Attaque virus ransomware .jaff : chiffrement RSA Fermé

Question

Bonjour,  s'il vous plait ce matin ma machine a subi une attaque ransonware j'essaie de trouver des solutions et sur les forums j'ai donc fais l'analyse voici le resultat mais je ne sais que faire si quelqu'un peut m'aider a liberer la machine 

https://pjjoint.malekal.com/files.php?id=20160928_l10l5p10y5o11
https://pjjoint.malekal.com/files.php?id=FRST_20160928_i1311t14l12l6
https://pjjoint.malekal.com/files.php?id=20160928_c15j12y13i15b9


Configuration: Configuration: Configuration: Configuration: Configuration: Windows / Firefox 49.0

Malekal_morte- · Answer

Salut,

C'est la variante Locky Odin.
Il n'est pas résident.
C'est mort pour tes données.

Pour sécuriser ton ordinateur face à ces menaces :

Comment se protéger des scripts malicieux sur Windows

Renforce la sécurité de ton Windows : Comment sécuriser mon Windows
Notamment contre les Web exploits.

w3eqhha · Answer

Bonjour,
j'ai déja eu un virus de ce type;
je m'en suis débarassé avec le logiciel roguekiller (gratuit et eficace)

Malekal_morte- · Answer

Vu qu'il y a d'autres demandes on va détailler.
.odin, c'est Locky Ransomware, dit le "virus ransomware AES 128, RSA-2048".
Précédemment les extensions étaient .zepto et encore avant .locky
Maintenant devenu fichier .zzzz
Pour rappel, un ransomware ou rançongiciel est un programme malveillant qui chiffre les documents. Le but est de rendre les fichiers et documents illisibles afin de vous demander de payer une rançon pour récupérer la version originelle : Les ransomwares/rançongiciels et Les crypto-ransomwares.
Rapide tour d'horizon du ransomware Locky.
Les détails des campagnes du ransomware Locky (mode de distribution, les variantes etc) sont disponibles sur cette page : https://www.malekal.com/locky-ransomware/.
Comme dit plus haut, il n'est pas résident.
Vous avez un mail malicieux ou via un Web Exploit... il se lance, chiffre les documents et se ferment.
Aucun nettoyage n'est nécessaire.
Juste que les fichiers contenant les fichiers d'instructions sont disséminés.
Votre fond d'écran est modifié, vous pouvez le remettre manuellement.
Si vous souhaitez, tout de même vérifier votre ordinateur, effectuer un nettoyage Malwarebytes -  Tutoriel Malwarebytes Anti-Malware version gratuite.
La récupération des documents.
En théorie, elle est impossible puisque le but est de vous forcer à payer.
Vous pouvez, tester les versions précédentes de fichiers.
Privilégiez la récupération Shadow Explorer que par l'onglet versions précédentes.
Normalement, y en a plus car avant de chiffrer les documents, Locky les désactivent.
Si vous avez de la chance, contrairement à CryptoWall, si la désactive foire, Locky va tout de même chiffrer les documents.
Donc les versions précédentes peuvent être présentes.

- Si la fenêtre Shadow Explorer est vide, c'est qu'aucun cliché instantanné n'est disponible. La restauration du système est désactivée.
- Si le dossier sont vides, aucune version précédentes n'est disponibles
(En haut à gauche, vous avez la liste des clichés instantanées avec les date, vérifiez les tous)
- S'il ne reste qu’un seul cliché avec les fichiers chiffrés .thor etc - c'est mort.
Si vous n’êtes pas capables de récupérer vos fichiers ,c'est dommage.
Maintenant prenez 5min pour lire le paragraphe qui suit, ça vous évitera de futurs infections de Windows.
Du point de vue sécurité :
Si vous avez été infecté, c'est que l'ordinateur est mal sécurisé et que vous avez aussi aucune connaissance sur la manière dont les infections se propagent.
Windows a été infecté par un ransomware / rançongiciel chiffreur de fichiers
Voir aussi ce dossier : Les ransomwares.
Ces rançongiciels s'attrapent essentiellement par l'ouverture d'une pièce jointe malicieuse dans un e-mail ou par la visite d'une page internet piégée par des exploits WEB.
Soit vous ouvrez n'importe quel mail ou vous étiez fatigué et boom.
Soit votre ordinateur est vulnérable aux WEB Exploits.
La méthode privilégiée par Locky reste les mails.
Ces derniers utilisent des scripts, il est assez facile de s'en protéger : Comment se protéger des scripts malicieux sur Windows.
FAITES DES SAUVEGARDES
et surtout faites des sauvegardes, de préférences des sauvegardes externes.
Cela permet de restaurer les documents en cas de pertes ou attaques.
=> https://www.malekal.com/windows/sauvegarde-windows/
=> https://www.commentcamarche.net/faq/29104-sauvegarder-ses-donnees-gratuitement
Veuillez appuyer sur une touche pour continuer la désinfection...

Malekal_morte- · Answer

Je change le titre en .shit pour couvrir la nouvelle extension de Locky.

comme il y a une bonne explication qui couvre tout (désinfection, récupérations de fichiers et  sécuriser son ordinateur).

Malekal_morte- · Answer

Je change le titre en .thor pour couvrir la nouvelle extension de Locky. 
> fichiers chiffrés avec l'extension .thor maintenant.

mmpb · Answer

Merci pour le infos mais il semble que je n'arrive pas à récupérer les données infectées. J'ai fait une restauration système mais, bien entendu, les photos et documents ne sont toujours pas récupérables...Si quelqu'un a une idée, je suis preneur. Je rappelle que j'ai été infecté par un virus .thor qui m'a bloqué tous mes fichiers (photos, données, vidéos...), j'utilise windows 10, j'ai fait deux recup système sans succès et j'ai lancé malwarebytes....Merci par avance à ceux qui pourraient m'aider.

Malekal_morte- · Answer

Titre changé pour extension .aesir

Malekal_morte- · Answer

Modif avec l'extension .zzzzz
Veuillez appuyer sur une touche pour continuer la désinfection...

Attaque virus ransomware .jaff : chiffrement RSA

8 réponses

Discussions similaires