Fichier SHIT
Fermé
charle52
Messages postés
5
Date d'inscription
samedi 8 novembre 2014
Statut
Membre
Dernière intervention
25 octobre 2016
-
25 oct. 2016 à 08:04
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 - 26 oct. 2016 à 09:04
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 - 26 oct. 2016 à 09:04
A voir également:
- Fichier SHIT
- Fichier rar - Guide
- Comment réduire la taille d'un fichier - Guide
- Comment ouvrir un fichier epub ? - Guide
- Fichier host - Guide
- Ouvrir fichier .bin - Guide
3 réponses
Malekal_morte-
Messages postés
180304
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
15 décembre 2020
24 660
25 oct. 2016 à 08:42
25 oct. 2016 à 08:42
Salut,
Windows a été infecté par un ransomware / rançongiciel chiffreur de fichiers. Ces rançongiciels s'attrapent essentiellement par l'ouverture d'une pièce jointe malicieuse dans un e-mail ou par la visite d'une page internet piégée par des exploits WEB.
A l'heure actuelle, il n'y a pas vraiment de méthode pour récupérer les documents chiffrés. Si les données sont très importantes, les stocker temporairement à l'abri car peut-être qu'il y aura dans le futur une solution pour les récupérer.
Il faut d'abord vérifier qu'aucune menace ne soit encore active.
Par précaution, pense aussi à changer tous tes mots de passe.
1°) FRST
Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).
Télécharge et lance le scan FRST, 3 rapports FRST seront générés :
Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.
Windows a été infecté par un ransomware / rançongiciel chiffreur de fichiers. Ces rançongiciels s'attrapent essentiellement par l'ouverture d'une pièce jointe malicieuse dans un e-mail ou par la visite d'une page internet piégée par des exploits WEB.
A l'heure actuelle, il n'y a pas vraiment de méthode pour récupérer les documents chiffrés. Si les données sont très importantes, les stocker temporairement à l'abri car peut-être qu'il y aura dans le futur une solution pour les récupérer.
Il faut d'abord vérifier qu'aucune menace ne soit encore active.
Par précaution, pense aussi à changer tous tes mots de passe.
1°) FRST
Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).
Télécharge et lance le scan FRST, 3 rapports FRST seront générés :
- FRST.txt
- Shortcut.txt
- Additionnal.txt
Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.
http://pjjoint.malekal.com/files.php?read=FRST_20161025_f15z5m9q13o11
http://pjjoint.malekal.com/files.php?id=20161025_x8y15u6h155
http://pjjoint.malekal.com/files.php?id=20161025_x8y15u6h155
Malekal_morte-
Messages postés
180304
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
15 décembre 2020
24 660
Modifié par Malekal_morte- le 25/10/2016 à 10:40
Modifié par Malekal_morte- le 25/10/2016 à 10:40
Plus actif,
tu as dû tomber sur un site de désinfection avec soit disant une solution pour Locky/Fichier shit mais ça t'a refourgué WinThruster
Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.
Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :
Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.
Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.
~~
Fais une recherche de fichiers sur Windows (aide : Comment rechercher des fichiers sur Windows) sur WHAT_is.html et supprime les fichiers trouvés.
~~
Pour la récupération de fichiers, tente les versions précédentes mais ça ne devrait pas fonctionner : Versions précédentes de fichiers (shadow copies).
~~
Sécurise ton ordinateur, à lire : https://forums.commentcamarche.net/forum/affich-33948815-attaque-virus-ransomware-jaff-chiffrement-rsa#9
Veuillez appuyer sur une touche pour continuer la désinfection...
tu as dû tomber sur un site de désinfection avec soit disant une solution pour Locky/Fichier shit mais ça t'a refourgué WinThruster
Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.
Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :
CreateRestorePoint:
CloseProcesses:
Task: C:\WINDOWS\Tasks\WinThruster-Alain-Notification.job => C:\Program Files\Solvusoft\WinThruster\Sync.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\WinThruster-Alain-Startup.job => C:\Program Files\Solvusoft\WinThruster\WinThruster.exe <==== ATTENTION
Task: {420ABE8D-A66E-48F8-AA05-4B569A14EFDB} - System32\Tasks\WinThruster-Alain-Notification => C:\Program Files\Solvusoft\WinThruster\Sync.exe <==== ATTENTION
Task: {BA4FF1F0-3BDA-4220-A169-1C37267BA98D} - System32\Tasks\WinThruster-Alain-Startup => C:\Program Files\Solvusoft\WinThruster\WinThruster.exe <==== ATTENTION
C:\Program Files\Solvusoft\W
Hosts:
EmptyTemp:
RemoveProxy:
CreateRestorePoint:
Reboot:
Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.
Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.
~~
Fais une recherche de fichiers sur Windows (aide : Comment rechercher des fichiers sur Windows) sur WHAT_is.html et supprime les fichiers trouvés.
~~
Pour la récupération de fichiers, tente les versions précédentes mais ça ne devrait pas fonctionner : Versions précédentes de fichiers (shadow copies).
~~
Sécurise ton ordinateur, à lire : https://forums.commentcamarche.net/forum/affich-33948815-attaque-virus-ransomware-jaff-chiffrement-rsa#9
Veuillez appuyer sur une touche pour continuer la désinfection...
Résultats de correction de Farbar Recovery Scan Tool (x86) Version: 16-10-2016
Exécuté par Alain (25-10-2016 10:08:57) Run:2
Exécuté depuis C:\Users\Alain\Desktop
Profils chargés: Alain (Profils disponibles: Alain)
Mode d'amorçage: Normal
==============================================
fixlist contenu:
CreateRestorePoint:
CloseProcesses:
Task: C:\WINDOWS\Tasks\WinThruster-Alain-Notification.job => C:\Program Files\Solvusoft\WinThruster\Sync.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\WinThruster-Alain-Startup.job => C:\Program Files\Solvusoft\WinThruster\WinThruster.exe <==== ATTENTION
Task: {420ABE8D-A66E-48F8-AA05-4B569A14EFDB} - System32\Tasks\WinThruster-Alain-Notification => C:\Program Files\Solvusoft\WinThruster\Sync.exe <==== ATTENTION
Task: {BA4FF1F0-3BDA-4220-A169-1C37267BA98D} - System32\Tasks\WinThruster-Alain-Startup => C:\Program Files\Solvusoft\WinThruster\WinThruster.exe <==== ATTENTION
C:\Program Files\Solvusoft\W
Hosts:
EmptyTemp:
RemoveProxy:
CreateRestorePoint:
Reboot:
Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
C:\WINDOWS\Tasks\WinThruster-Alain-Notification.job => non trouvé(e).
C:\WINDOWS\Tasks\WinThruster-Alain-Startup.job => non trouvé(e).
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{420ABE8D-A66E-48F8-AA05-4B569A14EFDB} => clé non trouvé(e).
C:\Windows\System32\Tasks\WinThruster-Alain-Notification => non trouvé(e).
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\WinThruster-Alain-Notification" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{BA4FF1F0-3BDA-4220-A169-1C37267BA98D}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{BA4FF1F0-3BDA-4220-A169-1C37267BA98D}" => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\WinThruster-Alain-Startup => déplacé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\WinThruster-Alain-Startup" => clé supprimé(es) avec succès
"C:\Program Files\Solvusoft\W" => non trouvé(e).
C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.
========= RemoveProxy: =========
HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-2364174430-3410037856-2522849585-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-2364174430-3410037856-2522849585-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
========= Fin de RemoveProxy: =========
Le Point de restauration a été créé avec succès.
