Virus - Locky Ransomware RSA-2048 AES 128 [Résolu]

Réponse 1 / 25

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Pour information, ce ransomware est nouveau du 16 Février où une campagne de mail malicieux "invoice" avec des pièces jointes Word a débuté.
Aussi, tu peux avoir des pièces jointes zip avec du JavaScript.

Tu trouveras des informations, pour la prévention, sur cette fiche : Fiche du Ransomware Locky (virus Crypter).

et :

Pour toutes les explications et conseils sur le ransomware Locky :
- tenter de récupérer ses données avec Shadow Explorer
- comment le ransomware a pu infecté Windows
- ce qu'il faut faire pour s'en protéger (protection contre les scripts malicieux etc).

lire :
https://forums.commentcamarche.net/forum/affich-33948815-attaque-virus-ransomware-jaff-chiffrement-rsa#9

et les dossiers généraux sur les ransomwares :
Les ransomwares/rançongiciels et Les crypto-ransomwares.

Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Pour limiter la casse de ces mails malicieux, Il est fortement conseillé de désactiver Windows Scripting Host - voir Comment se protéger des scripts malicieux sur Windows.

JPB

Bonjour,
Je suis également touché par cette saleté...
J'ai fait les scans selon vos recommandations, vous trouverez ci dessous les liens.
http://pjjoint.malekal.com/files.php?id=20160310_w5g14n15v9x5
http://pjjoint.malekal.com/files.php?id=FRST_20160310_t9e6w14f13n8
http://pjjoint.malekal.com/files.php?id=20160310_d15u6z7c10b5
Merci d'avance de votre aide...

Réponse 2 / 25

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Salut

pour désinfecter :

Suis le tutoriel FRST https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/
(et bien prendre le temps de lire afin d'appliquer correctement - tout y est expliqué).
Télécharge et lance le scan FRST, cela va générer trois rapports FRST :

FRST.txt
Shortcut.txt
Additionnal.txt

Envoie, comme expliqué, ces trois rapports sur le site http://pjjoint.malekal.com et en retour donne les trois liens pjjoint qui mènent à ses rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

emilie

http://pjjoint.malekal.com/files.php?id=FRST_20160226_x5c15d11j5v9
http://pjjoint.malekal.com/files.php?id=20160226_o12t10q12h15t5
http://pjjoint.malekal.com/files.php?id=20160226_f11z11t7z14n13

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685 > emilie

Salut emilie, le ransomware Locky n'est plus actif.

Utilisateur anonyme

J'ai le même problème.

https://pjjoint.malekal.com/files.php?id=FRST_20160402_o9t11p13r10i10
https://pjjoint.malekal.com/files.php?id=20160402_z8n9o13m10i7

Possible de m'aider? Merci

Réponse 3 / 25

Dyjal Messages postés 5 Date d'inscription Statut Membre Dernière intervention

Voila ce que ça donne :

https://pjjoint.malekal.com/files.php?id=FRST_20160302_u12d15q5n14h5
https://pjjoint.malekal.com/files.php?id=20160302_x13f5w15g12y9
https://pjjoint.malekal.com/files.php?id=20160302_s13n13x11i13n11

Merci de m'aider

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Salut,

Ce n'est pas le Ransomware Locky que tu as mais TeslaCrypt et il est encore actif.
Il semblerait qu'il n'y ait pas d'antivirus sur le serveur..... ça n'aide pas.

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :


