CERBER RANSOMWARE extension .pp9d

Résolu
Zazou1e Messages postés 22 Statut Membre -  
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   -
Bonjour la communauté.
Je suis victime d'une attaque pirate. En effet, après avoir telecharger un film, tout mes fichiers, musiques, vidéos, images, documents, tout tout absolument tout mes fichiers ont été crypter (ils sont tous passez en extension .pp9d). Du coup, impossible de les lire. Et quant j'ouvre ces fichiers il apparaît une page disant que je doit payer une rançon de 500$ avant 1 semaine pour retrouver l'usage de mes fichiers.
J'ai chercher sur la toile Internet des solutions, j'en ai trouver certaines mais qui sont seulement applicables à d'autres extension du virus (.ba99, .98a0, .a37b, .a563). Mais absolument rien sur l, extension dont je suis victime (.pp9d).
Certains on proposer comme solution de restaurer le système, je l'ai fait mais zéro.
Certains on proposer des logicielles, je les aient tous telecharger mais toujours rien.
Aidez moi s'il vous plaît.
Que dois je faire ?????
Cordialement

4 réponses

  1.
    Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    Salut,

    Windows a été infecté par un ransomware / rançongiciel chiffreur de fichiers. Ces rançongiciels s'attrapent essentiellement par l'ouverture d'une pièce jointe malicieuse dans un e-mail ou par la visite d'une page internet piégée par des exploits WEB.

    Tu peux tout de même tenter les version précédentes avec Shadow Explorer

    A l'heure actuelle, il n'y a pas vraiment de méthode pour récupérer les documents chiffrés. Si les données sont très importantes, les stocker temporairement à l'abri car peut-être qu'il y aura dans le futur une solution pour les récupérer.

    Il faut d'abord vérifier qu'aucune menace ne soit encore active.
    Par précaution, pense aussi à changer tous tes mots de passe.

    1°) FRST
    Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

    Télécharge et lance le scan FRST, 3 rapports FRST seront générés :
    • FRST.txt
    • Shortcut.txt
    • Additionnal.txt


    Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

    0
    1. Zazou1e Messages postés 22 Statut Membre
       
      Merci bien Malekal
      Je suis vraiment peiner que je ne puisse plus retrouver mes fichiers.
      L'ultime solution est donc la reinistialisation de mon système d'exploitation.
      Je ferais ce que vous avez dit concernant le tutoriel FRST.
      Merci bien
      0
    2. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712 > Zazou1e Messages postés 22 Statut Membre
       
      Tente shadow explorer tout de même.
      Apparemment les dernières variantes ne suppriment pas les shadow copies.
      0
    3. Zazou1e Messages postés 22 Statut Membre > Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention  
       
      Je ne comprend pas trop l'utilité du shadow explorer au faite. Il me permet de restaurer mes fichier normalement, mais je ne peut tout de même pas les lires
      0
    4. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712 > Zazou1e Messages postés 22 Statut Membre
       
      Surement que tu restaures des fichiers déjà chiffrés par le ransomware.
      Tu peux remonter dans le temps, selon les clichés disponibles en haut à gauche.
      Vois si tu as une date disponible avant l'infection.
      Si c'est pas le cas, c'est mort.
      0
    5. Zazou1e Messages postés 22 Statut Membre > Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention  
       
      Lol alors la....
      Je pense que c'est mort. Puisque il y a 2 dates qui affiche effectivement en haut à gauche. Et ces des dates d'avant l'infection. Mais quelque sois là date que je choisi, ces toujours illisible. Je me dit que ces peu être mes logicielles de lectures qui sont affecter par le virus, raisons pour laquelle il ne peuvent pas lire ???
      Qu'en pense tu ?
      0
  2. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    Pas de trojan.
    Tu as un keylogger et des restes d'adwares,

    Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

    Ouvre le bloc-notes : Touche Windows + R,
    Dans le champs "Exécuter", saisir notepad et OK.
    Copie/Colle dedans ce qui suit : 

