Recherche aide pour lutter contre Cryptowall et BOO/Cidox
Résolu
krishna93370
Messages postés
8
Date d'inscription
Statut
Membre
Dernière intervention
-
Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention -
Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention -
Bonjour,
J'ai beau tenter par moi-même et avoir trouver des réponses à bon nombre de mes questions sur ce forum, j'avoue que là je suis dépassé par l'empleur du problème.
J'ai récupéré un l'ordi de mon neveu complètement infecté mais n'arrive pas à me débarrasser totalement de ces saletés, notamment pour la lecture des logs et leurs interprétation.
Merci d'avance pour l'aide apportée.
J'ai beau tenter par moi-même et avoir trouver des réponses à bon nombre de mes questions sur ce forum, j'avoue que là je suis dépassé par l'empleur du problème.
J'ai récupéré un l'ordi de mon neveu complètement infecté mais n'arrive pas à me débarrasser totalement de ces saletés, notamment pour la lecture des logs et leurs interprétation.
Merci d'avance pour l'aide apportée.
A voir également:
- Recherche aide pour lutter contre Cryptowall et BOO/Cidox
- Recherche automatique des chaînes ne fonctionne pas - Guide
- Rechercher ou entrer l'adresse mm - recherche google - Guide
- Recherche photo - Guide
- Recherche et remplacer word - Guide
- Je recherche une chanson - Guide
10 réponses
Salut,
Passe un coup de TDSSKiller : https://forum.malekal.com/viewtopic.php?t=28637&start=
Fais skip sur les détections.
Clic en haut à droite sur reports.
Vas sur http://pjjoint.malekal.com et copie/colle le contenu du rapport TDSSKiller en bas, fais envoyer.
Donne le lien du rapport pjjoint ici dans un nouveau message.
Passe un coup de TDSSKiller : https://forum.malekal.com/viewtopic.php?t=28637&start=
Fais skip sur les détections.
Clic en haut à droite sur reports.
Vas sur http://pjjoint.malekal.com et copie/colle le contenu du rapport TDSSKiller en bas, fais envoyer.
Donne le lien du rapport pjjoint ici dans un nouveau message.
Ok je fais ça de sute. Merci !
Et voici le lien du rapport TDSSKillet :
https://pjjoint.malekal.com/files.php?id=20150222_e5h7f12i14v11
https://pjjoint.malekal.com/files.php?id=20150222_e5h7f12i14v11
Pardon, je n'ai pas collé le lien du rapport où il fallait il me semble...
Le voici :
https://pjjoint.malekal.com/files.php?id=20150222_e5h7f12i14v11
Le voici :
https://pjjoint.malekal.com/files.php?id=20150222_e5h7f12i14v11
y a pas de cidox :
11:03:53.0064 0x17e8 ================ Scan MBR ==================================
11:03:53.0080 0x17e8 [ A36C5E4F47E84449FF07ED3517B43A31 ] \Device\Harddisk0\DR0
11:03:53.0283 0x17e8 \Device\Harddisk0\DR0 - ok
11:03:53.0283 0x17e8 ================ Scan VBR ==================================
11:03:53.0283 0x17e8 [ F28E26CAE3E6C9E3EBE04EFF43034B25 ] \Device\Harddisk0\DR0\Partition1
11:03:53.0345 0x17e8 \Device\Harddisk0\DR0\Partition1 - ok
11:03:53.0345 0x17e8 ================ Scan generic autorun ======================
Pour voir :
Suis ce tutorial : https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/
Cela va générer deux rapports FRST.
Envoie comme expliqué, ces deux rapports sur le site http://pjjoint.malekal.com et donne les trois liens pjjoint de ces rapports afin qu'ils puissent être consultés.
11:03:53.0064 0x17e8 ================ Scan MBR ==================================
11:03:53.0080 0x17e8 [ A36C5E4F47E84449FF07ED3517B43A31 ] \Device\Harddisk0\DR0
11:03:53.0283 0x17e8 \Device\Harddisk0\DR0 - ok
11:03:53.0283 0x17e8 ================ Scan VBR ==================================
11:03:53.0283 0x17e8 [ F28E26CAE3E6C9E3EBE04EFF43034B25 ] \Device\Harddisk0\DR0\Partition1
11:03:53.0345 0x17e8 \Device\Harddisk0\DR0\Partition1 - ok
11:03:53.0345 0x17e8 ================ Scan generic autorun ======================
Pour voir :
Suis ce tutorial : https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/
Cela va générer deux rapports FRST.