HKU\S-1-5-21-261581389-3565451755-3158616889-1483\...\Run: [orxgehjltpcm] => C:\WINDOWS\system32\cmd.exe /c start "" "\\aadc1\Profils_itinerants\j_dossou-yovo\Documents\eqfrdpaobaff.exe"
HKU\S-1-5-21-261581389-3565451755-3158616889-1483\...\Run: [ngygephugsif] => C:\WINDOWS\system32\cmd.exe /c start "" "C:\WINDOWS\wdbbleflxocu.exe"
HKU\S-1-5-21-261581389-3565451755-3158616889-1483\...\Run: [yedvfpeshdds] => C:\WINDOWS\system32\cmd.exe /c start "" "C:\WINDOWS\wdbbleflxocu.exe"
HKU\S-1-5-21-261581389-3565451755-3158616889-1483\...\Run: [prphobeswytd] => C:\WINDOWS\system32\cmd.exe /c start "" "C:\WINDOWS\ndehkuygrhid.exe"
HKU\S-1-5-21-261581389-3565451755-3158616889-1483\...\Run: [fdxypbyqyclf] => C:\WINDOWS\system32\cmd.exe /c start "" "C:\WINDOWS\wdbbleflxocu.exe"
HKU\S-1-5-21-261581389-3565451755-3158616889-1483\...\Run: [kxvfvbvaqskn] => C:\WINDOWS\system32\cmd.exe /c start "" "C:\WINDOWS\wdbbleflxocu.exe"
HKU\S-1-5-21-261581389-3565451755-3158616889-1483\...\Run: [bsgidjqeyloo] => C:\WINDOWS\system32\cmd.exe /c start "" "C:\WINDOWS\ndehkuygrhid.exe"
HKU\S-1-5-21-261581389-3565451755-3158616889-1483\...\Run: [vtxtjorsndvf] => C:\WINDOWS\system32\cmd.exe /c start "" "C:\WINDOWS\fvbvaqsknnbs.exe"
HKU\S-1-5-21-261581389-3565451755-3158616889-1483\...\Run: [owfiusuyihhl] => C:\WINDOWS\system32\cmd.exe /c start "" "C:\WINDOWS\wdbbleflxocu.exe"
HKU\S-1-5-21-261581389-3565451755-3158616889-1483\...\Run: [fuuihxuhcuho] => C:\WINDOWS\system32\cmd.exe /c start "" "C:\WINDOWS\wdbbleflxocu.exe"
HKU\S-1-5-21-261581389-3565451755-3158616889-1483\...\Run: [siveascsifys] => C:\WINDOWS\system32\cmd.exe /c start "" "C:\WINDOWS\wdbbleflxocu.exe"
HKU\S-1-5-21-261581389-3565451755-3158616889-1483\...\Run: [nwiesrtyamrj] => C:\WINDOWS\system32\cmd.exe /c start "" "C:\WINDOWS\ndehkuygrhid.exe"
HKU\S-1-5-21-261581389-3565451755-3158616889-1483\...\Run: [htroyudrlffr] => C:\WINDOWS\system32\cmd.exe /c start "" "C:\WINDOWS\wdbbleflxocu.exe"
HKU\S-1-5-21-261581389-3565451755-3158616889-1483\...\Run: [yudrlffrbmsv] => C:\WINDOWS\system32\cmd.exe /c start "" "C:\WINDOWS\ndehkuygrhid.exe"
HKU\S-1-5-21-261581389-3565451755-3158616889-1483\...\Run: [vhdgmpjoehxt] => C:\WINDOWS\system32\cmd.exe /c start "" "C:\WINDOWS\fvbvaqsknnbs.exe"
HKU\S-1-5-21-261581389-3565451755-3158616889-1483\...\Run: [vyciglfyhksq] => C:\WINDOWS\system32\cmd.exe /c start "" "C:\WINDOWS\qbbrtjlribhw.exe"
Startup: C:\Documents and Settings\Administrateur\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.html [2016-03-02] ()
Startup: C:\Documents and Settings\Administrateur\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.png [2016-03-02] ()
Startup: C:\Documents and Settings\Administrateur\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.txt [2016-03-02] ()
Startup: C:\Documents and Settings\Administrateur\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.html [2016-03-02] ()
Startup: C:\Documents and Settings\Administrateur\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.png [2016-03-02] ()
Startup: C:\Documents and Settings\Administrateur\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.txt [2016-03-02] ()
Startup: C:\Documents and Settings\administrateur.AFRICAINE-ASSUR\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.html [2016-03-02] ()
Startup: C:\Documents and Settings\administrateur.AFRICAINE-ASSUR\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.png [2016-03-02] ()
Startup: C:\Documents and Settings\administrateur.AFRICAINE-ASSUR\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.txt [2016-03-02] ()
Startup: C:\Documents and Settings\administrateur.AFRICAINE-ASSUR\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.html [2016-03-02] ()
Startup: C:\Documents and Settings\administrateur.AFRICAINE-ASSUR\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.png [2016-03-02] ()
Startup: C:\Documents and Settings\administrateur.AFRICAINE-ASSUR\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.txt [2016-03-02] ()
Startup: C:\Documents and Settings\Administrateur.AFRICAINE-ASSUR.000\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.html [2016-03-02] ()
Startup: C:\Documents and Settings\Administrateur.AFRICAINE-ASSUR.000\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.png [2016-03-02] ()
Startup: C:\Documents and Settings\Administrateur.AFRICAINE-ASSUR.000\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.txt [2016-03-02] ()
Startup: C:\Documents and Settings\Administrateur.AFRICAINE-ASSUR.000\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.html [2016-03-02] ()