    CreateRestorePoint:
    CloseProcesses:
    CreateRestorePoint:
    Task: {54FDC42C-1F25-49E2-A6E9-2F91287814C7} - System32\Tasks\YTAUpdate => C:\PROGRA~2\YOUTUB~1\Updater.exe <==== ATTENTION
    Task: {61AA671D-CCEB-4AF0-AF2D-1752532C87D1} - System32\Tasks\VPNium => C:\Users\Christ\AppData\Local\Temp\Rar$EXa0.897\VPnium\vpnium.exe <==== ATTENTION
    Task: {7C2B0F59-63C0-4C2B-9EC4-D28AAE99EE8B} - System32\Tasks\EffectiveNap => c:\programdata\{1c435400-9bb7-a96a-1c43-354009bb5002}\generateur cle w8 w8.1 2013.exe <==== ATTENTION
    Task: {ABF08465-3EDA-40BE-AC4B-50FF8A70C4B2} - System32\Tasks\Microsoft\Windows\RVLKL\RVLKL => C:\ProgramData\rvlkl\rvlkl.exe <==== ATTENTION
    Task: C:\Windows\Tasks\EffectiveNap.job => c:\programdata\{1c435400-9bb7-a96a-1c43-354009bb5002}\generateur cle w8 w8.1 2013.exe <==== ATTENTION
    2016-12-22 10:43 - 2016-05-21 17:12 - 00000000 ____D C:\ProgramData\rvlkl  
     2016-12-22 08:52 - 2016-09-06 12:35 - 00000000 ____D C:\Program Files (x86)\OLBPre  
    Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\rvlkl.lnk [2016-05-21]  
     ShortcutTarget: rvlkl.lnk -> C:\ProgramData\rvlkl\rvlkl.exe (Pas de fichier)  
     HKLM-x32\...\Run: [PD-Proxy] => C:\Users\KONAN_C\AppData\Local\Temp\Rar.088\PD-Proxy_2.2.0\PD-Launcher.exe <===== ATTENTION  
     SearchScopes: HKU\S-1-5-21-2178750781-228122678-151732202-1003 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL =   
     BHO: iWebar -> {11111111-1111-1111-1111-110611511123} -> C:\Program Files (x86)\iWebar\iWebar-bho64.dll => Pas de fichier  
     BHO: App Lid -> {11111111-1111-1111-1111-110611571143} -> C:\Program Files (x86)\App Lid\App Lid-bho64.dll => Pas de fichier 
     BHO: SensePlus -> {11111111-1111-1111-1111-110611901159} -> C:\Program Files (x86)\SensePlus\SensePlus-bho64.dll => Pas de fichier  
     BHO: CinemaP-1.9cV20.01 -> {11111111-1111-1111-1111-110611901165} -> C:\Program Files (x86)\CinemaP-1.9cV20.01\CinemaP-1.9cV20.01-bho64.dll => Pas de fichier 
     BHO: UniDeaulsa -> {63a79800-0128-46ea-9547-d94fd008a815} -> C:\Program Files (x86)\UniDeaulsa\eu3S1RxKmn2kIh.x64.dll => Pas de fichier 
     BHO: Pas de nom -> {95B7759C-8C7F-4BF1-B163-73684A933233} -> Pas de fichier  
     BHO: PaRiceMinus -> {D6521221-ACEC-4C20-8AAA-A6009D1E7DB7} -> C:\Program Files (x86)\PaRiceMinus\o72FLyAvIfrepB.x64.dll => Pas de fichier 
      Hosts:
    EmptyTemp:
    RemoveProxy:


    Une fois, le texte collé dans le Bloc-notes,
    Menu "Fichier" puis "Enregistrer sous",

    A gauche, place toi sur le Bureau,

    Dans le champs en bas, nom du fichier mets : fixlist.txt
    Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

    Relance FRST et clique sur le bouton "Corriger / Fix"
    Un redémarrage sera peut-être nécessaire ( pas obligatoire )
    Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

    Redémarre l'ordinateur.
    0
    1. Zazou1e
       
      Merci Malekal pour l'aide precieuse que tu m'apporte. Voici la correction comme demander.


      Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 21-12-2016
      Exécuté par Christ (25-12-2016 22:40:25) Run:1
      Exécuté depuis C:\Users\Christ\Desktop
      Profils chargés: Christ (Profils disponibles: Christ)
      Mode d'amorçage: Normal
      ==============================================

      fixlist contenu:

      CreateRestorePoint:
      CloseProcesses:
      CreateRestorePoint:
      Task: {54FDC42C-1F25-49E2-A6E9-2F91287814C7} - System32\Tasks\YTAUpdate => C:\PROGRA~2\YOUTUB~1\Updater.exe <==== ATTENTION
      Task: {61AA671D-CCEB-4AF0-AF2D-1752532C87D1} - System32\Tasks\VPNium => C:\Users\Christ\AppData\Local\Temp\Rar$EXa0.897\VPnium\vpnium.exe <==== ATTENTION
      Task: {7C2B0F59-63C0-4C2B-9EC4-D28AAE99EE8B} - System32\Tasks\EffectiveNap => c:\programdata\{1c435400-9bb7-a96a-1c43-354009bb5002}\generateur cle w8 w8.1 2013.exe <==== ATTENTION
      Task: {ABF08465-3EDA-40BE-AC4B-50FF8A70C4B2} - System32\Tasks\Microsoft\Windows\RVLKL\RVLKL => C:\ProgramData\rvlkl\rvlkl.exe <==== ATTENTION
      Task: C:\Windows\Tasks\EffectiveNap.job => c:\programdata\{1c435400-9bb7-a96a-1c43-354009bb5002}\generateur cle w8 w8.1 2013.exe <==== ATTENTION
      2016-12-22 10:43 - 2016-05-21 17:12 - 00000000 ____D C:\ProgramData\rvlkl
      2016-12-22 08:52 - 2016-09-06 12:35 - 00000000 ____D C:\Program Files (x86)\OLBPre
      Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\rvlkl.lnk [2016-05-21]
      ShortcutTarget: rvlkl.lnk -> C:\ProgramData\rvlkl\rvlkl.exe (Pas de fichier)
      HKLM-x32\...\Run: [PD-Proxy] => C:\Users\KONAN_C\AppData\Local\Temp\Rar.088\PD-Proxy_2.2.0\PD-Launcher.exe <===== ATTENTION
      SearchScopes: HKU\S-1-5-21-2178750781-228122678-151732202-1003 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL =
      BHO: iWebar -> {11111111-1111-1111-1111-110611511123} -> C:\Program Files (x86)\iWebar\iWebar-bho64.dll => Pas de fichier
      BHO: App Lid -> {11111111-1111-1111-1111-110611571143} -> C:\Program Files (x86)\App Lid\App Lid-bho64.dll => Pas de fichier
      BHO: SensePlus -> {11111111-1111-1111-1111-110611901159} -> C:\Program Files (x86)\SensePlus\SensePlus-bho64.dll => Pas de fichier
      BHO: CinemaP-1.9cV20.01 -> {11111111-1111-1111-1111-110611901165} -> C:\Program Files (x86)\CinemaP-1.9cV20.01\CinemaP-1.9cV20.01-bho64.dll => Pas de fichier
      BHO: UniDeaulsa -> {63a79800-0128-46ea-9547-d94fd008a815} -> C:\Program Files (x86)\UniDeaulsa\eu3S1RxKmn2kIh.x64.dll => Pas de fichier
      BHO: Pas de nom -> {95B7759C-8C7F-4BF1-B163-73684A933233} -> Pas de fichier
      BHO: PaRiceMinus -> {D6521221-ACEC-4C20-8AAA-A6009D1E7DB7} -> C:\Program Files (x86)\PaRiceMinus\o72FLyAvIfrepB.x64.dll => Pas de fichier
      Hosts:
      EmptyTemp:
      RemoveProxy:


      Le Point de restauration a été créé avec succès.
      Processus fermé avec succès.
      Le Point de restauration a été créé avec succès.
      "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{54FDC42C-1F25-49E2-A6E9-2F91287814C7}" => clé supprimé(es) avec succès
      "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{54FDC42C-1F25-49E2-A6E9-2F91287814C7}" => clé supprimé(es) avec succès
      C:\Windows\System32\Tasks\YTAUpdate => déplacé(es) avec succès
      "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\YTAUpdate" => clé supprimé(es) avec succès
      "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{61AA671D-CCEB-4AF0-AF2D-1752532C87D1}" => clé supprimé(es) avec succès
      "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{61AA671D-CCEB-4AF0-AF2D-1752532C87D1}" => clé supprimé(es) avec succès
      C:\Windows\System32\Tasks\VPNium => déplacé(es) avec succès
      "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\VPNium" => clé supprimé(es) avec succès
      "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{7C2B0F59-63C0-4C2B-9EC4-D28AAE99EE8B}" => clé supprimé(es) avec succès
      "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{7C2B0F59-63C0-4C2B-9EC4-D28AAE99EE8B}" => clé supprimé(es) avec succès
      C:\Windows\System32\Tasks\EffectiveNap => déplacé(es) avec succès
      "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\EffectiveNap" => clé supprimé(es) avec succès
      "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{ABF08465-3EDA-40BE-AC4B-50FF8A70C4B2}" => clé supprimé(es) avec succès
      "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{ABF08465-3EDA-40BE-AC4B-50FF8A70C4B2}" => clé supprimé(es) avec succès
      C:\Windows\System32\Tasks\Microsoft\Windows\RVLKL\RVLKL => déplacé(es) avec succès
      "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\RVLKL\RVLKL" => clé supprimé(es) avec succès
      C:\Windows\Tasks\EffectiveNap.job => déplacé(es) avec succès
      C:\ProgramData\rvlkl => déplacé(es) avec succès
      C:\Program Files (x86)\OLBPre => déplacé(es) avec succès
      C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\rvlkl.lnk => déplacé(es) avec succès
      C:\ProgramData\rvlkl\rvlkl.exe => non trouvé(e).
      HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\\PD-Proxy => valeur supprimé(es) avec succès
      HKU\S-1-5-21-2178750781-228122678-151732202-1003\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope => valeur supprimé(es) avec succès
      "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{11111111-1111-1111-1111-110611511123}" => clé supprimé(es) avec succès
      "HKCR\CLSID\{11111111-1111-1111-1111-110611511123}" => clé supprimé(es) avec succès
      "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{11111111-1111-1111-1111-110611571143}" => clé supprimé(es) avec succès
      "HKCR\CLSID\{11111111-1111-1111-1111-110611571143}" => clé supprimé(es) avec succès
      "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{11111111-1111-1111-1111-110611901159}" => clé supprimé(es) avec succès
      "HKCR\CLSID\{11111111-1111-1111-1111-110611901159}" => clé supprimé(es) avec succès
      "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{11111111-1111-1111-1111-110611901165}" => clé supprimé(es) avec succès
      "HKCR\CLSID\{11111111-1111-1111-1111-110611901165}" => clé supprimé(es) avec succès
      "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{63a79800-0128-46ea-9547-d94fd008a815}" => clé supprimé(es) avec succès
      "HKCR\CLSID\{63a79800-0128-46ea-9547-d94fd008a815}" => clé supprimé(es) avec succès
      "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{95B7759C-8C7F-4BF1-B163-73684A933233}" => clé supprimé(es) avec succès
      HKCR\CLSID\{95B7759C-8C7F-4BF1-B163-73684A933233} => clé non trouvé(e).
      "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D6521221-ACEC-4C20-8AAA-A6009D1E7DB7}" => clé supprimé(es) avec succès
      "HKCR\CLSID\{D6521221-ACEC-4C20-8AAA-A6009D1E7DB7}" => clé supprimé(es) avec succès
      Hosts restauré(es) avec succès.

      ========= RemoveProxy: =========

      HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
      HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
      HKU\S-1-5-21-2178750781-228122678-151732202-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
      HKU\S-1-5-21-2178750781-228122678-151732202-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès


      ========= Fin de RemoveProxy: =========


      =========== EmptyTemp: ==========

      BITS transfer queue => 8388608 B
      DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 23424005 B
      Java, Flash, Steam htmlcache => 3128 B
      Windows/system/drivers => 3646342 B
      Edge => 0 B
      Chrome => 45797124 B
      Firefox => 211218277 B
      Opera => 28994636 B

      Temp, IE cache, history, cookies, recent:
      Default => 0 B
      Users => 0 B
      ProgramData => 0 B
      Public => 0 B
      systemprofile => 5309966 B
      systemprofile32 => 660 B
      LocalService => 3194 B
      NetworkService => 0 B
      Christ => 234112661 B

      RecycleBin => 824589 B
      EmptyTemp: => 535.7 MB données temporaires supprimées.

      ================================


      Le système a dû redémarrer.

      Fin de Fixlog 22:45:07

      0
  4. Zazou1e
     
    Infiniment merci frère.
    Petit récapitulatif.
    1) Mes fichiers sont morts, impossible de les récupérer ;
    2) Mon pc est désinfecté de tout virus malicieux ;
    3) Je doit maintenant reinstaller le système d'exploitation ??? En veillant à bien me protéger de ces éventuelle virus à l'avenir
    0
    1. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
       
      Le 3/ n'est pas nécessaire puisque 2/, à moins que tu aies des dysfonctionnements.
      Là faut sécuriser ton Windows.
      0

Discussions similaires

Extension de fichier powerpoint
Ginger67 -
Ginger67 -

5 réponses