTechName: Generic POC
OrgTechPhone: +230 4666616
OrgTechEmail: abusepoc@afrinic.net
OrgTechRef: https://whois.arin.net/rest/poc/GENER11-ARIN

% This is the AfriNIC Whois server.

% Note: this output has been filtered.
%       To receive output for a database update, use the "-B" flag.

% Information related to '197.220.25.0 - 197.220.25.255'

% No abuse contact registered for 197.220.25.0 - 197.220.25.255

inetnum:        197.220.25.0 - 197.220.25.255
netname:        Siavonga-PoP-Customers
descr:          Siavonga-PoP-Customers
country:        ZM
admin-c:        NI1-AFRINIC
admin-c:        BS1-AFRINIC
admin-c:        MM75-AFRINIC
tech-c:         NI1-AFRINIC
tech-c:         BS1-AFRINIC
tech-c:         MM75-AFRINIC
status:         ASSIGNED PA
mnt-by:         Ni1-MNT
source:         AFRINIC # Filtered
parent:         197.220.0.0 - 197.220.31.255

person:         Bill Sangiwa
nic-hdl:        BS1-AFRINIC
address:        PO Box 8803
address:        Dar es Salaam
address:        Tanzania
phone:          +260 97 777-0169
phone:          +260 96 777-0169
phone:          +260 97 777-0169
mnt-by:         BS1-MNT
source:         AFRINIC # Filtered

person:         Mwandu Mwelwa
address:        AfriConnect Zambia Limited
address:        59 Great East Road
address:        Lusaka, Zambia
nic-hdl:        MM75-AFRINIC
phone:          +260 976 110997
mnt-by:         MM75-MNT
source:         AFRINIC # Filtered

person:         NOC iCONNECT
nic-hdl:        Ni1-AFRINIC
address:        iConnect Internet Services
address:        Harvey Tile Complex,  Plot 59, Great East Road
address:        P.O. Box 31276
address:        Lusaka 31276
address:        Zambia
phone:          +2601232005
phone:          +2601221685
fax-no:         +2601226078
mnt-by:         ni1-mnt
source:         AFRINIC # Filtered

Et si monsieur Gilrain ne s'est pas fait aussi emprunter son identité... voilà le pédigré avec un peu de abuse dedans...

$$ whois kylegilrain.com

Whois Server Version 2.0

Domain names in the .com and .net domains can now be registered
with many different competing registrars. Go to http://www.internic.net
for detailed information.

Domain Name: KYLEGILRAIN.COM
Registrar: GODADDY.COM, LLC
Sponsoring Registrar IANA ID: 146
Whois Server: whois.godaddy.com
Referral URL: http://www.godaddy.com
Name Server: NS1.BLUEHOST.COM
Name Server: NS2.BLUEHOST.COM
Status: clientDeleteProhibited https://icann.org/epp#clientDeleteProhibited
Status: clientRenewProhibited https://icann.org/epp#clientRenewProhibited
Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
Status: clientUpdateProhibited https://icann.org/epp#clientUpdateProhibited
Updated Date: 05-jul-2016
Creation Date: 31-mar-2009
Expiration Date: 31-mar-2018

>>> Last update of whois database: Mon, 26 Sep 2016 12:56:49 GMT <<<

For more information on Whois status codes, please visit https://icann.org/epp

NOTICE: The expiration date displayed in this record is the date the
registrar's sponsorship of the domain name registration in the registry is
currently set to expire. This date does not necessarily reflect the expiration
date of the domain name registrant's agreement with the sponsoring
registrar. Users may consult the sponsoring registrar's Whois database to
view the registrar's reported date of expiration for this registration.

TERMS OF USE: You are not authorized to access or query our Whois
database through the use of electronic processes that are high-volume and
automated except as reasonably necessary to register domain names or
modify existing registrations; the Data in VeriSign Global Registry
Services' ("VeriSign") Whois database is provided by VeriSign for
information purposes only, and to assist persons in obtaining information
about or related to a domain name registration record. VeriSign does not
guarantee its accuracy. By submitting a Whois query, you agree to abide
by the following terms of use: You agree that you may use this Data only
for lawful purposes and that under no circumstances will you use this Data
to: (1) allow, enable, or otherwise support the transmission of mass
unsolicited, commercial advertising or solicitations via e-mail, telephone,
or facsimile; or (2) enable high volume, automated, electronic processes
that apply to VeriSign (or its computer systems). The compilation,
repackaging, dissemination or other use of this Data is expressly
prohibited without the prior written consent of VeriSign. You agree not to
use electronic processes that are automated and high-volume to access or
query the Whois database except as reasonably necessary to register
domain names or modify existing registrations. VeriSign reserves the right
to restrict your access to the Whois database in its sole discretion to ensure
operational stability. VeriSign may restrict or terminate your access to the
Whois database for failure to abide by these terms of use. VeriSign
reserves the right to modify these terms at any time.