Startup: C:\Documents and Settings\Administrateur.AFRICAINE-ASSUR.000\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.png [2016-03-02] ()
Startup: C:\Documents and Settings\Administrateur.AFRICAINE-ASSUR.000\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.txt [2016-03-02] ()
Startup: C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Assistant d'Acrobat.lnk [2012-11-22]
ShortcutTarget: Assistant d'Acrobat.lnk -> C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe (Adobe Systems Inc.)
Startup: C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.html [2016-03-02] ()
Startup: C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.png [2016-03-02] ()
Startup: C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.txt [2016-03-02] ()
Startup: C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.html [2016-03-02] ()
Startup: C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.png [2016-03-02] ()
Startup: C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.txt [2016-03-02] ()
Startup: C:\Documents and Settings\c_azonsi\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.html [2016-03-02] ()
Startup: C:\Documents and Settings\c_azonsi\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.png [2016-03-02] ()
Startup: C:\Documents and Settings\c_azonsi\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.txt [2016-03-02] ()
Startup: C:\Documents and Settings\c_azonsi\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.html [2016-03-02] ()
Startup: C:\Documents and Settings\c_azonsi\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.png [2016-03-02] ()
Startup: C:\Documents and Settings\c_azonsi\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.txt [2016-03-02] ()
Startup: C:\Documents and Settings\Default User\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.html [2016-03-02] ()
Startup: C:\Documents and Settings\Default User\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.png [2016-03-02] ()
Startup: C:\Documents and Settings\Default User\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.txt [2016-03-02] ()
Startup: C:\Documents and Settings\Default User\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+lbhtu.html [2016-03-01] ()
Startup: C:\Documents and Settings\Default User\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+lbhtu.png [2016-03-01] ()
Startup: C:\Documents and Settings\Default User\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+lbhtu.txt [2016-03-01] ()
Startup: C:\Documents and Settings\Default User\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.html [2016-03-02] ()
Startup: C:\Documents and Settings\Default User\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.png [2016-03-02] ()
Startup: C:\Documents and Settings\Default User\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.txt [2016-03-02] ()
Startup: C:\Documents and Settings\Default User\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+ormkc.html [2016-03-01] ()
Startup: C:\Documents and Settings\Default User\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+ormkc.png [2016-03-01] ()
Startup: C:\Documents and Settings\Default User\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+ormkc.txt [2016-03-01] ()
Startup: C:\Documents and Settings\f_koukpo\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.html [2016-03-02] ()
Startup: C:\Documents and Settings\f_koukpo\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.png [2016-03-02] ()
Startup: C:\Documents and Settings\f_koukpo\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.txt [2016-03-02] ()
Startup: C:\Documents and Settings\f_koukpo\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.html [2016-03-02] ()
Startup: C:\Documents and Settings\f_koukpo\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.png [2016-03-02] ()
Startup: C:\Documents and Settings\f_koukpo\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.txt [2016-03-02] ()
Startup: C:\Documents and Settings\g_djegbeton\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.html [2016-03-02] ()
Startup: C:\Documents and Settings\g_djegbeton\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.png [2016-03-02] ()
Startup: C:\Documents and Settings\g_djegbeton\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.txt [2016-03-02] ()
Startup: C:\Documents and Settings\g_djegbeton\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.html [2016-03-02] ()