=========== EmptyTemp: ==========
BITS transfer queue => 32768 B
DOMStoree, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 50363825 B
Java, Flash, Steam htmlcache => 506 B
Windows/system/drivers => 1734284 B
Edge => 0 B
Chrome => 128000 B
Firefox => 0 B
Exécuté par Alain (25-10-2016 10:08:57) Run:2
Exécuté depuis C:\Users\Alain\Desktop
Profils chargés: Alain (Profils disponibles: Alain)
Mode d'amorçage: Normal
==============================================
fixlist contenu:
CreateRestorePoint:
CloseProcesses:
Task: C:\WINDOWS\Tasks\WinThruster-Alain-Notification.job => C:\Program Files\Solvusoft\WinThruster\Sync.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\WinThruster-Alain-Startup.job => C:\Program Files\Solvusoft\WinThruster\WinThruster.exe <==== ATTENTION
Task: {420ABE8D-A66E-48F8-AA05-4B569A14EFDB} - System32\Tasks\WinThruster-Alain-Notification => C:\Program Files\Solvusoft\WinThruster\Sync.exe <==== ATTENTION
Task: {BA4FF1F0-3BDA-4220-A169-1C37267BA98D} - System32\Tasks\WinThruster-Alain-Startup => C:\Program Files\Solvusoft\WinThruster\WinThruster.exe <==== ATTENTION
C:\Program Files\Solvusoft\W
Hosts:
EmptyTemp:
RemoveProxy:
CreateRestorePoint:
Reboot:
Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
C:\WINDOWS\Tasks\WinThruster-Alain-Notification.job => non trouvé(e).
C:\WINDOWS\Tasks\WinThruster-Alain-Startup.job => non trouvé(e).
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{420ABE8D-A66E-48F8-AA05-4B569A14EFDB} => clé non trouvé(e).
C:\Windows\System32\Tasks\WinThruster-Alain-Notification => non trouvé(e).
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\WinThruster-Alain-Notification" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{BA4FF1F0-3BDA-4220-A169-1C37267BA98D}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{BA4FF1F0-3BDA-4220-A169-1C37267BA98D}" => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\WinThruster-Alain-Startup => déplacé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\WinThruster-Alain-Startup" => clé supprimé(es) avec succès
"C:\Program Files\Solvusoft\W" => non trouvé(e).
C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.
========= RemoveProxy: =========
HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-2364174430-3410037856-2522849585-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-2364174430-3410037856-2522849585-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
========= Fin de RemoveProxy: =========
Le Point de restauration a été créé avec succès.
=========== EmptyTemp: ==========
BITS transfer queue => 32768 B
DOMStoree, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 50363825 B
Java, Flash, Steam htmlcache => 506 B
Windows/system/drivers => 1734284 B
Edge => 0 B
Chrome => 128000 B
Firefox => 0 B
Malekal_morte-
Messages postés
180304
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
15 décembre 2020
24 660
>
charle52
25 oct. 2016 à 10:40
25 oct. 2016 à 10:40
Voir explications données plus haut.
charle
>
Malekal_morte-
Messages postés
180304
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
15 décembre 2020
25 oct. 2016 à 16:17
25 oct. 2016 à 16:17
Bonsoir,
Merci quand même de votre aide. Ce qui m'étonne c'est que je suis protégé par l'anti virus - anti maleware EMSISOFT et que ce produit n'a pas su empêché l'intrusion du virus! Je leur ai écrit. J'attends leur réponse.
SALCHER A.
Merci quand même de votre aide. Ce qui m'étonne c'est que je suis protégé par l'anti virus - anti maleware EMSISOFT et que ce produit n'a pas su empêché l'intrusion du virus! Je leur ai écrit. J'attends leur réponse.
SALCHER A.
25 oct. 2016 à 09:44
Merci pour votre aide et voici les liens demandés
Je ne sais comment mais l'ordi a enregistré le message du dossier reçu en anglais.
J'ai fait un coller copier sur un document Word.
Si cela vous intéresse, je vous l'envoie.
En core merci..
Charle 52
25 oct. 2016 à 09:49