[RESOLU] Mon fichier hosts contient un virus

[oracle7]

Bonjour,
Windows Defender vient subitement de me déclarer une menace : "SettingsModifier:Win32/HostsFileHijack" avec comme élément affecté mon fichier hosts.

En fouillant un peu, je constate que la présence des lignes de blocage de le la télémétrie Microsoft et d'autres sites MIcrosoft, serait à l'origine de cette alerte. En les supprimant, effectivement l'alerte disparait.
Ce que je ne comprends pas c'est que cela survienne d'un coup alors que je n'avais aucuns problèmes avec cela depuis des années.
Du coup mon fichier host à été complètement réinitialisé et je suis bon maintenant pour réinstaller un certain nombre de logiciels tels que Acrobat pour lesquels j'ai perdu leur activation.
Que dois-je faire selon vous ?
Est-il possible de rétablir le fonctionnement initial avec blocage de la télémétrie ?
Merci de vos réponses.
Cordialement
oracle7

Edité par GUW :Pour cette fois j'ai modifié ton titre. Prochaine fois c'est corbeille.

[Joselito]

@oracle7,
Aurais-tu conservé une copie du fichier host initial pour nous le montrer ?

[oracle7]

Bonjour,
@GUW : oups, désolé j'ai été trop vite ...

Ci-dessous le fichier hosts en question :