Startup: C:\Documents and Settings\g_djegbeton\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.png [2016-03-02] ()
Startup: C:\Documents and Settings\g_djegbeton\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.txt [2016-03-02] ()
Startup: C:\Documents and Settings\j_dossou-yovo\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.html [2016-03-02] ()
Startup: C:\Documents and Settings\j_dossou-yovo\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.png [2016-03-02] ()
Startup: C:\Documents and Settings\j_dossou-yovo\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.txt [2016-03-02] ()
Startup: C:\Documents and Settings\j_dossou-yovo\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.html [2016-03-02] ()
Startup: C:\Documents and Settings\j_dossou-yovo\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.png [2016-03-02] ()
Startup: C:\Documents and Settings\j_dossou-yovo\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.txt [2016-03-02] ()
Startup: C:\Documents and Settings\n_fanou\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.html [2016-03-02] ()
Startup: C:\Documents and Settings\n_fanou\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.png [2016-03-02] ()
Startup: C:\Documents and Settings\n_fanou\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.txt [2016-03-02] ()
Startup: C:\Documents and Settings\n_fanou\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.html [2016-03-02] ()
Startup: C:\Documents and Settings\n_fanou\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.png [2016-03-02] ()
Startup: C:\Documents and Settings\n_fanou\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.txt [2016-03-02] ()
Startup: C:\Documents and Settings\s_informatique2\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.html [2016-03-02] ()
Startup: C:\Documents and Settings\s_informatique2\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.png [2016-03-02] ()
Startup: C:\Documents and Settings\s_informatique2\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.txt [2016-03-02] ()
Startup: C:\Documents and Settings\s_informatique2\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.html [2016-03-02] ()
Startup: C:\Documents and Settings\s_informatique2\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.png [2016-03-02] ()
Startup: C:\Documents and Settings\s_informatique2\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.txt [2016-03-02] ()
Startup: C:\Documents and Settings\s_nachirou\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.html [2016-03-02] ()
Startup: C:\Documents and Settings\s_nachirou\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.png [2016-03-02] ()
Startup: C:\Documents and Settings\s_nachirou\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.txt [2016-03-02] ()
Startup: C:\Documents and Settings\s_nachirou\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.html [2016-03-02] ()
Startup: C:\Documents and Settings\s_nachirou\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.png [2016-03-02] ()
Startup: C:\Documents and Settings\s_nachirou\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.txt [2016-03-02] ()
Startup: C:\Documents and Settings\t_compta\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.html [2016-03-02] ()
Startup: C:\Documents and Settings\t_compta\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.png [2016-03-02] ()
Startup: C:\Documents and Settings\t_compta\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.txt [2016-03-02] ()
Startup: C:\Documents and Settings\t_compta\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.html [2016-03-02] ()
Startup: C:\Documents and Settings\t_compta\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.png [2016-03-02] ()
Startup: C:\Documents and Settings\t_compta\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.txt [2016-03-02] ()
Startup: C:\Documents and Settings\User\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.html [2016-03-02] ()
Startup: C:\Documents and Settings\User\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.png [2016-03-02] ()
Startup: C:\Documents and Settings\User\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+caxhq.txt [2016-03-02] ()
Startup: C:\Documents and Settings\User\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.html [2016-03-02] ()
Startup: C:\Documents and Settings\User\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.png [2016-03-02] ()
Startup: C:\Documents and Settings\User\Menu Démarrer\Programmes\Démarrage\_RECoVERY_+oihkp.txt [2016-03-02] ()