The Registry database contains ONLY .COM, .NET, .EDU domains and
Registrars.
Domain Name: kylegilrain.com
Registry Domain ID: 1550770205_DOMAIN_COM-VRSN
Registrar WHOIS Server: whois.godaddy.com
Registrar URL: http://www.godaddy.com
Update Date: 2016-07-05T04:24:30Z
Creation Date: 2009-03-31T22:39:37Z
Registrar Registration Expiration Date: 2018-03-31T22:39:37Z
Registrar: GoDaddy.com, LLC
Registrar IANA ID: 146
Registrar Abuse Contact Email: abuse@godaddy.com
Registrar Abuse Contact Phone: +1.4806242505
Domain Status: clientTransferProhibited http://www.icann.org/epp#clientTransferProhibited
Domain Status: clientUpdateProhibited http://www.icann.org/epp#clientUpdateProhibited
Domain Status: clientRenewProhibited http://www.icann.org/epp#clientRenewProhibited
Domain Status: clientDeleteProhibited http://www.icann.org/epp#clientDeleteProhibited
Registry Registrant ID: Not Available From Registry
Registrant Name: KYLE GILRAIN
Registrant Organization: Kyle Gilrain
Registrant Street: 23 JASMINE RUN Apt. 201
Registrant City: ORMOND BEACH
Registrant State/Province: Florida
Registrant Postal Code: 32174
Registrant Country: US
Registrant Phone: +1.7325018820
Registrant Phone Ext:
Registrant Fax:
Registrant Fax Ext:
Registrant Email: kyle@bearbash.com
Registry Admin ID: Not Available From Registry
Admin Name: Gilrain Kyle
Admin Organization: Kyle Gilrain
Admin Street: 23 JASMINE RUN Apt. 201
Admin City: ORMOND BEACH
Admin State/Province: Florida
Admin Postal Code: 32174
Admin Country: US
Admin Phone: +1.7325018820
Admin Phone Ext:
Admin Fax:
Admin Fax Ext:
Admin Email: kyle@bearbash.com
Registry Tech ID: Not Available From Registry
Tech Name: Administrator Domain
Tech Organization: InMotion Hosting, Inc.
Tech Street: 6100 Center Drive Suite 1190
Tech City: Los Angeles
Tech State/Province: California
Tech Postal Code: 90045
Tech Country: US
Tech Phone: +1.7574166575
Tech Phone Ext:
Tech Fax:
Tech Fax Ext:
Tech Email: dns-admin@inmotionhosting.com
Name Server: NS1.BLUEHOST.COM
Name Server: NS2.BLUEHOST.COM
DNSSEC: unsigned
URL of the ICANN WHOIS Data Problem Reporting System: http://wdprs.internic.net/
>>> Last update of WHOIS database: 2016-09-26T12:00:00Z <<<

For more information on Whois status codes, please visit https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en

The data contained in GoDaddy.com, LLC's WhoIs database,
while believed by the company to be reliable, is provided "as is"
with no guarantee or warranties regarding its accuracy. This
information is provided for the sole purpose of assisting you
in obtaining information about domain name registration records.
Any use of this data for any other purpose is expressly forbidden without the prior written
permission of GoDaddy.com, LLC. By submitting an inquiry,
you agree to these terms of usage and limitations of warranty. In particular,
you agree not to use this data to allow, enable, or otherwise make possible,
dissemination or collection of this data, in part or in its entirety, for any
purpose, such as the transmission of unsolicited advertising and
and solicitations of any kind, including spam. You further agree
not to use this data to enable high volume, automated or robotic electronic
processes designed to collect or compile this data for any purpose,
including mining this data for your own personal or commercial purposes.

Please note: the registrant of the domain name is specified
in the "registrant" section. In most cases, GoDaddy.com, LLC
is not the registrant of domain names listed in this database.

