Imprimer la page

Forum Security-X => Sécurité Générale => Malwares => Discussion démarrée par: chantal11 le mai 23, 2017, 15:55:32

Titre: GetMaps
Posté par: chantal11 le mai 23, 2017, 15:55:32

Contenu republié avec la permission de Malwarebytes (https://forums.malwarebytes.org/index.php?showforum=39)

GetMaps est un Browser Hijacker (pirate de navigateur) qui modifie les paramètres du navigateur (page d’accueil , page de recherche, ....) afin de forcer la consultation du site ciblé et affiche aussi des publicités.
GetMaps appartient à la famille Spigot (Spigot browser hijackers (https://blog.malwarebytes.com/puppum/2017/02/spigot-browser-hijackers/))

S'installe en tant que programme, soit à l'insu de l'utilisateur ou parce qu'il n'a pas décoché les sponsors proposés lors de l'installation d'un logiciel gratuit légitime, soit depuis le site de l'éditeur

(https://forums.malwarebytes.com/applications/core/interface/imageproxy/imageproxy.php?img=https://static-cdn.malwarebytes.org/pub_images/GetMaps/warning4.png&key=ee708c8911c10978fda9bbe3445d65027217e96db69471bdaa3986346f7fe542)

Affiche ces alertes pendant l'installation

(https://forums.malwarebytes.com/applications/core/interface/imageproxy/imageproxy.php?img=https://static-cdn.malwarebytes.org/pub_images/GetMaps/warning5.png&key=e3cc98d2c8e4d51fb6dd788fab336904085c6587563c4679fba1208882694abd)

(https://forums.malwarebytes.com/applications/core/interface/imageproxy/imageproxy.php?img=https://static-cdn.malwarebytes.org/pub_images/GetMaps/warning6.png&key=714a8624eeafa15fa0c1afb35c5b362e2312485b77207d5cbde6bc68d7c1ef95)

S'installe en tant qu'extension/add-on du navigateur

(https://forums.malwarebytes.com/applications/core/interface/imageproxy/imageproxy.php?img=https://static-cdn.malwarebytes.org/pub_images/GetMaps/warning2.png&key=f9af94665b62a03a25240bc4476e6c2f008ffb99dd089999b4a5e072b8a95e48)

Affiche cette page de démarrage dans le navigateur

(https://forums.malwarebytes.com/applications/core/interface/imageproxy/imageproxy.php?img=https://static-cdn.malwarebytes.org/pub_images/GetMaps/startpage.png&key=ea0c4342b02b2f9db6fb4478d4f3a586e181fb1ea7cb971144080704925cee17)

Paramètre un nouveau moteur de recherche par défaut

(https://forums.malwarebytes.com/applications/core/interface/imageproxy/imageproxy.php?img=https://static-cdn.malwarebytes.org/pub_images/GetMaps/warning1.png&key=83970565c3e58fedcf0e35c272c85d5e4cb70919dc65fd41d1541043f30eb97d)

**********

Détection de GetMaps dans des rapports FRST :

Citer

Get Maps (HKCU\...\{28e56cfb-e30e-4f66-85d8-339885b726b8}) (Version: 2.7.0.2 - Cloud Installer)

HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://search.getmaps.co/?source=-bb8&uid=45ed69a3-6505-4be3-870c-a19578b69198&uc=20170523&ap=appfocus43&i_id=maps__1.30
SearchScopes: HKCU -> DefaultScope {AA05F8FA-558C-4DD4-BA6F-C60D3F7B4308} URL = hxxp://search.getmaps.co/s?source=-bb8&uid=45ed69a3-6505-4be3-870c-a19578b69198&uc=20170523&ap=appfocus43&i_id=maps__1.30&query={searchTerms}
SearchScopes: HKCU -> {AA05F8FA-558C-4DD4-BA6F-C60D3F7B4308} URL = hxxp://search.getmaps.co/s?source=-bb8&uid=45ed69a3-6505-4be3-870c-a19578b69198&uc=20170523&ap=appfocus43&i_id=maps__1.30&query={searchTerms}
FF Homepage: hxxp://search.getmaps.co?uid=e3ebc9c6-6b70-4592-a4b5-cfdd69bf4336&uc=20170523&ap=appfocus43&source=tt-bb8&page=homepage&implementation_id=maps_4.0.0
FF Extension: Maps - C:\Users\{Nom_Utilisateur}\AppData\Roaming\Mozilla\Firefox\Profiles\x82gpani.default-1491393116824\Extensions\@Maps.xpi [2017-05-23]
C:\Users\{Nom_Utilisateur}\AppData\Roaming\{28e56cfb-e30e-4f66-85d8-339885b726b8}