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

Dyjal Messages postés 5 Date d'inscription Statut Membre Dernière intervention > Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention

Je crois avoir mal fait quelque chose. Je recommence le scan et vous le renvoie.
Toutes mes excuses.
Merci

Dyjal Messages postés 5 Date d'inscription Statut Membre Dernière intervention

Voila les résultats du nouveau scan

https://pjjoint.malekal.com/files.php?id=20160302_z9r9j8o14e11

https://pjjoint.malekal.com/files.php?id=FRST_20160302_m14n14l6v14p8

https://pjjoint.malekal.com/files.php?id=20160302_j15q14o10e11q12

Toutes mes excuses pour le dérangement. Merci d'avance

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685 > Dyjal Messages postés 5 Date d'inscription Statut Membre Dernière intervention

Faire la correction.

Dyjal Messages postés 5 Date d'inscription Statut Membre Dernière intervention > Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention

Ok... Ca donne ceci: https://pjjoint.malekal.com/files.php?id=20160302_s7e10n7v7s12

Réponse 4 / 25

Utilisateur anonyme

Bonjour,

merci pour ta reponse -)

voila les 3 liens suite au scan FRST

https://pjjoint.malekal.com/files.php?id=20160219_b13h1312s13o7
https://pjjoint.malekal.com/files.php?id=FRST_20160219_r5e10r6w15c6
https://pjjoint.malekal.com/files.php?id=20160219_u8n9j10e14j12

a bientot

Christophe

Réponse 5 / 25

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Il n'est plus actif.
Je pense que tu peux supprimer ce fichier C:\Users\Think\AppData\Roaming\RDUYC.DLL

Tu peux aussi désinstaller SpyHunter et StopZilla qui ne vont te servir à rien.
Tu es tombé sur des "soit disant" sites de désinfections qui ne sont là que pour faire la promotion de ces programmes de désinfection et te les faire acheter.

Réponse 6 / 25

Utilisateur anonyme

merci !

par contre, est-ce qu;il y a / aurait un moyen pour recuperer mes fichiers qui sont maintenant tous encryptes et donc inutilisables?

Christophe

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Pour le moment non.

Réponse 7 / 25

Utilisateur anonyme

mauvaise nouvelle...mais merci tout de meme

donc je suppose le seul moyen est donc d'attendre qu;il y ait une solution eventuelle ou de payer?

SeigneurGhost

Si vous êtes sur Windows 7 Pro (parfois je l'ai fait aujourd'hui sur un ordi au boulot) il y a un moyen en cliquant sur le dossier touché à savoir le dossier C:/Users/UTILISATEUR

Clique droit => Restaurer la version précédente => Copier (sur un hdd externe)

EDIT : Ca demande pas mal de test mais en restaurant soit un point de sauvegarde, soit si le programme n'a pas fini d’exécuter ses macros et que vous n'avez pas le wallpaper qui a été modifié

Sinon de base cette merde vide les Shadow et les sauvegardes pour ne pas pouvoir débloquer la machine

Réponse 8 / 25

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

voila.

Renforce la sécurité de ton Windows : Comment sécuriser mon Windows

lskbaby Messages postés 16 Date d'inscription Statut Membre Dernière intervention

Hello Malekal,

Petite question ( bete peut etre mais je la pose quand meme)
Si on fait une restauration à un point antérieur, y a pas moyen de récupérer ses fichiers?
Pour les fichiers infectés, la seule solution serait d'attendre qu'un anti hacker arrive à trouver la clé de décryptage des fichiers locky?

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685 > lskbaby Messages postés 16 Date d'inscription Statut Membre Dernière intervention

La restauration du système ne touche pas les données.
Pour la clef, tu peux oublier. C'est pas aussi simple que cela.

lskbaby Messages postés 16 Date d'inscription Statut Membre Dernière intervention

Ok
bon je me suis fait avoir
je vais essayer de l'ejecter
et je poste mes liens FRST

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685 > lskbaby Messages postés 16 Date d'inscription Statut Membre Dernière intervention

ok normalement il ne reste pas actif.
Si tu as besoin d'aide, donne les rapports via pjjoint =)

Réponse 9 / 25

Utilisateur anonyme

Salut Malekal
Ok voila les liens:

https://pjjoint.malekal.com/files.php?id=FRST_20160301_i15v714x14h6
https://pjjoint.malekal.com/files.php?id=20160301_u13c7h6s7w9
https://pjjoint.malekal.com/files.php?id=20160301_p10l12m10n8u6

Merci

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Pas infecté.
Désinstalle Reimage Repair, arnaque.
Désinstalle aussi Spyhunter, pas utile.

Utilisateur anonyme

Merci Malekal
Dit moi je doit supprimer tous les fichier loky? y'a t il un moyen pur les récupérer?

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685 > Utilisateur anonyme

Tu peux les garder quelques mois, si jamais une solution est donnée.
Sinon pour la récup non pas de solution.