Bref ne jamais faire confiance à une entète de mail même partielle (et on comprend par la même pourquoi abuse@ n'a pas le temps de faire du social...)

Bon courage...

Eric.

[#3]

Bonjour

En complément de la réponse d'Eric

Le changement de mot de passe de ton compte a nécessairement limité les dégats.

Ca ne peut pas nécessairement tout arrêter.

Il suffit que ton pirate ait copié ta liste de contacts dans une machine "à lui", je mets des guillemets parce que une machine "à lui" est n'importe quelle machine dont il a pris le controle.

Il suffit ensuite qu'il émette sur un serveur de messagerie peu sourcilleux le message aura comme adresse IP source l'adresse de la machine piratée et dans le message il aur mis dans l'entête ton adresse mail comme adresse source.

Tu peux toujours courir pour attraper ce type de petit malin. Même en lui mettant du sel sur ... :manembarrassed:

Je n'en démords pas la cause principale est de stocker des contacts dans un portail d'opérateur.

La cause fondamentale est ton utilisation du webmail comme accès principal à ta boite mail.

On ne peut pas utiliser efficacement une boite mail, sans disposer d'un gestionnaire de contacts.

C'est bien pour ça qu'il faut réserver l'usage du webmail aux accès "de dépannage" où on peut se passer du dossier "contacts". En général, en déplacement, on lit les messages et la plupart du temps on n'a besoin que du bouton "répondre".

Pour ton utilisation principale, tes contacts doivent rester planqués, le seul endroit inaccessible est derrière une box (la tienne ou celle d'une connaissance). Utilise le logiciel de messagerie de ton Ordi, ou quelque chose de plus sérieux comme Outlook ou Thunderbird, et tu disposeras d'une véritable base de données de contacts.

Tu n'auras qu'un seul dossier de contacts, mais il sera utilisable avec tous tes comptes, google, yahoo, hotmail, EssaisFer, ...

Cordialement

PhilDur

[#4]

Merci pour vous réponses, 

Eric, l'en-tête que j'ai fait parvenir c'est celle que j'ai trouvé dans le mail je ne vois pas comment en avoir une plus complete :/ 

PhilDur, j'utilisais Mail, l'application mac mais du coup j'ai cessé pensant que le pirate avait pu y accéder de là et j'ai commencé à consulter mes mails depuis la plateorme Orange. J'avais tord du coup mais bon :/

En tout cas merci, ça me rassre pas du tout XD

[#5]

Bonjour @Luluue,

En complément de la réponse de @Eric_Le_Grompf, je me permet de rectifier cette affirmation et de la modifier quelque peu :

"et il est tres probable que la source des spams soit un de vos contacts qui s'est fait moisir son ordinateur et dont la liste des contacts à fuité."

devient: "et il est tres probable que la source des spams soit un de vos contacts qui s'est fait moisir son ordinateur n'utilise que le webmail et dont la liste des contacts qui est sur le web, chez son FAI, et à été piratée par introduction dans son compte de messagerie après avoir cassé son mot de passe.fuité. Son ordinateur en sécurité derrière le firewall est intact mais ne contient aucun contact.

Donc, quand tu as décidé d'abandonner Mail, tu as eu tout faux.

[#6]

Donc je vais me re diriger vers Mail 

Ce que je comprends pas c'est que les messages envoyés sont même pas envoyés à mes contacts, juste à des gens avec qui j'ai pu échanger, mais qui en soi ne sont pas dans mes contacts. 

Et puis avant cet incident je n'utilisais que mail 

[#7]

---

@Luluue a écrit :

Donc je vais me re diriger vers Mail 

Ce que je comprends pas c'est que les messages envoyés sont même pas envoyés à mes contacts, juste à des gens avec qui j'ai pu échanger, mais qui en soi ne sont pas dans mes contacts. 

Et puis avant cet incident je n'utilisais que mail 

---

@Luluue,

Si ton compte est défini en IMAP, tes messages sont chez toi, dans Mail, mais également chez Orange, sur Internet. Un pirate qui a cassé ton mot de passe et est entré dans ton compte, et qui explore tous tes mails a très bien pu se faire une collection de personnes à qui tu as écrit, sans pour autant qu'ils soient dans tes contacts. A partir du moment ou il a cassé ton mot de passe, il a accès à tous tes mails reçus et envoyés, comme si c'était toi.