Envoie comme expliqué, ces deux rapports sur le site http://pjjoint.malekal.com et donne les trois liens pjjoint de ces rapports afin qu'ils puissent être consultés.
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question
Pour le Cidox c'est une bonne nouvelle, ça confirme que j'ai réussi à m'en débarrasser.
Pour le reste voici les liens demandés :
https://pjjoint.malekal.com/files.php?id=20150222_g10b149f7x11
https://pjjoint.malekal.com/files.php?id=20150222_y14l8o13n159
https://pjjoint.malekal.com/files.php?id=20150222_u5t10y13e810
Pour le reste voici les liens demandés :
https://pjjoint.malekal.com/files.php?id=20150222_g10b149f7x11
https://pjjoint.malekal.com/files.php?id=20150222_y14l8o13n159
https://pjjoint.malekal.com/files.php?id=20150222_u5t10y13e810
Voici la correction à effectuer avec FRST.
Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/#fix
Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK.
Copie/colle dedans ce qui suit :
Startup: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.HTML ()
Startup: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.PNG ()
Startup: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.TXT ()
InternetURL: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.URL -> hxxp://paytoc4gtpn5czl2.torconnectpaycom/1aboskp
2015-01-03 15:35 - 2015-01-03 15:35 - 0000288 _____ () C:\Users\Tonio\AppData\Roaming\1D0D76D9.reg
2013-05-30 20:56 - 2013-05-30 20:56 - 0172032 __RSH () C:\Users\Tonio\AppData\Roaming\KBDNO1N.dll
2015-01-03 15:35 - 2015-01-03 15:35 - 0009728 _____ () C:\Users\Tonio\AppData\Roaming\mcp.ico
2013-05-30 20:56 - 2013-05-30 20:56 - 0172032 __RSH () C:\Users\Tonio\AppData\Roaming\migisolr.dll
Une fois, le texte coller dans le bloc-note.
Menu Fichier puis Enregistrer sous.
A gauche, place toi sur le bureau.
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.
Relance FRST et clic sur le bouton Fix
Selon comment un redémarrage est nécessaire (pas obligatoire).
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.
Redémarre l'ordinateur
Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/#fix
Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK.
Copie/colle dedans ce qui suit :
Startup: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.HTML ()
Startup: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.PNG ()
Startup: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.TXT ()
InternetURL: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.URL -> hxxp://paytoc4gtpn5czl2.torconnectpaycom/1aboskp
2015-01-03 15:35 - 2015-01-03 15:35 - 0000288 _____ () C:\Users\Tonio\AppData\Roaming\1D0D76D9.reg
2013-05-30 20:56 - 2013-05-30 20:56 - 0172032 __RSH () C:\Users\Tonio\AppData\Roaming\KBDNO1N.dll
2015-01-03 15:35 - 2015-01-03 15:35 - 0009728 _____ () C:\Users\Tonio\AppData\Roaming\mcp.ico
2013-05-30 20:56 - 2013-05-30 20:56 - 0172032 __RSH () C:\Users\Tonio\AppData\Roaming\migisolr.dll
Une fois, le texte coller dans le bloc-note.
Menu Fichier puis Enregistrer sous.
A gauche, place toi sur le bureau.
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.
Relance FRST et clic sur le bouton Fix
Selon comment un redémarrage est nécessaire (pas obligatoire).
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.
Redémarre l'ordinateur
Voici le rapport :
Fix result of Farbar Recovery Tool (FRST written by Farbar) (x64) Version: 21-02-2015
Ran by Tonio at 2015-02-22 11:52:19 Run:2
Running from C:\Users\Tonio\Desktop
Loaded Profiles: Tonio (Available profiles: UpdatusUser & Tonio)
Boot Mode: Normal
==============================================
Content of fixlist:
Startup: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.HTML ()
Startup: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.PNG ()
Startup: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.TXT ()
InternetURL: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.URL -> hxxp://paytoc4gtpn5czl2.torconnectpaycom/1aboskp
2015-01-03 15:35 - 2015-01-03 15:35 - 0000288 _____ () C:\Users\Tonio\AppData\Roaming\1D0D76D9.reg
2013-05-30 20:56 - 2013-05-30 20:56 - 0172032 __RSH () C:\Users\Tonio\AppData\Roaming\KBDNO1N.dll
2015-01-03 15:35 - 2015-01-03 15:35 - 0009728 _____ () C:\Users\Tonio\AppData\Roaming\mcp.ico
2013-05-30 20:56 - 2013-05-30 20:56 - 0172032 __RSH () C:\Users\Tonio\AppData\Roaming\migisolr.dll
C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.HTML => Moved successfully.