Réponse 10 / 25

lskbaby Messages postés 16 Date d'inscription Statut Membre Dernière intervention

Re Malekal,

Ci joint mes liens
J'ai utilisé Malware ensuite j'ai fait un Scan Eset

https://pjjoint.malekal.com/files.php?id=FRST_20160301_t5n9j9o9z12
https://pjjoint.malekal.com/files.php?id=20160301_h10y7e910y5
https://pjjoint.malekal.com/files.php?id=20160301_15f5s12k7y15

Merci de l'aide

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Pas infecté =)

Réponse 11 / 25

silversloche Messages postés 39 Date d'inscription Statut Membre Dernière intervention 2

je my connais dans ce genre d'encryption, elle a été créee pour quelle soit INDÉCHIFFRABLE, donc oui si tu payes tu vas ravoir tes dossiers. Ils ne veulent pas tes dossiers, juste de l argent !

--

Réponse 12 / 25

leujette Messages postés 1 Date d'inscription Statut Membre Dernière intervention

Bonsoir,
Voici mes liens, peux-tu les examiner ?
https://pjjoint.malekal.com/files.php?id=FRST_20160301_w15v7p13y5z7
https://pjjoint.malekal.com/files.php?id=20160301_g7n11p10y11g10
https://pjjoint.malekal.com/files.php?id=20160301_x5b7u12m138
J'avais un DD externe connecté mais apparemment les fichiers du DD n'ont pas été cryptés, peut-être parce que j'ai coupé tout de suite la connexion internet ? Comment vérifier que le virus ne se trouve pas dans le DD ?
Merci beaucoup,
Danielle

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Pas de ransomware actif.

Aranud87 Messages postés 18033 Date d'inscription Statut Contributeur Dernière intervention 3 297

AV: avast! Antivirus (Disabled - Out of date)

Pas d'antivirus ?

Réponse 13 / 25

MES

Bonjour,

Voici mes 3 liens d'avance merci pour votre retour et votre travail.
http://pjjoint.malekal.com/files.php?id=20160302_o6l10y12u6j7
http://pjjoint.malekal.com/files.php?id=FRST_20160302_l15v6y9r7w13
http://pjjoint.malekal.com/files.php?id=20160302_j9m13d9z15q10

Merci par avance de votre retour,

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

ça semble correct.
essaye de récupérer les fichiers avec les versions précédentes si tu n'as pas de sauvegarde.

MES

Merci de ton aide,
Je vais faire des restaurations de mes sauvegardes.

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685 > MES

Bon courage =)

Réponse 14 / 25

metalbands Messages postés 1 Date d'inscription Statut Membre Dernière intervention

bonjour, voici les 3 liens qui m'ont été fournis, merci d'avance :)

https://pjjoint.malekal.com/files.php?id=20160307_t10q5w10v7m12
https://pjjoint.malekal.com/files.php?id=FRST_20160307_i5g15k10y9i10
https://pjjoint.malekal.com/files.php?id=20160307_y5q13d15s5f11

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Salut,

Rapports corrects.

Locky Ransomware n'est pas résident, donc une fois qu'il a fait le boulot, pas de désinfection nécessaire.
Faut remettre les sauvegardes.

Locky Ransomware allant par des emails malicieux en Word ou JavaScript :

Désactive Windows Script Host (ou si c'est un PC d'entreprise, utilise AppLocker pour bloquer les scripts malicieux) : voir Comment se protéger des scripts malicieux sur Windows.

Si tu as des questions, n'hésite pas.

metalbands Messages postés 1 Date d'inscription Statut Membre Dernière intervention

salut malekal merci pour ton aide, je suis soulagé j'avais bien peur de devoir réinstaller mon système, un grand oufff... et dois-je donc juste supprimer les locky recover instructions et companies,et l'affaire sera réglée, vu que les fichiers qu'il a pris en "otage" n'étaient pas si importants que ça?

Réponse 15 / 25

JonyAds

Bonjour,

Voici mes 3 liens merci d'avance pour votre retour et votre travail.

http://pjjoint.malekal.com/files.php?id=FRST_20160307_m10c8x8s15y7
http://pjjoint.malekal.com/files.php?id=20160307_n6b14f7c5u11
http://pjjoint.malekal.com/files.php?id=20160307_e7k12h6p14t7

Merci de m'aider

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Hello,

Rapports corrects, voir message précédent : https://forums.commentcamarche.net/forum/affich-33185934-virus-locky-ransomware-rsa-2048-aes-128#41

Aussi sur cette page, se trouve des exemples d'emails malicieux pour sensibiliser les utilisateurs :
https://forum.malekal.com/viewtopic.php?t=54467&start=

Réponse 16 / 25

JBou6

Bonjour,

Le PC de mon assistant a été infecté par Locky. De manière rapide, grâce aux instructions trouvées sur CCM, j'ai installé Malaware sur son PC. A priori, il a trouvé Dridex et une cinquantaine de virus et autres (sic). Il a tout supprimé sur son poste via Malwarebytes. Puis via Adwcleaner. Ceci étant j'ai pu lire que les ressources réseau étaient également touchées.

