CERBER RANSOMWARE extension .pp9d

Résolu/Fermé

Zazou1e Messages postés 20 Date d'inscription vendredi 12 décembre 2014 Statut Membre Dernière intervention 26 mai 2024 - 24 déc. 2016 à 00:54
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 - 26 déc. 2016 à 13:29

Bonjour la communauté.
Je suis victime d'une attaque pirate. En effet, après avoir telecharger un film, tout mes fichiers, musiques, vidéos, images, documents, tout tout absolument tout mes fichiers ont été crypter (ils sont tous passez en extension .pp9d). Du coup, impossible de les lire. Et quant j'ouvre ces fichiers il apparaît une page disant que je doit payer une rançon de 500$ avant 1 semaine pour retrouver l'usage de mes fichiers.
J'ai chercher sur la toile Internet des solutions, j'en ai trouver certaines mais qui sont seulement applicables à d'autres extension du virus (.ba99, .98a0, .a37b, .a563). Mais absolument rien sur l, extension dont je suis victime (.pp9d).
Certains on proposer comme solution de restaurer le système, je l'ai fait mais zéro.
Certains on proposer des logicielles, je les aient tous telecharger mais toujours rien.
Aidez moi s'il vous plaît.
Que dois je faire ?????
Cordialement

A voir également:

CERBER RANSOMWARE extension .pp9d
Extension dat - Guide
Extension .bin - Guide
Changer extension fichier - Guide
Extension 7z - Guide
Extension odt - Guide

4 réponses

Réponse 1 / 4

Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 658
24 déc. 2016 à 11:11

Salut,

Windows a été infecté par un ransomware / rançongiciel chiffreur de fichiers. Ces rançongiciels s'attrapent essentiellement par l'ouverture d'une pièce jointe malicieuse dans un e-mail ou par la visite d'une page internet piégée par des exploits WEB.

Tu peux tout de même tenter les version précédentes avec Shadow Explorer

A l'heure actuelle, il n'y a pas vraiment de méthode pour récupérer les documents chiffrés. Si les données sont très importantes, les stocker temporairement à l'abri car peut-être qu'il y aura dans le futur une solution pour les récupérer.

Il faut d'abord vérifier qu'aucune menace ne soit encore active.
Par précaution, pense aussi à changer tous tes mots de passe.

1°) FRST
Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST, 3 rapports FRST seront générés :

FRST.txt
Shortcut.txt
Additionnal.txt

Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

Zazou1e Messages postés 20 Date d'inscription vendredi 12 décembre 2014 Statut Membre Dernière intervention 26 mai 2024
24 déc. 2016 à 11:21

Merci bien Malekal
Je suis vraiment peiner que je ne puisse plus retrouver mes fichiers.
L'ultime solution est donc la reinistialisation de mon système d'exploitation.
Je ferais ce que vous avez dit concernant le tutoriel FRST.
Merci bien

Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 658 > Zazou1e Messages postés 20 Date d'inscription vendredi 12 décembre 2014 Statut Membre Dernière intervention 26 mai 2024
24 déc. 2016 à 11:22

Tente shadow explorer tout de même.
Apparemment les dernières variantes ne suppriment pas les shadow copies.

Zazou1e Messages postés 20 Date d'inscription vendredi 12 décembre 2014 Statut Membre Dernière intervention 26 mai 2024 > Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020
24 déc. 2016 à 12:55

Je ne comprend pas trop l'utilité du shadow explorer au faite. Il me permet de restaurer mes fichier normalement, mais je ne peut tout de même pas les lires

Surement que tu restaures des fichiers déjà chiffrés par le ransomware.
Tu peux remonter dans le temps, selon les clichés disponibles en haut à gauche.
Vois si tu as une date disponible avant l'infection.
Si c'est pas le cas, c'est mort.

Lol alors la....
Je pense que c'est mort. Puisque il y a 2 dates qui affiche effectivement en haut à gauche. Et ces des dates d'avant l'infection. Mais quelque sois là date que je choisi, ces toujours illisible. Je me dit que ces peu être mes logicielles de lectures qui sont affecter par le virus, raisons pour laquelle il ne peuvent pas lire ???
Qu'en pense tu ?