C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.PNG => Moved successfully.
C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.TXT => Moved successfully.
C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.URL => Moved successfully.
C:\Users\Tonio\AppData\Roaming\1D0D76D9.reg => Moved successfully.
C:\Users\Tonio\AppData\Roaming\KBDNO1N.dll => Moved successfully.
C:\Users\Tonio\AppData\Roaming\mcp.ico => Moved successfully.
C:\Users\Tonio\AppData\Roaming\migisolr.dll => Moved successfully.
Fix result of Farbar Recovery Tool (FRST written by Farbar) (x64) Version: 21-02-2015
Ran by Tonio at 2015-02-22 11:52:19 Run:2
Running from C:\Users\Tonio\Desktop
Loaded Profiles: Tonio (Available profiles: UpdatusUser & Tonio)
Boot Mode: Normal
==============================================
Content of fixlist:
Startup: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.HTML ()
Startup: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.PNG ()
Startup: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.TXT ()
InternetURL: C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.URL -> hxxp://paytoc4gtpn5czl2.torconnectpaycom/1aboskp
2015-01-03 15:35 - 2015-01-03 15:35 - 0000288 _____ () C:\Users\Tonio\AppData\Roaming\1D0D76D9.reg
2013-05-30 20:56 - 2013-05-30 20:56 - 0172032 __RSH () C:\Users\Tonio\AppData\Roaming\KBDNO1N.dll
2015-01-03 15:35 - 2015-01-03 15:35 - 0009728 _____ () C:\Users\Tonio\AppData\Roaming\mcp.ico
2013-05-30 20:56 - 2013-05-30 20:56 - 0172032 __RSH () C:\Users\Tonio\AppData\Roaming\migisolr.dll
C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.HTML => Moved successfully.
C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.PNG => Moved successfully.
C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.TXT => Moved successfully.
C:\Users\Tonio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_DECRYPT.URL => Moved successfully.
C:\Users\Tonio\AppData\Roaming\1D0D76D9.reg => Moved successfully.
C:\Users\Tonio\AppData\Roaming\KBDNO1N.dll => Moved successfully.
C:\Users\Tonio\AppData\Roaming\mcp.ico => Moved successfully.
C:\Users\Tonio\AppData\Roaming\migisolr.dll => Moved successfully.
End of Fixlog 11:52:19
Ca semble fonctionner correctement.
Merci pour ton aide. J'avais déjà lu une de tes interventions, ce qui explique ma réactivité à chacune de tes consignes. Mais au bout d'un moment j'ai du me résoudre à t'appeler à l'aide ; désolé pour le dérangement et merci beaucoup. Heureusement que vous êtes là !
Dernière chose : pour récupérer les fichiers cryptés, tu confirmes que c'est mort ? Mais comme j'ai une sauvegarde, est ce qu'il n'y pas de danger à remplacer les fichiers atteins par leur copie ?
Merci pour ton aide. J'avais déjà lu une de tes interventions, ce qui explique ma réactivité à chacune de tes consignes. Mais au bout d'un moment j'ai du me résoudre à t'appeler à l'aide ; désolé pour le dérangement et merci beaucoup. Heureusement que vous êtes là !
Dernière chose : pour récupérer les fichiers cryptés, tu confirmes que c'est mort ? Mais comme j'ai une sauvegarde, est ce qu'il n'y pas de danger à remplacer les fichiers atteins par leur copie ?
oui c'est mort.
Tu as été infecté par un Ransomware chiffreurs de fichiers.
Ces derniers vont essentiellement par des pièces jointes malicieux dans des emails ou des Exploits WEB.
Il n'y a pas de solution pour récupérer les documents, bien que tu peux tenter une récupération des documents avec PhotoRec (voir Tutorial récupération documents avec PhotoRec
Par sécurité change tous tes mots de passe.
Tu as été infecté par un Ransomware chiffreurs de fichiers.
Ces derniers vont essentiellement par des pièces jointes malicieux dans des emails ou des Exploits WEB.
Il n'y a pas de solution pour récupérer les documents, bien que tu peux tenter une récupération des documents avec PhotoRec (voir Tutorial récupération documents avec PhotoRec
Par sécurité change tous tes mots de passe.