Du coup, je me demande si mon propre poste est infecté. De même pour mes serveurs. (1 PC et 1 MAC. Nos postes utilisateurs sont des MAC en boot PC sous SEVEN)

En premier lieu, j'ai fait un rapport ZHPDiag et un rapport AdwCleaner sur mon poste. Puis les 3 rapports FRST.

ADWCleaner :
http://pjjoint.malekal.com/files.php?id=20160308_o10y13n11g12e13

ZHPDiag :
http://pjjoint.malekal.com/files.php?id=ZHPDiag_20160308_w10h11q10k14g7

FRST :
http://pjjoint.malekal.com/files.php?id=FRST_20160308_t11p6p11l6j9
http://pjjoint.malekal.com/files.php?id=20160308_p8v5w8r7x6
http://pjjoint.malekal.com/files.php?id=20160308_u10c15y14p5c9

Voilà. Je vous ai tous mis.
Merci.

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Salut,

Rapports corrects.
Voir mes deux dernières interventions :
https://forums.commentcamarche.net/forum/affich-33185934-virus-locky-ransomware-rsa-2048-aes-128#41
https://forums.commentcamarche.net/forum/affich-33185934-virus-locky-ransomware-rsa-2048-aes-128#43

Désactiver Windows Script Host serait pas mal.

JBou6

Ok. Je vais voir ça pour le Script Host.
Merci beaucoup.

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685 > JBou6

bon courage!

Réponse 17 / 25

caced Messages postés 129 Date d'inscription Statut Membre Dernière intervention 6

Bonjour,

J'ai également le même problème,
J'ai lancé l'antivirus et nettoyé ainsi que malwarebytes.

Pourriez-vous me donner un coup de main ?

J'ai lancé votre programme, voici les liens :

https://pjjoint.malekal.com/files.php?id=FRST_20160308_h5c12i915r14
https://pjjoint.malekal.com/files.php?id=20160308_o12e7e9z13s6
https://pjjoint.malekal.com/files.php?id=20160308_c14q5y5n10q14

Merci

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Salut,

M'étonnerait que ce soit le PC source, y a pas de .Locky
A moins que tu aies tout supprimé.
Sinon rapport correct, voir message précédent pour sécuriser/sensibiliser.

caced Messages postés 129 Date d'inscription Statut Membre Dernière intervention 6 > Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention

J'ai supprimé les virus effectivement et j'avais lancé la correction, il il me disait qu'il ne trouvait pas de ficher (tout est sur le bureau).
J'ai lancé anlogX, mais j'ai toujours mes fichiers en _Locky_recover_instructions

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685 > caced Messages postés 129 Date d'inscription Statut Membre Dernière intervention

Normal pour les fichiers instructions, faut les supprimer.

caced Messages postés 129 Date d'inscription Statut Membre Dernière intervention 6

Par contre ça m'a supprimé des fichiers excel. C'est un peu comme si mon fichier excel s'était transformé en _Locky_recover_instructions. Du coup, j'ose pas trop le supprimer.
Ai-je un moyen de les récupérer ?

Réponse 18 / 25

olokin

Bonjour, je me permet également de joindre mes trois liens, en vous remerciant par avance.

http://pjjoint.malekal.com/files.php?id=FRST_20160308_d14u5l5m12l5

http://pjjoint.malekal.com/files.php?id=20160308_e105w11f11i10

http://pjjoint.malekal.com/files.php?id=20160308_o11q11m9p8k13

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Salut,

Même chose - rapports corrects - voir : https://forums.commentcamarche.net/forum/affich-33185934-virus-locky-ransomware-rsa-2048-aes-128#45

Réponse 19 / 25

Théo D

Bonsoir Malekal,

Je me permet de joindre les 3 liens, car même si Locky ne semble pas se propager plus, j'aimerais être sûr qu'il ne revienne pas à l'ouverture d'un fichier.

http://pjjoint.malekal.com/files.php?id=FRST_20160308_g5f5y15b6i5
http://pjjoint.malekal.com/files.php?id=20160308_b7o11q8z9l9
http://pjjoint.malekal.com/files.php?id=20160308_v11z5l10d9o6

Et petite question, si par erreur on double clique sur une fichier.locky ou locky_recover_instruction.txt, le ransomware se réactive t'il ? Càd, y a t'il un risque de les garder ou pas ?

