Fichier crypter par ransonwar

Fermé
Marcothai - 23 juin 2016 à 15:17
Malekal_morte-
Messages postés
180242
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
15 décembre 2020
- 25 juin 2016 à 10:15
Bonjour,

Hier à ma grande surprise en ouvrant mon ordi, une page .text m'indiquait que mes fichiers allaient être bloqués si je ne payais pas en Bitcoin pour recevoir le programme de décryptage. ILs me laissaient 72h00.
Dès ce matin, les 3/4 de mes fichiers étaient déja bloqués (CRYPTER), ça à l'air sérieux leur truc!
J'ai lancé Malwarebytes qui a placé en quarantaine 16 fichiers.
Depuis rien de détecté de bizarre sur l'ordi...
Comment me débarasser de cette cochonnerie?
Est-il possible de récuperer les fichiers cryptés (sans payer!!)?
L'ordi tourne sous Windows 10 avec Firefox et Mc Afee anti-virus.
Merci pour votre aide!



5 réponses

Malekal_morte-
Messages postés
180242
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
15 décembre 2020
24 577
Modifié par Malekal_morte- le 23/06/2016 à 17:11
Salut,


Windows a été infecté par un ransomware / rançongiciel chiffreur de fichiers. Ces rançongiciels s'attrapent essentiellement par l'ouverture d'une pièce jointe malicieuse dans un e-mail ou par la visite d'une page internet piégée par des exploits WEB.

A l'heure actuelle, il n'y a pas vraiment de méthode pour récupérer les documents chiffrés. Si les données sont très importantes, les stocker temporairement à l'abri car peut-être qu'il y aura dans le futur une solution pour les récupérer.

Il faut d'abord vérifier qu'aucune menace ne soit encore active.
Par précaution, pense aussi à changer tous tes mots de passe.

Suis le tutoriel FRST https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/
(et bien prendre le temps de lire afin d'appliquer correctement - tout y est expliqué).
Télécharge et lance le scan FRST, cela va générer trois rapports FRST :
  • FRST.txt
  • Shortcut.txt
  • Additionnal.txt


Envoie, comme expliqué, ces trois rapports sur le site http://pjjoint.malekal.com et en retour donne les trois liens pjjoint qui mènent à  ses rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

Posté depuis CCM Live forum pour Android
0
Les liens pour les 3 fichiers text :

http://pjjoint.malekal.com/files.php?id=20160624_l12l7v10c6q11

http://pjjoint.malekal.com/files.php?id=FRST_20160624_d5e12z6e8r11

http://pjjoint.malekal.com/files.php?id=20160624_t10c10i14r15k11

merci par avance de toute votre aide!
0
Malekal_morte-
Messages postés
180242
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
15 décembre 2020
24 577
Modifié par Malekal_morte- le 24/06/2016 à 18:03
.crypted, c'est donc le ransomware CryptXXX.
Tu as choppé Boaxxe... surement par un Web exploit.

McAfee tu l'as acheté ?

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

CreateRestorePoint:
CloseProcesses:
Shortcut: C:\Users\Jean-Marc\AppData\Local\17b6\8993.lnk -> C:\Users\Jean-Marc\AppData\Local\17b6\cf1b.bat (Pas de fichier)
HKU\S-1-5-21-4078988488-3788974727-2195207176-1001\...\Run: [Crypted] => C:\Users\JEAN-M~1\AppData\Local\Temp\a.txt [1340 2016-06-22] () <===== ATTENTION
HKU\S-1-5-21-4078988488-3788974727-2195207176-1001\...\Run: [Imsoft] => C:\Windows\SysWOW64\regsvr32.exe C:\Users\Jean-Marc\AppData\Local\Adqworks\normalZbox.dll
2016-06-22 10:42 - 2016-06-23 04:56 - 00000000 ____D C:\Users\Jean-Marc\AppData\Roaming\0dd0
2016-06-22 10:42 - 2016-06-23 04:54 - 00000000 ____D C:\Users\Jean-Marc\AppData\Local\UZmedia
2016-06-22 10:42 - 2016-06-23 04:54 - 00000000 ____D C:\Users\Jean-Marc\AppData\Local\17b6
2016-06-22 10:41 - 2016-06-23 04:54 - 00000000 ____D C:\Users\Jean-Marc\AppData\Local\Adqworks
Reboot:


Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,

Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.


Redémarre l'ordinateur.

Mets à jour Malwarebytes et fais un scan avec.

Veuillez appuyer sur une touche pour continuer la désinfection...
0
Bonjour,

J'ai suivi la procédure.
J'ai relancé FRST, toujours les 3 fichiers qui ressortent (je ne les ai pas envoyé) et quand je fais "Corriger" instantanément on me dit "pas de fichier text. ". L'antymalware ne detecte rien lui non plus. PAr contre quand j'ai redemarré l'ordi, j'ai a nouveau eu le message de menace.
Que faut-il donc faire pour s'en débarrasser???
Merci à vous pour les conseils très bien expliqué.
Oui, j'ai acheté la licence Mc Afee.(avant j'avais Kaspersky!)
0
Malekal_morte-
Messages postés
180242
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
15 décembre 2020
24 577
24 juin 2016 à 18:03
Refais un scan FRST pour voir ce qu'il reste, donne à nouveau via pjjoint.
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Voici les 3 fichiers après scan FRST et scan Malewarebytes :

http://pjjoint.malekal.com/files.php?id=20160625_q15x10j7u15r10

http://pjjoint.malekal.com/files.php?id=FRST_20160625_d815f8j10w10

http://pjjoint.malekal.com/files.php?id=20160625_h13y13p11x6p11
0
Malekal_morte-
Messages postés
180242
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
15 décembre 2020
24 577
25 juin 2016 à 10:15
Rien n'a bougé, donc je pense que tu n'as pas fait la correction FRST donnée plus haut.
Refais la correction donné en message #3.
0