Encore lui! Virus Agence nationale de la sécurité des systèmes.. Fermé

Question

Bonjour, 
Configuration: Windows XP / Internet Explorer 8.0

J'ai été attaqué par ce "Virus Agence nationale de la sécurité des systèmes d'information". J'ai suivi la conversation : http://forums.cnetfrance.fr/topic/12...d-information/ pour résoudre mon problème. (Désolé, je ne sais pas comment vous donner tous les détails de ce qui s'est passé sans pour autant citer ce site....).

Avant cela mon pc démarrait mais au bout de quelques secondes sur le bureau, l'écran du virus apparaissait en mo demandant de payer une amende....bref. J'ai cherché sur internet, je suis tombé sur votre forum et j'ai suivi les indics de la convesation ci-dessus.

1.J'ai démarré en mode sans échec.

2. J'ai téléchargé via un autre pc ZHPCleaner nettoyage, AdwCleaner Nettoyage, Scan sur une clé USB ZHPCleaner nettoyage, AdwCleaner Nettoyage, Scan Antimalware.

3. J'ai suivi pas à pas la méthode de la conversation ci-dessus pour ZHPCleaner et ADwcleaner puis le pc a demandé à redémarrer comme prévu. 

4. Le pc a redémarré mais il était très lent. Cependant, le virus ne s'affichait plus. J'ai effectué le Scan Antimalware mais il était tard et ça n'avançait pas très vite donc je suis allé dormir pour terminer ça ce matin.

5. Au réveil, le pc avait visiblement redémarré mais il restait bloqué sur "verifying dmi pool data".

6. Là, je bloque...J'ai lu que cela pouvait signifier que mon disque dur est peut être HS  et ça c'est la grosse panique!!!

7. Quelqu'un peut venir à mon secours???

Malekal_morte- · Answer

Salut

C'est tout l'ordinateur ou seulement le navigateur qui était bloqué?

matejess · Answer

Tout l'ordi! (Merci de me porter de l'intérêt! ;-) )

Malekal_morte- · Answer

ok la procédure que tu as suivi est inutile.

Suis ce tutoriel FRST: https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/
(et bien prendre le temps de lire afin d'appliquer correctement - tout y est expliqué).
Télécharge et lance le scan FRST, cela va générer trois rapports FRST :

 FRST.txt
 Shortcut.txt
 Additionnal.txt

Envoie, comme expliqué, ces trois rapports sur le site http://pjjoint.malekal.com et en retour donne les trois liens pjjoint qui mènent à ses rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

matejess · Answer

Bonjour,

Désolé pour le retard mais c'est l'anarchie en ce moment.

Pour faire bref : PC du bureau HS, pc portable aussi et maintenant pc professionnel aussi!!!

PC bureau : Le pc ne démarrait plus même en mode sans échec, même sur une clé usb...  J'ai démonté le disque dur car un ami m'a aidé. On a réussi à y voir plus clair. Après analyse du disque dur, le pc a été attaqué et toutes mes données sont cryptées!!!! Je commande donc un nouveau disque dur pour le remplacer et je garde l'ancien avec les données cryptées en espérant qu'un jour on puisse décrypter tout ça facilement!! Ai-je raison?

PC portable  : Je l'utilisais pour venir sur ce forum afin de dépanner le pc du bureau et d'un seul coup, GROS BUG, je ne me souviens plus des détails mais il ne voulait plus démarrer non plus!!!! C'est à ce moment que j'en ai parlé à cet ami qui m'a aidé. Donc on a extrait le disque dur du pc et on l'a analysé aussi. Je ne me souviens plus trop du résultat mais il a fallu formaté la partition Windows. Par contre, sur celui ci les données ne sont pas cryptées alors que j'avais le même souci que l'autre pour le mettre en route... Trop bizarre!