# Copyright (c) 1993-2009 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host

# localhost name resolution is handled within DNS itself.
127.0.0.1 localhost
::1 localhost

# Important!
0.0.0.0 0.0.0.0 # fix for network status and diagnostic tools
# -------------------------------------------------------------------------
# 02/06/2019 - Ajout adresse de blocage de la télémétrie Microsoft
#
0.0.0.0 a-0001.a-msedge.net
0.0.0.0 a-0002.a-msedge.net
0.0.0.0 a-0003.a-msedge.net
0.0.0.0 a-0004.a-msedge.net
0.0.0.0 a-0005.a-msedge.net
0.0.0.0 a-0006.a-msedge.net
0.0.0.0 a-0007.a-msedge.net
0.0.0.0 a-0008.a-msedge.net
0.0.0.0 a-0009.a-msedge.net
0.0.0.0 a978.i6g1.akamai.net
0.0.0.0 a.ads.msn.com
0.0.0.0 a.ads1.msn.com
0.0.0.0 a.ads2.msn.com
0.0.0.0 a.ads1.msads.net
0.0.0.0 a.ads2.msads.net
0.0.0.0 a.rad.msn.com
0.0.0.0 ac3.msn.com
0.0.0.0 ad.doubleclick.net
0.0.0.0 ads.msn.com
0.0.0.0 ads1.msn.com
0.0.0.0 ads1.msads.net
0.0.0.0 adnexus.net
0.0.0.0 adnxs.com
0.0.0.0 aidps.atdmt.com
0.0.0.0 aka-cdn-ns.adtech.de
0.0.0.0 americas2.notify.windows.com.akadns.net
0.0.0.0 any.edge.bing.com
0.0.0.0 apps.skype.com
0.0.0.0 az361816.vo.msecnd.net
0.0.0.0 az512334.vo.msecnd.net
0.0.0.0 b.ads1.msn.com
0.0.0.0 b.ads2.msads.net
0.0.0.0 b.rad.msn.com
0.0.0.0 bl3302.storage.live.com
0.0.0.0 bl3302geo.storage.dkyprod.akadns.net
0.0.0.0 BN1WNS2011508.wns.windows.com
0.0.0.0 bs.serving-sys.com
0.0.0.0 c.atdmt.com
0.0.0.0 c.msn.com
0.0.0.0 cdn.atdmt.com
0.0.0.0 cds26.ams9.msecn.net
0.0.0.0 choice.microsoft.com
0.0.0.0 choice.microsoft.com.nsatc.net
0.0.0.0 client.wns.windows.com
0.0.0.0 compatexchange.cloudapp.net
0.0.0.0 corp.sts.microsoft.com
0.0.0.0 corpext.msitadfs.glbdns2.microsoft.com
0.0.0.0 cdnjs.cloudflare.com.cdn.cloudflare.net
0.0.0.0 cs1.wpc.v0cdn.net
0.0.0.0 cdp1.public-trust.com
0.0.0.0 corp.sts.microsoft.com
0.0.0.0 db3aqu.atdmt.com
0.0.0.0 df.telemetry.microsoft.com
0.0.0.0 diagnostics.support.microsoft.com
#-------------------------------------
# Ces 2 domaines bloquent la connexion à OneDrive
#0.0.0.0 directory.services.live.com
#0.0.0.0 directory.services.live.com.akadns.net
#-------------------------------------
0.0.0.0 dns.msftncsi.com
0.0.0.0 e2835.dspb.akamaiedge.net
0.0.0.0 e8218.ce.akamaiedge.net
0.0.0.0 e7341.g.akamaiedge.net
0.0.0.0 e7502.ce.akamaiedge.net
0.0.0.0 ec.atdmt.com
0.0.0.0 en-us.appex-rf.msn.com
0.0.0.0 feedback.microsoft-hohm.com
0.0.0.0 feedback.search.microsoft.com
0.0.0.0 feedback.windows.com
0.0.0.0 fe2.update.microsoft.com.akadns.net
0.0.0.0 fe2.ws.microsoft.com.nsatc.net
0.0.0.0 fe3.delivery.dsp.mp.microsoft.com.nsatc.net
0.0.0.0 fe3.delivery.mp.microsoft.com
0.0.0.0 flex.msn.com
0.0.0.0 g.msn.com
0.0.0.0 h1.msn.com
0.0.0.0 hostedocsp.globalsign.com
0.0.0.0 i1.services.social.microsoft.com
0.0.0.0 i1.services.social.microsoft.com.nsatc.net
0.0.0.0 ipv6.msftncsi.com
0.0.0.0 ipv6.msftncsi.com.edgesuite.net
0.0.0.0 li581-132.members.linode.com
0.0.0.0 lb1.www.ms.akadns.net
0.0.0.0 live.rads.msn.com
0.0.0.0 login.live.com.nsatc.net
0.0.0.0 m.adnxs.com
0.0.0.0 m.hotmail.com
0.0.0.0 msedge.net
0.0.0.0 msftncsi.com
0.0.0.0 msnbot-65-55-108-23.search.msn.com
0.0.0.0 msntest.serving-sys.com
0.0.0.0 oca.telemetry.microsoft.com
0.0.0.0 oca.telemetry.microsoft.com.nsatc.net
0.0.0.0 OneSettings-bn2.metron.live.com.nsatc.net
0.0.0.0 pre.footprintpredict.com
0.0.0.0 preview.msn.com
0.0.0.0 pricelist.skype.com
0.0.0.0 rad.live.com
0.0.0.0 rad.msn.com
0.0.0.0 redir.metaservices.microsoft.com
0.0.0.0 register.mesh.com
0.0.0.0 reports.wes.df.telemetry.microsoft.com
0.0.0.0 s.gateway.messenger.live.com
0.0.0.0 schemas.microsoft.akadns.net
0.0.0.0 schemas.microsoft.akadns.net
0.0.0.0 secure.adnxs.com
0.0.0.0 secure.flashtalking.com
0.0.0.0 services.wes.df.telemetry.microsoft.com
0.0.0.0 settings.data.glbdns2.microsoft.com
0.0.0.0 settings-sandbox.data.microsoft.com
0.0.0.0 settings-win.data.microsoft.com
0.0.0.0 skyapi.live.net
0.0.0.0 skyapi.skyprod.akadns.net
0.0.0.0 skydrive.wns.windows.com
0.0.0.0 sls.update.microsoft.com.akadns.net
0.0.0.0 sO.2mdn.net
0.0.0.0 sqm.df.telemetry.microsoft.com
0.0.0.0 sqm.telemetry.microsoft.com
0.0.0.0 sqm.telemetry.microsoft.com.nsatc.net
0.0.0.0 ssw.live.com
0.0.0.0 ssw.live.com.nsatc.net
0.0.0.0 static.2mdn.net
0.0.0.0 statsfe1.ws.microsoft.com
0.0.0.0 statsfe2.ws.microsoft.com
0.0.0.0 statsfe2.update.microsoft.com.akadns.net
0.0.0.0 survey.watson.microsoft.com
0.0.0.0 telecommand.telemetry.microsoft.com
0.0.0.0 telecommand.telemetry.microsoft.com.nsatc.net
0.0.0.0 telemetry.appex.bing.net
0.0.0.0 telemetry.appex.bing.net:443
0.0.0.0 telemetry.urs.microsoft.com
0.0.0.0 telemetry.microsoft.com
0.0.0.0 travel.tile.appex.bing.com
0.0.0.0 ui.skype.com
0.0.0.0 view.atdmt.com
0.0.0.0 v10.vortex-win.data.metron.life.com.nsatc.net
0.0.0.0 v10.vortex-win.data.microsoft.com
0.0.0.0 vortex.data.microsoft.com
0.0.0.0 vortex-bn2.metron.live.com.nsatc.net
0.0.0.0 vortex-cy2.metron.live.com.nsatc.net
0.0.0.0 vortex.data.microsoft.com
0.0.0.0 vortex-win.data.microsoft.com
0.0.0.0 vortex-sandbox.data.microsoft.com
0.0.0.0 watson.live.com
0.0.0.0 watson.microsoft.com
0.0.0.0 watson.ppe.telemetry.microsoft.com
0.0.0.0 watson.telemetry.microsoft.com
0.0.0.0 watson.telemetry.microsoft.com.nsatc.net
0.0.0.0 wes.df.telemetry.microsoft.com
0.0.0.0 wildcard.appex-rf.msn.com.edgesuite.net
0.0.0.0 win10.ipv6.microsoft.com
0.0.0.0 win10.ipv6.microsoft.com.nsatc.net
0.0.0.0 wns.notify.windows.com.akadns.net
0.0.0.0 www.go.microsoft.akadns.net
0.0.0.0 www.msftncsi.com
0.0.0.0 23.218.212.69
0.0.0.0 65.39.117.230
0.0.0.0 65.55.108.23
0.0.0.0 134.170.30.202
0.0.0.0 137.116.81.24
0.0.0.0 204.79.197.200
# -------------------------------------------------------------------------