Réponse 2 / 4

Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 658
25 déc. 2016 à 12:14

Pas de trojan.
Tu as un keylogger et des restes d'adwares,

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

CreateRestorePoint:
CloseProcesses:
CreateRestorePoint:
Task: {54FDC42C-1F25-49E2-A6E9-2F91287814C7} - System32\Tasks\YTAUpdate => C:\PROGRA~2\YOUTUB~1\Updater.exe <==== ATTENTION
Task: {61AA671D-CCEB-4AF0-AF2D-1752532C87D1} - System32\Tasks\VPNium => C:\Users\Christ\AppData\Local\Temp\Rar$EXa0.897\VPnium\vpnium.exe <==== ATTENTION
Task: {7C2B0F59-63C0-4C2B-9EC4-D28AAE99EE8B} - System32\Tasks\EffectiveNap => c:\programdata\{1c435400-9bb7-a96a-1c43-354009bb5002}\generateur cle w8 w8.1 2013.exe <==== ATTENTION
Task: {ABF08465-3EDA-40BE-AC4B-50FF8A70C4B2} - System32\Tasks\Microsoft\Windows\RVLKL\RVLKL => C:\ProgramData\rvlkl\rvlkl.exe <==== ATTENTION
Task: C:\Windows\Tasks\EffectiveNap.job => c:\programdata\{1c435400-9bb7-a96a-1c43-354009bb5002}\generateur cle w8 w8.1 2013.exe <==== ATTENTION
2016-12-22 10:43 - 2016-05-21 17:12 - 00000000 ____D C:\ProgramData\rvlkl  
 2016-12-22 08:52 - 2016-09-06 12:35 - 00000000 ____D C:\Program Files (x86)\OLBPre  
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\rvlkl.lnk [2016-05-21]  
 ShortcutTarget: rvlkl.lnk -> C:\ProgramData\rvlkl\rvlkl.exe (Pas de fichier)  
 HKLM-x32\...\Run: [PD-Proxy] => C:\Users\KONAN_C\AppData\Local\Temp\Rar.088\PD-Proxy_2.2.0\PD-Launcher.exe <===== ATTENTION  
 SearchScopes: HKU\S-1-5-21-2178750781-228122678-151732202-1003 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL =   
 BHO: iWebar -> {11111111-1111-1111-1111-110611511123} -> C:\Program Files (x86)\iWebar\iWebar-bho64.dll => Pas de fichier  
 BHO: App Lid -> {11111111-1111-1111-1111-110611571143} -> C:\Program Files (x86)\App Lid\App Lid-bho64.dll => Pas de fichier 
 BHO: SensePlus -> {11111111-1111-1111-1111-110611901159} -> C:\Program Files (x86)\SensePlus\SensePlus-bho64.dll => Pas de fichier  
 BHO: CinemaP-1.9cV20.01 -> {11111111-1111-1111-1111-110611901165} -> C:\Program Files (x86)\CinemaP-1.9cV20.01\CinemaP-1.9cV20.01-bho64.dll => Pas de fichier 
 BHO: UniDeaulsa -> {63a79800-0128-46ea-9547-d94fd008a815} -> C:\Program Files (x86)\UniDeaulsa\eu3S1RxKmn2kIh.x64.dll => Pas de fichier 
 BHO: Pas de nom -> {95B7759C-8C7F-4BF1-B163-73684A933233} -> Pas de fichier  
 BHO: PaRiceMinus -> {D6521221-ACEC-4C20-8AAA-A6009D1E7DB7} -> C:\Program Files (x86)\PaRiceMinus\o72FLyAvIfrepB.x64.dll => Pas de fichier 
  Hosts:
EmptyTemp:
RemoveProxy:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",

A gauche, place toi sur le Bureau,

Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

Zazou1e
26 déc. 2016 à 00:02

Merci Malekal pour l'aide precieuse que tu m'apporte. Voici la correction comme demander.