PC pro : Je l'utilise depuis une bonne semaine pour travailler et consulter mes mails et tout allait bien. Ce matin, j'ai reçu mon nouveau disque dur. Je vais l'installer sur mon pc de bureau pendant ce temps je n'étais pas devant mon pc pro donc il s'est mis en veille. Lorsque j'avais installé mon disque dur sur mon pc de bureau je suis allé sur mon pc pro afin de télécharger le kit de connexion SF* et ainsi remettre internet sur le pc de bureau. J'avais inséré ma clé usb avant d'allumer mon pc pro qui était en veille donc écran noir et lorsqu'il s'est affiché..... DESASTRE!!!!! Message : " All your important files are crypted...." avec un compte à rebours de 99h

Je vais essayer de poster une impression d'écran ici...

Je n'ose plus rien faire!!! Pourquoi est-il apparu sur mon pc pro?!! Est-ce dû à ma clé usb, à ma messagerie mail?

?????????

Je suis désespéré!!! 

Help please!

matejess · Answer

voici la capture d'écran

Malekal_morte- · Answer

Tu as été infecté par un Ransomware chiffreurs de fichiers.

Ces derniers vont essentiellement par des pièces jointes malicieux dans des emails ou des Exploits WEB.

Il n'y a pas vraiment de solution pour récupérer les documents.

Il faudra vérifier qu'aucun malware ne soit actif puis changer tous tes mots de passe. 
- Eventuellement faire un nettoyage Malwarebytes

Si tu veux vérifier l'ordinateur :

Suis ce tutoriel FRST: https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/
Télécharge et lance le scan FRST, cela va générer trois rapports FRST :

 FRST.txt
 Shortcut.txt
 Additionnal.txt

Envoie comme expliqué, ces trois rapports sur le site http://pjjoint.malekal.com et donne les trois liens pjjoint de ces rapports afin qu'ils puissent être consultés.

claude ray · Answer

Je compatis à ton problème car j'ai eu un logiciel parasite qui remplaçait internet explorer. J'ai mis une semaine et demie pour réparer. ca s'est terminé par un recovery
Depuis j'ai solutionné le problème. J'ai fais une image du système sur un disque externe usb (durée 20 mn) et un cd de récupération. L'image système je la refais avant de bidouiller le système. 
De cette façon si je vérole mon pc je démarre sur le cd de récupération et je redescends l'image disque. Et ça m'a déjà sauvé la mise depuis.
 