# -------------------------------------------------------------------------
# 02/06/2019 - Ajout adresses de blocage MàJ logiciels
#
# Adobe Acrobat Pro DC
0.0.0.0 192.150.14.69
0.0.0.0 192.150.18.101
0.0.0.0 192.150.18.108
0.0.0.0 192.150.22.40
0.0.0.0 192.150.8.100
0.0.0.0 192.150.8.118
0.0.0.0 209-34-83-73.ood.opsource.net
0.0.0.0 3dns-1.adobe.com
0.0.0.0 3dns-2.adobe.com
0.0.0.0 3dns-3.adobe.com
0.0.0.0 3dns-4.adobe.com
0.0.0.0 3dns.adobe.com
0.0.0.0 activate-sea.adobe.com
0.0.0.0 activate-sjc0.adobe.com
0.0.0.0 activate.adobe.com
0.0.0.0 activate.wip.adobe.com
0.0.0.0 activate.wip1.adobe.com
0.0.0.0 activate.wip2.adobe.com
0.0.0.0 activate.wip3.adobe.com
0.0.0.0 activate.wip4.adobe.com
0.0.0.0 adobe-dns-1.adobe.com
0.0.0.0 adobe-dns-2.adobe.com
0.0.0.0 adobe-dns-3.adobe.com
0.0.0.0 adobe-dns-4.adobe.com
0.0.0.0 adobe-dns.adobe.com
0.0.0.0 adobe.activate.com
0.0.0.0 adobeereg.com
0.0.0.0 crl.verisign.net
0.0.0.0 ereg.adobe.com
0.0.0.0 ereg.wip.adobe.com
0.0.0.0 ereg.wip1.adobe.com
0.0.0.0 ereg.wip2.adobe.com
0.0.0.0 ereg.wip3.adobe.com
0.0.0.0 ereg.wip4.adobe.com
0.0.0.0 hbrcv.adobe.com
0.0.0.0 hl2rcv.adobe.com
0.0.0.0 hlrcv.stage.adobe.com
0.0.0.0 lmlicenses.wip4.adobe.com
0.0.0.0 lm.licenses.adobe.com
0.0.0.0 na1r.services.adobe.com
0.0.0.0 ood.opsource.net
0.0.0.0 practivate.adobe
0.0.0.0 practivate.adobe.com
0.0.0.0 practivate.adobe.ipp
0.0.0.0 practivate.adobe.ntp
0.0.0.0 tss-geotrust-crl.thawte.com
0.0.0.0 wip.adobe.com
0.0.0.0 wip1.adobe.com
0.0.0.0 wip2.adobe.com
0.0.0.0 wip3.adobe.com
0.0.0.0 wwis-dubc1-vip60.adobe.com
0.0.0.0 www.adobeereg.com
0.0.0.0 www.wip.adobe.com
0.0.0.0 www.wip1.adobe.com
0.0.0.0 www.wip2.adobe.com
0.0.0.0 www.wip3.adobe.com
0.0.0.0 www.wip4.adobe.com
#

