CERBER RANSOMWARE extension .pp9d [Résolu/Fermé]

Signaler
Messages postés
14
Date d'inscription
vendredi 12 décembre 2014
Statut
Membre
Dernière intervention
12 juin 2021
-
Messages postés
180265
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
26 mars 2021
-
Bonjour la communauté.
Je suis victime d'une attaque pirate. En effet, après avoir telecharger un film, tout mes fichiers, musiques, vidéos, images, documents, tout tout absolument tout mes fichiers ont été crypter (ils sont tous passez en extension .pp9d). Du coup, impossible de les lire. Et quant j'ouvre ces fichiers il apparaît une page disant que je doit payer une rançon de 500$ avant 1 semaine pour retrouver l'usage de mes fichiers.
J'ai chercher sur la toile Internet des solutions, j'en ai trouver certaines mais qui sont seulement applicables à d'autres extension du virus (.ba99, .98a0, .a37b, .a563). Mais absolument rien sur l, extension dont je suis victime (.pp9d).
Certains on proposer comme solution de restaurer le système, je l'ai fait mais zéro.
Certains on proposer des logicielles, je les aient tous telecharger mais toujours rien.
Aidez moi s'il vous plaît.
Que dois je faire ?????
Cordialement

4 réponses

Messages postés
180265
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
26 mars 2021
23 730
Salut,

Windows a été infecté par un ransomware / rançongiciel chiffreur de fichiers. Ces rançongiciels s'attrapent essentiellement par l'ouverture d'une pièce jointe malicieuse dans un e-mail ou par la visite d'une page internet piégée par des exploits WEB.

Tu peux tout de même tenter les version précédentes avec Shadow Explorer

A l'heure actuelle, il n'y a pas vraiment de méthode pour récupérer les documents chiffrés. Si les données sont très importantes, les stocker temporairement à l'abri car peut-être qu'il y aura dans le futur une solution pour les récupérer.

Il faut d'abord vérifier qu'aucune menace ne soit encore active.
Par précaution, pense aussi à changer tous tes mots de passe.

1°) FRST
Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST, 3 rapports FRST seront générés :
  • FRST.txt
  • Shortcut.txt
  • Additionnal.txt


Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

Messages postés
180265
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
26 mars 2021
23 730 >
Messages postés
14
Date d'inscription
vendredi 12 décembre 2014
Statut
Membre
Dernière intervention
12 juin 2021

Surement que tu restaures des fichiers déjà chiffrés par le ransomware.
Tu peux remonter dans le temps, selon les clichés disponibles en haut à gauche.
Vois si tu as une date disponible avant l'infection.
Si c'est pas le cas, c'est mort.
Messages postés
14
Date d'inscription
vendredi 12 décembre 2014
Statut
Membre
Dernière intervention
12 juin 2021
>
Messages postés
180265
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
26 mars 2021

Lol alors la....
Je pense que c'est mort. Puisque il y a 2 dates qui affiche effectivement en haut à gauche. Et ces des dates d'avant l'infection. Mais quelque sois là date que je choisi, ces toujours illisible. Je me dit que ces peu être mes logicielles de lectures qui sont affecter par le virus, raisons pour laquelle il ne peuvent pas lire ???
Qu'en pense tu ?
Messages postés
180265
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
26 mars 2021
23 730 >
Messages postés
14
Date d'inscription
vendredi 12 décembre 2014
Statut
Membre
Dernière intervention
12 juin 2021

ok c'est effectivement mort.
Fais l'analyse FRST pour s'assurer que l'ordinateur n'est plus infecté.
Messages postés
14
Date d'inscription
vendredi 12 décembre 2014
Statut
Membre
Dernière intervention
12 juin 2021
>
Messages postés
180265
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
26 mars 2021

OK je t'envois les liens des rapports dans mon prochains messages tout de suite
Messages postés
14
Date d'inscription
vendredi 12 décembre 2014
Statut
Membre
Dernière intervention
12 juin 2021
>
Messages postés
180265
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
26 mars 2021