--

Malekal_morte- · Answer

Pas d'antivirus ... Voici la correction à effectuer avec FRST. Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/#fix Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK. Copie/colle dedans ce qui suit : HKLM-x32\...\Run: [AVrSvc] => C:\Users\Utilisateur\AppData\Local\xmhxvhy.exe [352768 2015-05-11] () HKLM-x32\...\RunOnce: [Fanebori] => C:\Windows\SysWOW64\wscript.exe /E:vbscript /B C:\Users\UTILIS~1\AppData\Local\4FDECF~1\Lulilare.dat HKU\S-1-5-21-290257664-1499878539-864552977-1000\...\Run: [AVrSvc] => C:\Users\Utilisateur\AppData\Local\xmhxvhy.exe [352768 2015-05-11] () 2015-05-11 11:17 - 2015-05-11 11:17 - 00352768 _____ () C:\Users\Utilisateur\AppData\Local\xmhxvhy.exe 2015-05-11 11:17 - 2015-05-11 11:17 - 00000232 _____ () C:\Users\Utilisateur\Documents\RECOVERY_FILE.TXT 2015-05-11 11:03 - 2015-05-11 11:31 - 00000000 ___HD () C:\ProgramData\{9A88E103-A20A-4EA5-8636-C73B709A5BF8} 2015-05-11 18:38 - 2014-11-19 09:38 - 00000310 _____ () C:\Windows\Tasks\WSE_Vosteran.job 2015-05-11 11:44 - 2014-11-19 09:38 - 00000000 ____D () C:\Users\Utilisateur\AppData\Roaming\WSE_Vosteran 2015-05-11 11:33 - 2015-04-09 08:48 - 00000000 ___HD () C:\Users\Utilisateur\AppData\Local\4fdecf330bd0dc04 FF SearchPlugin: C:\Users\Utilisateur\AppData\Roaming\Mozilla\Firefox\Profiles jgmpuei.default\searchplugins\HELP_RESTORE_FILES_ymgth.TXT [2015-05-11] FF SearchPlugin: C:\Users\Utilisateur\AppData\Roaming\Mozilla\Firefox\Profiles jgmpuei.default\searchplugins\Vosteran.xml [2014-11-19] FF Extension: Vox_DL - C:\Users\Utilisateur\AppData\Roaming\Mozilla\Firefox\Profiles jgmpuei.default\Extensions\D_L@aol.com [2014-09-26] FF Extension: Search Manager for Moziila Firefox (TM) - C:\Users\Utilisateur\AppData\Roaming\Mozilla\Firefox\Profiles jgmpuei.default\Extensions\{71e6896a-7bed-49b8-bb69-e641e983b31b}.xpi [2015-01-05] Task: {B52D1E78-903F-4DD9-A6CC-759958A5661E} - System32\Tasks\WSE_Vosteran => C:\Users\Utilisateur\AppData\Roaming\WSE_Vosteran\UpdateProc\UpdateTask.exe [2014-11-19] () <==== ATTENTION Task: C:\Windows\Tasks\WSE_Vosteran.job => C:\Users\UTILIS~1\AppData\Roaming\WSE_VO~1\UPDATE~1\UPDATE~1.EXE <==== ATTENTION Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\HELP_RESTORE_FILES_ymgth.TXT [2015-05-11] () Startup: C:\Users\Utilisateur\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HELP_RESTORE_FILES_ymgth.TXT [2015-05-11] () Une fois, le texte coller dans le bloc-note. Menu Fichier puis Enregistrer sous. A gauche, place toi sur le bureau. Dans le champs en bas, nom du fichier mets : fixlist.txt Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau. Relance FRST et clic sur le bouton Fix Selon comment un redémarrage est nécessaire (pas obligatoire). Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message. Redémarre l'ordinateur puis réinitialise tes navigateurs: ================================== Réinitialise tes navigateurs et ou manuellement reparamètre tes navigateurs WEB (page de démarrage, moteur de recherche etc) mais aussi supprimer/désactiver les extensions inutiles/parasites : Firefox : https://www.malekal.com/reparer-firefox/?t=36057&start= Google Chrome : https://www.malekal.com/reparer-google-chrome/?t=35837&start= Internet Explorer et modules complémentaires / moteurs de recherche : https://forum.malekal.com/viewtopic.php?t=41399&start= ~~ Fais une recherche de fichiers pour supprimer tous les fichiers HELP_RESTORE_FILES Voir : https://www.commentcamarche.net/faq/14715-rechercher-des-fichiers-particuliers-doc-xls-pdf ~~ installe Avast! : https://www.malekal.com/tutoriel-antivirus-avast/ (Surtout active les détections LPIs pour détecter les programmes parasites et publicitaires) Like the angel you are, you laugh creating a lightness in my chest, Your eyes they penetrate me, (Your answer's always 'maybe') That's when I got up and left

matejess · Answer

Le compte à rebours à cesser au redémarrage par contre les fichiers sont toujours cryptés...

matejess · Answer

D'accord, j'abandonne pour les données cryptées...Penses-tu que je puisse les garder dans l'espoir qu'un jour elles seront décryptées? (même dans 5/10ans)

Peux tu me dire ce que ta méthode fait exactement?

Puis-je effacer ce que tu m'as fait installer?

Est-ce que tu peux me dire si le ransomware a disparu ou si il est simplement neutralisé? (Dans ce dernier cas, je suppose que je ne dois rien effacer de ce que tu m'as fait installer.)

En tout cas merci!

matejess · Answer

J'oublie une chose importante. 

Peux tu me dire avec quel logiciel (gratuit et efficace ^^) je peux scanner mes clés USB et disques durs externes pour voir si le Ransomware ou un virus dort sur l'un d'eux?

Malekal_morte- · Answer

Je pense qu'à échéance de 6 mois, c'est mort.
Les chances sont minces.

Encore lui! Virus Agence nationale de la sécurité des systèmes..

12 réponses

> Result of Scheduled Files to move (Boot Mode: Normal) (Date&Time: 2015-05-11 21:21:10)<

End of Fixlog 21:21:10

Discussions similaires