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 21-12-2016
Exécuté par Christ (25-12-2016 22:40:25) Run:1
Exécuté depuis C:\Users\Christ\Desktop
Profils chargés: Christ (Profils disponibles: Christ)
Mode d'amorçage: Normal
==============================================

fixlist contenu:

CreateRestorePoint:
CloseProcesses:
CreateRestorePoint:
Task: {54FDC42C-1F25-49E2-A6E9-2F91287814C7} - System32\Tasks\YTAUpdate => C:\PROGRA~2\YOUTUB~1\Updater.exe <==== ATTENTION
Task: {61AA671D-CCEB-4AF0-AF2D-1752532C87D1} - System32\Tasks\VPNium => C:\Users\Christ\AppData\Local\Temp\Rar$EXa0.897\VPnium\vpnium.exe <==== ATTENTION
Task: {7C2B0F59-63C0-4C2B-9EC4-D28AAE99EE8B} - System32\Tasks\EffectiveNap => c:\programdata\{1c435400-9bb7-a96a-1c43-354009bb5002}\generateur cle w8 w8.1 2013.exe <==== ATTENTION
Task: {ABF08465-3EDA-40BE-AC4B-50FF8A70C4B2} - System32\Tasks\Microsoft\Windows\RVLKL\RVLKL => C:\ProgramData\rvlkl\rvlkl.exe <==== ATTENTION
Task: C:\Windows\Tasks\EffectiveNap.job => c:\programdata\{1c435400-9bb7-a96a-1c43-354009bb5002}\generateur cle w8 w8.1 2013.exe <==== ATTENTION
2016-12-22 10:43 - 2016-05-21 17:12 - 00000000 ____D C:\ProgramData\rvlkl
2016-12-22 08:52 - 2016-09-06 12:35 - 00000000 ____D C:\Program Files (x86)\OLBPre
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\rvlkl.lnk [2016-05-21]
ShortcutTarget: rvlkl.lnk -> C:\ProgramData\rvlkl\rvlkl.exe (Pas de fichier)
HKLM-x32\...\Run: [PD-Proxy] => C:\Users\KONAN_C\AppData\Local\Temp\Rar.088\PD-Proxy_2.2.0\PD-Launcher.exe <===== ATTENTION
SearchScopes: HKU\S-1-5-21-2178750781-228122678-151732202-1003 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL =
BHO: iWebar -> {11111111-1111-1111-1111-110611511123} -> C:\Program Files (x86)\iWebar\iWebar-bho64.dll => Pas de fichier
BHO: App Lid -> {11111111-1111-1111-1111-110611571143} -> C:\Program Files (x86)\App Lid\App Lid-bho64.dll => Pas de fichier
BHO: SensePlus -> {11111111-1111-1111-1111-110611901159} -> C:\Program Files (x86)\SensePlus\SensePlus-bho64.dll => Pas de fichier
BHO: CinemaP-1.9cV20.01 -> {11111111-1111-1111-1111-110611901165} -> C:\Program Files (x86)\CinemaP-1.9cV20.01\CinemaP-1.9cV20.01-bho64.dll => Pas de fichier
BHO: UniDeaulsa -> {63a79800-0128-46ea-9547-d94fd008a815} -> C:\Program Files (x86)\UniDeaulsa\eu3S1RxKmn2kIh.x64.dll => Pas de fichier
BHO: Pas de nom -> {95B7759C-8C7F-4BF1-B163-73684A933233} -> Pas de fichier
BHO: PaRiceMinus -> {D6521221-ACEC-4C20-8AAA-A6009D1E7DB7} -> C:\Program Files (x86)\PaRiceMinus\o72FLyAvIfrepB.x64.dll => Pas de fichier
Hosts:
EmptyTemp:
RemoveProxy:

Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
Le Point de restauration a été créé avec succès.
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{54FDC42C-1F25-49E2-A6E9-2F91287814C7}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{54FDC42C-1F25-49E2-A6E9-2F91287814C7}" => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\YTAUpdate => déplacé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\YTAUpdate" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{61AA671D-CCEB-4AF0-AF2D-1752532C87D1}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{61AA671D-CCEB-4AF0-AF2D-1752532C87D1}" => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\VPNium => déplacé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\VPNium" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{7C2B0F59-63C0-4C2B-9EC4-D28AAE99EE8B}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{7C2B0F59-63C0-4C2B-9EC4-D28AAE99EE8B}" => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\EffectiveNap => déplacé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\EffectiveNap" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{ABF08465-3EDA-40BE-AC4B-50FF8A70C4B2}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{ABF08465-3EDA-40BE-AC4B-50FF8A70C4B2}" => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\Microsoft\Windows\RVLKL\RVLKL => déplacé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\RVLKL\RVLKL" => clé supprimé(es) avec succès
C:\Windows\Tasks\EffectiveNap.job => déplacé(es) avec succès
C:\ProgramData\rvlkl => déplacé(es) avec succès
C:\Program Files (x86)\OLBPre => déplacé(es) avec succès
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\rvlkl.lnk => déplacé(es) avec succès
C:\ProgramData\rvlkl\rvlkl.exe => non trouvé(e).
HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\\PD-Proxy => valeur supprimé(es) avec succès
HKU\S-1-5-21-2178750781-228122678-151732202-1003\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope => valeur supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{11111111-1111-1111-1111-110611511123}" => clé supprimé(es) avec succès
"HKCR\CLSID\{11111111-1111-1111-1111-110611511123}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{11111111-1111-1111-1111-110611571143}" => clé supprimé(es) avec succès
"HKCR\CLSID\{11111111-1111-1111-1111-110611571143}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{11111111-1111-1111-1111-110611901159}" => clé supprimé(es) avec succès
"HKCR\CLSID\{11111111-1111-1111-1111-110611901159}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{11111111-1111-1111-1111-110611901165}" => clé supprimé(es) avec succès
"HKCR\CLSID\{11111111-1111-1111-1111-110611901165}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{63a79800-0128-46ea-9547-d94fd008a815}" => clé supprimé(es) avec succès
"HKCR\CLSID\{63a79800-0128-46ea-9547-d94fd008a815}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{95B7759C-8C7F-4BF1-B163-73684A933233}" => clé supprimé(es) avec succès
HKCR\CLSID\{95B7759C-8C7F-4BF1-B163-73684A933233} => clé non trouvé(e).
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D6521221-ACEC-4C20-8AAA-A6009D1E7DB7}" => clé supprimé(es) avec succès
"HKCR\CLSID\{D6521221-ACEC-4C20-8AAA-A6009D1E7DB7}" => clé supprimé(es) avec succès
Hosts restauré(es) avec succès.

========= RemoveProxy: =========

HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-2178750781-228122678-151732202-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-2178750781-228122678-151732202-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès

========= Fin de RemoveProxy: =========

=========== EmptyTemp: ==========

BITS transfer queue => 8388608 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 23424005 B
Java, Flash, Steam htmlcache => 3128 B
Windows/system/drivers => 3646342 B
Edge => 0 B
Chrome => 45797124 B
Firefox => 211218277 B
Opera => 28994636 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Users => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 5309966 B
systemprofile32 => 660 B
LocalService => 3194 B
NetworkService => 0 B
Christ => 234112661 B

RecycleBin => 824589 B
EmptyTemp: => 535.7 MB données temporaires supprimées.

================================

Le système a dû redémarrer.

Fin de Fixlog 22:45:07

Réponse 3 / 4

Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 658
26 déc. 2016 à 00:13

Voila, je ne pense pas pouvoir faire plus.

Termine par un nettoyage Malwarebytes - Tutoriel Malwarebytes Anti-Malware version gratuite

Comment se protéger des scripts malicieux sur Windows

Renforce la sécurité de ton Windows : Comment sécuriser mon Windows

Réponse 4 / 4

Zazou1e
26 déc. 2016 à 11:50

Infiniment merci frère.
Petit récapitulatif.
1) Mes fichiers sont morts, impossible de les récupérer ;
2) Mon pc est désinfecté de tout virus malicieux ;
3) Je doit maintenant reinstaller le système d'exploitation ??? En veillant à bien me protéger de ces éventuelle virus à l'avenir

Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 658
Modifié par Malekal_morte- le 26/12/2016 à 13:29

Le 3/ n'est pas nécessaire puisque 2/, à moins que tu aies des dysfonctionnements.
Là faut sécuriser ton Windows.

Discussions similaires

Problème d'extension d'application sur ps4

Comment lire les fichiers emz