Messages postés
180265
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
26 mars 2021
23 730
Pas de trojan.
Tu as un keylogger et des restes d'adwares,


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

CreateRestorePoint:
CloseProcesses:
CreateRestorePoint:
Task: {54FDC42C-1F25-49E2-A6E9-2F91287814C7} - System32\Tasks\YTAUpdate => C:\PROGRA~2\YOUTUB~1\Updater.exe <==== ATTENTION
Task: {61AA671D-CCEB-4AF0-AF2D-1752532C87D1} - System32\Tasks\VPNium => C:\Users\Christ\AppData\Local\Temp\Rar$EXa0.897\VPnium\vpnium.exe <==== ATTENTION
Task: {7C2B0F59-63C0-4C2B-9EC4-D28AAE99EE8B} - System32\Tasks\EffectiveNap => c:\programdata\{1c435400-9bb7-a96a-1c43-354009bb5002}\generateur cle w8 w8.1 2013.exe <==== ATTENTION
Task: {ABF08465-3EDA-40BE-AC4B-50FF8A70C4B2} - System32\Tasks\Microsoft\Windows\RVLKL\RVLKL => C:\ProgramData\rvlkl\rvlkl.exe <==== ATTENTION
Task: C:\Windows\Tasks\EffectiveNap.job => c:\programdata\{1c435400-9bb7-a96a-1c43-354009bb5002}\generateur cle w8 w8.1 2013.exe <==== ATTENTION
2016-12-22 10:43 - 2016-05-21 17:12 - 00000000 ____D C:\ProgramData\rvlkl
2016-12-22 08:52 - 2016-09-06 12:35 - 00000000 ____D C:\Program Files (x86)\OLBPre
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\rvlkl.lnk [2016-05-21]
ShortcutTarget: rvlkl.lnk -> C:\ProgramData\rvlkl\rvlkl.exe (Pas de fichier)
HKLM-x32\...\Run: [PD-Proxy] => C:\Users\KONAN_C\AppData\Local\Temp\Rar.088\PD-Proxy_2.2.0\PD-Launcher.exe <===== ATTENTION
SearchScopes: HKU\S-1-5-21-2178750781-228122678-151732202-1003 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL =
BHO: iWebar -> {11111111-1111-1111-1111-110611511123} -> C:\Program Files (x86)\iWebar\iWebar-bho64.dll => Pas de fichier
BHO: App Lid -> {11111111-1111-1111-1111-110611571143} -> C:\Program Files (x86)\App Lid\App Lid-bho64.dll => Pas de fichier
BHO: SensePlus -> {11111111-1111-1111-1111-110611901159} -> C:\Program Files (x86)\SensePlus\SensePlus-bho64.dll => Pas de fichier
BHO: CinemaP-1.9cV20.01 -> {11111111-1111-1111-1111-110611901165} -> C:\Program Files (x86)\CinemaP-1.9cV20.01\CinemaP-1.9cV20.01-bho64.dll => Pas de fichier
BHO: UniDeaulsa -> {63a79800-0128-46ea-9547-d94fd008a815} -> C:\Program Files (x86)\UniDeaulsa\eu3S1RxKmn2kIh.x64.dll => Pas de fichier
BHO: Pas de nom -> {95B7759C-8C7F-4BF1-B163-73684A933233} -> Pas de fichier
BHO: PaRiceMinus -> {D6521221-ACEC-4C20-8AAA-A6009D1E7DB7} -> C:\Program Files (x86)\PaRiceMinus\o72FLyAvIfrepB.x64.dll => Pas de fichier
Hosts:
EmptyTemp:
RemoveProxy:


Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",

A gauche, place toi sur le Bureau,

Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.


Redémarre l'ordinateur.
Merci Malekal pour l'aide precieuse que tu m'apporte. Voici la correction comme demander.


Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 21-12-2016
Exécuté par Christ (25-12-2016 22:40:25) Run:1
Exécuté depuis C:\Users\Christ\Desktop
Profils chargés: Christ (Profils disponibles: Christ)
Mode d'amorçage: Normal
==============================================

fixlist contenu:

CreateRestorePoint:
CloseProcesses:
CreateRestorePoint:
Task: {54FDC42C-1F25-49E2-A6E9-2F91287814C7} - System32\Tasks\YTAUpdate => C:\PROGRA~2\YOUTUB~1\Updater.exe <==== ATTENTION
Task: {61AA671D-CCEB-4AF0-AF2D-1752532C87D1} - System32\Tasks\VPNium => C:\Users\Christ\AppData\Local\Temp\Rar$EXa0.897\VPnium\vpnium.exe <==== ATTENTION
Task: {7C2B0F59-63C0-4C2B-9EC4-D28AAE99EE8B} - System32\Tasks\EffectiveNap => c:\programdata\{1c435400-9bb7-a96a-1c43-354009bb5002}\generateur cle w8 w8.1 2013.exe <==== ATTENTION
Task: {ABF08465-3EDA-40BE-AC4B-50FF8A70C4B2} - System32\Tasks\Microsoft\Windows\RVLKL\RVLKL => C:\ProgramData\rvlkl\rvlkl.exe <==== ATTENTION
Task: C:\Windows\Tasks\EffectiveNap.job => c:\programdata\{1c435400-9bb7-a96a-1c43-354009bb5002}\generateur cle w8 w8.1 2013.exe <==== ATTENTION
2016-12-22 10:43 - 2016-05-21 17:12 - 00000000 ____D C:\ProgramData\rvlkl
2016-12-22 08:52 - 2016-09-06 12:35 - 00000000 ____D C:\Program Files (x86)\OLBPre
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\rvlkl.lnk [2016-05-21]
ShortcutTarget: rvlkl.lnk -> C:\ProgramData\rvlkl\rvlkl.exe (Pas de fichier)
HKLM-x32\...\Run: [PD-Proxy] => C:\Users\KONAN_C\AppData\Local\Temp\Rar.088\PD-Proxy_2.2.0\PD-Launcher.exe <===== ATTENTION
SearchScopes: HKU\S-1-5-21-2178750781-228122678-151732202-1003 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL =
BHO: iWebar -> {11111111-1111-1111-1111-110611511123} -> C:\Program Files (x86)\iWebar\iWebar-bho64.dll => Pas de fichier
BHO: App Lid -> {11111111-1111-1111-1111-110611571143} -> C:\Program Files (x86)\App Lid\App Lid-bho64.dll => Pas de fichier
BHO: SensePlus -> {11111111-1111-1111-1111-110611901159} -> C:\Program Files (x86)\SensePlus\SensePlus-bho64.dll => Pas de fichier
BHO: CinemaP-1.9cV20.01 -> {11111111-1111-1111-1111-110611901165} -> C:\Program Files (x86)\CinemaP-1.9cV20.01\CinemaP-1.9cV20.01-bho64.dll => Pas de fichier
BHO: UniDeaulsa -> {63a79800-0128-46ea-9547-d94fd008a815} -> C:\Program Files (x86)\UniDeaulsa\eu3S1RxKmn2kIh.x64.dll => Pas de fichier
BHO: Pas de nom -> {95B7759C-8C7F-4BF1-B163-73684A933233} -> Pas de fichier
BHO: PaRiceMinus -> {D6521221-ACEC-4C20-8AAA-A6009D1E7DB7} -> C:\Program Files (x86)\PaRiceMinus\o72FLyAvIfrepB.x64.dll => Pas de fichier
Hosts:
EmptyTemp:
RemoveProxy:


Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
Le Point de restauration a été créé avec succès.
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{54FDC42C-1F25-49E2-A6E9-2F91287814C7}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{54FDC42C-1F25-49E2-A6E9-2F91287814C7}" => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\YTAUpdate => déplacé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\YTAUpdate" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{61AA671D-CCEB-4AF0-AF2D-1752532C87D1}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{61AA671D-CCEB-4AF0-AF2D-1752532C87D1}" => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\VPNium => déplacé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\VPNium" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{7C2B0F59-63C0-4C2B-9EC4-D28AAE99EE8B}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{7C2B0F59-63C0-4C2B-9EC4-D28AAE99EE8B}" => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\EffectiveNap => déplacé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\EffectiveNap" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{ABF08465-3EDA-40BE-AC4B-50FF8A70C4B2}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{ABF08465-3EDA-40BE-AC4B-50FF8A70C4B2}" => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\Microsoft\Windows\RVLKL\RVLKL => déplacé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\RVLKL\RVLKL" => clé supprimé(es) avec succès
C:\Windows\Tasks\EffectiveNap.job => déplacé(es) avec succès
C:\ProgramData\rvlkl => déplacé(es) avec succès
C:\Program Files (x86)\OLBPre => déplacé(es) avec succès
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\rvlkl.lnk => déplacé(es) avec succès
C:\ProgramData\rvlkl\rvlkl.exe => non trouvé(e).
HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\\PD-Proxy => valeur supprimé(es) avec succès
HKU\S-1-5-21-2178750781-228122678-151732202-1003\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope => valeur supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{11111111-1111-1111-1111-110611511123}" => clé supprimé(es) avec succès
"HKCR\CLSID\{11111111-1111-1111-1111-110611511123}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{11111111-1111-1111-1111-110611571143}" => clé supprimé(es) avec succès
"HKCR\CLSID\{11111111-1111-1111-1111-110611571143}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{11111111-1111-1111-1111-110611901159}" => clé supprimé(es) avec succès
"HKCR\CLSID\{11111111-1111-1111-1111-110611901159}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{11111111-1111-1111-1111-110611901165}" => clé supprimé(es) avec succès
"HKCR\CLSID\{11111111-1111-1111-1111-110611901165}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{63a79800-0128-46ea-9547-d94fd008a815}" => clé supprimé(es) avec succès
"HKCR\CLSID\{63a79800-0128-46ea-9547-d94fd008a815}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{95B7759C-8C7F-4BF1-B163-73684A933233}" => clé supprimé(es) avec succès
HKCR\CLSID\{95B7759C-8C7F-4BF1-B163-73684A933233} => clé non trouvé(e).
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D6521221-ACEC-4C20-8AAA-A6009D1E7DB7}" => clé supprimé(es) avec succès
"HKCR\CLSID\{D6521221-ACEC-4C20-8AAA-A6009D1E7DB7}" => clé supprimé(es) avec succès
Hosts restauré(es) avec succès.

========= RemoveProxy: =========

HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-2178750781-228122678-151732202-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-2178750781-228122678-151732202-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

BITS transfer queue => 8388608 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 23424005 B
Java, Flash, Steam htmlcache => 3128 B
Windows/system/drivers => 3646342 B
Edge => 0 B
Chrome => 45797124 B
Firefox => 211218277 B
Opera => 28994636 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Users => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 5309966 B
systemprofile32 => 660 B
LocalService => 3194 B
NetworkService => 0 B
Christ => 234112661 B

RecycleBin => 824589 B
EmptyTemp: => 535.7 MB données temporaires supprimées.

================================


Le système a dû redémarrer.

Fin de Fixlog 22:45:07

Messages postés
180265
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
26 mars 2021
23 730
Voila, je ne pense pas pouvoir faire plus.



Termine par un nettoyage Malwarebytes - Tutoriel Malwarebytes Anti-Malware version gratuite


Comment se protéger des scripts malicieux sur Windows

Renforce la sécurité de ton Windows : Comment sécuriser mon Windows


Infiniment merci frère.
Petit récapitulatif.
1) Mes fichiers sont morts, impossible de les récupérer ;
2) Mon pc est désinfecté de tout virus malicieux ;
3) Je doit maintenant reinstaller le système d'exploitation ??? En veillant à bien me protéger de ces éventuelle virus à l'avenir
Messages postés
180265
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
26 mars 2021
23 730
Le 3/ n'est pas nécessaire puisque 2/, à moins que tu aies des dysfonctionnements.
Là faut sécuriser ton Windows.