Recherche aide pour lutter contre Cryptowall et BOO/CidoxRésolu/Fermé

Question

Bonjour,

J'ai beau tenter par moi-même et avoir trouver des réponses à bon nombre de mes questions sur ce forum, j'avoue que là je suis dépassé par l'empleur du problème.
J'ai récupéré un l'ordi de mon neveu complètement infecté mais n'arrive pas à me débarrasser totalement de ces saletés, notamment pour la lecture des logs et leurs interprétation.
Merci d'avance pour l'aide apportée.

Malekal_morte- · Answer

Salut,


Passe un coup de TDSSKiller : https://forum.malekal.com/viewtopic.php?t=28637&start= 
Fais skip sur les détections.
Clic en haut à droite sur reports.
Vas sur http://pjjoint.malekal.com et copie/colle le contenu du rapport TDSSKiller en bas, fais envoyer.
Donne le lien du rapport pjjoint ici dans un nouveau message.

krishna93370 · Answer

Ok je fais ça de sute. Merci !

krishna93370 · Answer

Pardon, je n'ai pas collé le lien du rapport où il fallait il me semble...
Le voici :
https://pjjoint.malekal.com/files.php?id=20150222_e5h7f12i14v11

Malekal_morte- · Answer

y a pas de cidox :

11:03:53.0064 0x17e8  ================ Scan MBR ==================================
11:03:53.0080 0x17e8  [ A36C5E4F47E84449FF07ED3517B43A31 ] \Device\Harddisk0\DR0
11:03:53.0283 0x17e8  \Device\Harddisk0\DR0 - ok
11:03:53.0283 0x17e8  ================ Scan VBR ==================================
11:03:53.0283 0x17e8  [ F28E26CAE3E6C9E3EBE04EFF43034B25 ] \Device\Harddisk0\DR0\Partition1
11:03:53.0345 0x17e8  \Device\Harddisk0\DR0\Partition1 - ok
11:03:53.0345 0x17e8  ================ Scan generic autorun ====================== 
 
Pour voir :



Suis ce tutorial : https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/
Cela va générer deux rapports FRST.
Envoie comme expliqué, ces deux rapports sur le site http://pjjoint.malekal.com et donne les trois liens pjjoint de ces rapports afin qu'ils puissent être consultés.

krishna93370 · Answer

Pour le Cidox c'est une bonne nouvelle, ça confirme que j'ai réussi à m'en débarrasser.
Pour le reste voici les liens demandés :

https://pjjoint.malekal.com/files.php?id=20150222_g10b149f7x11

https://pjjoint.malekal.com/files.php?id=20150222_y14l8o13n159

https://pjjoint.malekal.com/files.php?id=20150222_u5t10y13e810

Malekal_morte- · Answer

Voici la correction à effectuer avec FRST.
Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/#fix

Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK.
Copie/colle dedans ce qui suit : 

Startup: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.HTML () 
Startup: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.PNG () 
Startup: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.TXT () 
InternetURL: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.URL -> hxxp://paytoc4gtpn5czl2.torconnectpaycom/1aboskp 
 2015-01-03 15:35 - 2015-01-03 15:35 - 0000288 _____ () C:\Users\Tonio\AppData\Roaming\1D0D76D9.reg 
 2013-05-30 20:56 - 2013-05-30 20:56 - 0172032 __RSH () C:\Users\Tonio\AppData\Roaming\KBDNO1N.dll 
 2015-01-03 15:35 - 2015-01-03 15:35 - 0009728 _____ () C:\Users\Tonio\AppData\Roaming\mcp.ico  
 2013-05-30 20:56 - 2013-05-30 20:56 - 0172032 __RSH () C:\Users\Tonio\AppData\Roaming\migisolr.dll 

 Une fois, le texte coller dans le bloc-note.
Menu Fichier puis Enregistrer sous.
A gauche, place toi sur le bureau.

Dans le champs en bas, nom du fichier mets : fixlist.txt
Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.

Relance FRST et clic sur le bouton Fix
Selon comment un redémarrage est nécessaire (pas obligatoire).
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message. 

Redémarre l'ordinateur

krishna93370 · Answer

Voici le rapport :


Fix result of Farbar Recovery Tool (FRST written by Farbar) (x64) Version: 21-02-2015
Ran by Tonio at 2015-02-22 11:52:19 Run:2
Running from C:\Users\Tonio\Desktop
Loaded Profiles: Tonio (Available profiles: UpdatusUser & Tonio)
Boot Mode: Normal
==============================================

Content of fixlist:


Startup: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.HTML ()
Startup: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.PNG ()
Startup: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.TXT ()
InternetURL: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.URL -> hxxp://paytoc4gtpn5czl2.torconnectpaycom/1aboskp
2015-01-03 15:35 - 2015-01-03 15:35 - 0000288 _____ () C:\Users\Tonio\AppData\Roaming\1D0D76D9.reg
2013-05-30 20:56 - 2013-05-30 20:56 - 0172032 __RSH () C:\Users\Tonio\AppData\Roaming\KBDNO1N.dll
2015-01-03 15:35 - 2015-01-03 15:35 - 0009728 _____ () C:\Users\Tonio\AppData\Roaming\mcp.ico
2013-05-30 20:56 - 2013-05-30 20:56 - 0172032 __RSH () C:\Users\Tonio\AppData\Roaming\migisolr.dll 



C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.HTML => Moved successfully.
C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.PNG => Moved successfully.
C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.TXT => Moved successfully.
C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.URL => Moved successfully.
C:\Users\Tonio\AppData\Roaming\1D0D76D9.reg => Moved successfully.
C:\Users\Tonio\AppData\Roaming\KBDNO1N.dll => Moved successfully.
C:\Users\Tonio\AppData\Roaming\mcp.ico => Moved successfully.
C:\Users\Tonio\AppData\Roaming\migisolr.dll => Moved successfully.
 End of Fixlog 11:52:19

krishna93370 · Answer

Ca semble  fonctionner correctement.
Merci pour ton aide. J'avais déjà lu une de tes interventions, ce qui explique ma réactivité à chacune de tes consignes. Mais au bout d'un moment j'ai du me résoudre à t'appeler à l'aide ; désolé pour le dérangement et merci beaucoup. Heureusement que vous êtes là ! 
Dernière chose : pour récupérer les fichiers cryptés, tu confirmes que c'est mort ? Mais comme j'ai une sauvegarde, est ce qu'il n'y pas de danger à remplacer les fichiers atteins par leur copie ?

Malekal_morte- · Answer

oui c'est mort.

Tu as été infecté par un Ransomware chiffreurs de fichiers.

Ces derniers vont essentiellement par des pièces jointes malicieux dans des emails ou des Exploits WEB.

Il n'y a pas de solution pour récupérer les documents, bien que tu peux tenter une récupération des documents avec PhotoRec (voir Tutorial récupération documents avec PhotoRec

Par sécurité change tous tes mots de passe.

krishna93370 · Answer

Merci encore !
Je passe le sujet en résolu.

Recherche aide pour lutter contre Cryptowall et BOO/Cidox

10 réponses

End of Fixlog 11:52:19

Discussions similaires

Newsletters