**********

Détecté et traité par Malwarebytes en tant que PUP/LPI (Programme potentiellement Indésirable)
Sous la version Premium, Malwarebytes bloque le domaine getmaps.co et l'IP 23.21.113.196

Citer

PUP.Optional.Maps
PUP.Optional.Spigot
PUP.Optional.Spigot.Generic

Citer

-Scan Details-
Process: 0
(No malicious items detected)

Module: 0
(No malicious items detected)

Registry Key: 2
PUP.Optional.Spigot, HKCU\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\{28e56cfb-e30e-4f66-85d8-339885b726b8}, Delete-on-Reboot, [648], [373878],1.0.2001
PUP.Optional.Spigot.Generic, HKCU\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{AA05F8FA-558C-4DD4-BA6F-C60D3F7B4308}, Delete-on-Reboot, [2022], [368913],1.0.2001

Registry Value: 1
PUP.Optional.Spigot.Generic, HKCU\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{AA05F8FA-558C-4DD4-BA6F-C60D3F7B4308}|URL, Delete-on-Reboot, [2022], [368913],1.0.2001

Registry Data: 0
(No malicious items detected)

Data Stream: 0
(No malicious items detected)

Folder: 3
PUP.Optional.Spigot, C:\USERS\{username}\APPDATA\ROAMING\{28e56cfb-e30e-4f66-85d8-339885b726b8}, Delete-on-Reboot, [648], [373878],1.0.2001
PUP.Optional.Maps, C:\Users\{username}\AppData\Roaming\Mozilla\Firefox\Profiles\x82gpani.default-1491393116824\jetpack\@Maps\simple-storage, Delete-on-Reboot, [2054], [348731],1.0.2001
PUP.Optional.Maps, C:\USERS\{username}\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\X82GPANI.DEFAULT-1491393116824\JETPACK\@MAPS, Delete-on-Reboot, [2054], [348731],1.0.2001

File: 5
PUP.Optional.Spigot, C:\Users\{username}\AppData\Roaming\{28e56cfb-e30e-4f66-85d8-339885b726b8}\Uninstall.exe, Delete-on-Reboot, [648], [373878],1.0.2001
PUP.Optional.Maps, C:\Users\{username}\AppData\Roaming\Mozilla\Firefox\Profiles\x82gpani.default-1491393116824\jetpack\@Maps\simple-storage\store.json, Delete-on-Reboot, [2054], [348731],1.0.2001
PUP.Optional.Spigot.Generic, C:\USERS\{username}\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\X82GPANI.DEFAULT-1491393116824\PREFS.JS, Replaced, [2022], [361537],1.0.2001
PUP.Optional.Spigot, C:\USERS\{username}\DESKTOP\GETMAPS.EXE, Delete-on-Reboot, [648], [372110],1.0.2001
PUP.Optional.Maps, C:\USERS\{username}\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\X82GPANI.DEFAULT-1491393116824\EXTENSIONS\@MAPS.XPI, Delete-on-Reboot, [2054], [348742],1.0.2001

Physical Sector: 0
(No malicious items detected)

Tutoriel d'utilisation Malwarebytes en images (https://forum.security-x.fr/tutoriels-317/tutoriel-malwarebytes-anti-malware-22723/)

Source : Removal instructions for GetMaps de Metallica - Malwarebytes Forums (https://forums.malwarebytes.com/topic/201534-removal-instructions-for-getmaps/)

Toujours infecté ? Une question avant de faire des manipulations ?

Venez poster un nouveau sujet dans ce forum : http://forum.security-x.fr/desinfections/ en prenant soin de suivre la procédure http://forum.security-x.fr/desinfections/procedure-preliminaire/