Merci beaucoup ! :)
Bonne soirée

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Salut,

Rapport correct voir : https://forums.commentcamarche.net/forum/affich-33185934-virus-locky-ransomware-rsa-2048-aes-128#45

Utilisateur anonyme

https://pjjoint.malekal.com/files.php?id=20160310_q6k12r13z8d10

merci de bien vouloir me répondre

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685 > Utilisateur anonyme

Salut thomasneo,

C'est simplement le Addition.txt, il faut aussi le FRST.txt

thomasneo > Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention

http://pjjoint.malekal.com/files.php?id=FRST_20160311_b5g7g6m6r15

Voici le fichier FRST, désolé de cet oubli.

Y a t'il une solution désormais pour décryter les fichier locky?

Je vous remercie par avance.

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685 > thomasneo

Désinstalle DriverUpdate, sert à rien ces programmes à part te soutirer de l'argent.

Sinon t'as juste ClamWin.. c'est vraiment léger, après bon c'est Windows XP
doit plus y avoir d'antivirus qui le supporte.

Pour limiter la portée des scripts malicieux :
Comment se protéger des scripts malicieux sur Windows

Et pour la solution pour décrypter les fichiers .locky - ne compte pas trop dessus.
Il y en aura probablement pas.

Réponse 20 / 25

Utilisateur anonyme

Bonjour, je me permet également de joindre mes trois liens, en vous remerciant par avance.

https://pjjoint.malekal.com/files.php?id=20160408_d13w7b12w10r7
https://pjjoint.malekal.com/files.php?id=FRST_20160408_x12j9f13q13f11
https://pjjoint.malekal.com/files.php?id=20160408_g7f12v11u9t5

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Salut,

Locky Ransomware n'est pas résident, donc plus actif.
C'est mort pour récupérer tes documents.

Désinstalle CouponXplorer Internet Explorer Toolbar
Ca met Ask.com

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :


CreateRestorePoint:
CloseProcesses:
 R2 CouponXplorer_5zService; C:\Program Files (x86)\CouponXplorer_5z\bar\1.bin\5zbarsvc.exe [89424 2015-10-27] (Mindspark)  
HKLM-x32\...\Run: [CouponXplorer EPM Support] => C:\Program Files (x86)\CouponXplorer_5z\bar\1.bin\5zmedint.exe [11600 2015-10-27] (Mindspark)
2016-03-08 20:21 - 2015-05-31 23:18 - 00000000 ____D C:\ProgramData\E1864A66-75E3-486a-BD95-D1B7D99A84A7
2015-05-31 18:40 - 2015-05-31 20:44 - 0000112 _____ () C:\ProgramData\tqAa7ODQ.dat
C:\Program Files (x86)\CouponXplorer_5z
Reboot:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

Fais attention aux emails que tu ouvres : Campagne Emails malicieux Ransomware Locky

==> Comment se protéger des scripts malicieux sur Windows

Renforce la sécurité de ton Windows : Comment sécuriser mon Windows

Utilisateur anonyme

je ne pourrai jamais récupéré mes fichiers et si je fais ce qu il me dise y a til un danger car je veux les récupérer

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685 > Utilisateur anonyme

il n'y aucun moyen de récupérer tes fichiers.

Utilisateur anonyme

Pour l'instant

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685 > Utilisateur anonyme

et il n'y en aura probablement pas.
Pour qu'il y en ait, il faut que les programmeurs se soient vautrés dans la partie du code qui gère l'algorithme de chiffrement.
Or si c'était le cas, il y aurait eu un fix depuis longtemps et les auteurs du malware auraient déjà corrigés leurs bugs.

Virus - Locky Ransomware RSA-2048 AES 128

25 réponses

Discussions similaires