[LaDidi21]

@oracle7 :
Tu conserves ce qui a été créé par toi. Le reste : poubelle.
Ensuite, tu sauvegardes ton fichier hosts (ex. : hosts_20200728) et tu lui ajoutes un attribut "Lecture Seule"

[oracle7]

Bonjour LaDidi21
Je ne suis pas sûr de bien comprendre : à part la partie concernant Adobe Acrobat je vire tout ce qu'il concernait la télémétrie MS ? C'est cà ?
Mais alors comment on bloque un tant soit peu cette foutue télémétrie MS ? J'avais justement trouvé en son temps ces adresses ici ...
Cordialement
oracle7

[LaDidi21]

@oracle7 :
En clair, c'est donc toi qui a créé toutes ces entrées dans le fichier hosts ?
Il n'y a donc AUCUN virus dans ton fichier hosts.
Tu t'en fous du message de Defender.

[oracle7]

Bonjour LaDidi21
Ok je n'en tiens pas compte mais j'aimerai bien comprendre, pourquoi Defender envoie cette alerte d'un seul coup. Toi qui maîtrise Windows, as-tu STP une explication à cela ?
Cordialement
oracle7

[Stiouf]

Microsoft qui ne veut pas que l'on bloque certaines adresses et donc le fait savoir via son anti-virus,
La "peur" de certains utilisateurs fera le reste

[oracle7]

OK MERCI pour cette explication

[ThiWeb]

La télémétrie de Microsoft sert à tout le monde.
La bloquer est une connerie.
C'est grâce à la télémétrie justement que Microsoft bloque la 2004 qui déclenche des BSOD sur certaines configurations.

La télémétrie qu'on envoie à Microsoft, c'est pour les faire bosser... dans notre intérêt ! C'est donc à laisser activer autant que possible.

Par ailleurs, bloquer les composants de base de Windows via le fichier HOSTS, forcément, ça ne plaît pas du tout à Microsoft et donc à Defender.

On peut limiter au maximum la télémétrie dans les paramètres de Windows. Mais la désactiver ou l'empêcher totalement via le fichier HOSTS c'est une connerie. Et les problèmes qui surviennent ne sont donc pas du tout étonnants.

Arrête de bricoler ton Windows, et tout se passera bien.
Ok pour Acrobat dans le HOSTS mais c'est tout

ThiWeb