Fichier crypté en .NOBU

Résolu

Voltalia Messages postés 11 Date d'inscription Statut Membre Dernière intervention -
Voltalia Messages postés 11 Date d'inscription Statut Membre Dernière intervention - 12 déc. 2020 à 08:49

Bonjour à tous,

Je viens vers vous car depuis hier mes fichiers sont tous passer en.nobu, j'ai énormément dz fenêtre pop up quand j'ouvre internet également..

J'ai directement changétout mes mots de passes ainsi que lancé une analyse complète avec malwarbyte premium et ccleaner, ils m'ont enlevés pas mal de "menaces".

J'ai ensuite télécharger smitfraudfix, que j'ai lancé en administrateur, et la impossible de lancer l'analyse (option1), des qu'elle ce lance, une 10 aines de lignes sont visible et d'un coup le logiciel ce ferme.

J'aimerai donc savoir comment faire fonctionner ce logiciel, ainsi que savoir si mon pc est toujours infecté par ce virus...

Merci d'avance à ceux qui prendront le temps de lire et m'aider !

A voir également:

Wsapphelper
Fichier bin - Guide
Fichier epub - Guide
Fichier rar - Guide
Fichier .dat - Guide
Comment réduire la taille d'un fichier - Guide

7 réponses

Réponse 1 / 7

bazfile Messages postés 58267 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 19 698

Bonjour,

Les fichiers ont été cryptés par un crypto-ransomware, actuellement il est impossible de les décrypter, met-les de côté en attendant une "éventuelle solution".

Tu peux essayer de récupérer une ancienne version de tes fichiers avec ShadowExplorer.

Voir aussi https://www.emsisoft.com/ransomware-decryption-tools/

On peut désinfecter le pc mais pour ce qui est des fichiers cryptés ils le resteront jusqu'à ce qu'une solution de décryptage soit éventuellement trouvée, il ne faut pas confondre désinfection et décryptage.

Quelques liens utiles:

L'outil de décryptage d'Emisoft et son mode d'emploi

L'Outil de decryptage de Bitdefender

https://www.bleepingcomputer.com/forums/t/712909/stop-djvu-alka-ransomware/?p=4945134

https://id-ransomware.malwarehunterteam.com/

https://www.nomoreransom.org/fr/decryption-tools.html

https://forum.malekal.com/viewtopic.php?f=98&t=57145

https://www.malekal.com/ransomware-solutions-recuperer-fichiers/.

Pour vérifier ton pc

Télécharge FRST une fois téléchargé enregistre-le sur le bureau puis ouvre-le tu auras ceci :

Puis coche la case shortcut comme ceci :

Clique sur Analyser à la fin de l'analyse tu auras trois fichiers texte sur le bureau FRST, Addition et Shortcut , attention de bien attendre que les messages disant que l'analyse est terminée s'affichent, ensuite envoie ces rapports sur https://pjjoint.malekal.com/ voir ce tutoriel paragraphe Envoyer les rapports d’analyse sur pjjoint puis donne les trois liens générés par Pjoint dans ton prochain message.

Réponse 2 / 7

Voltalia Messages postés 11 Date d'inscription Statut Membre Dernière intervention

Bonsoir,

Voici les 3 fichiers :

https://pjjoint.malekal.com/files.php?id=20201206_y15x10u6f7k9
https://pjjoint.malekal.com/files.php?id=FRST_20201206_u15k8i13t913
https://pjjoint.malekal.com/files.php?id=20201206_q814b14m10y8

J'ai l'impression de ne plus avoir aucun soucis sur mon ordi à l'heure actuelle, j'ai formater totalement mon disque :F.
J'ai par contre toujours peur de me connecter à des sites (Facebook amazon ou autre) à cause de la récupération par qqun de mes données personnels, est ce que cette crainte est fondée ?

bazfile Messages postés 58267 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 19 698

Tu as un proxy qui est activé sur ton pc est-ce toi qui l'a activé et configuré, attention de bien répondre à cette question car c'est pour savoir si je le supprime ou pas.
Pour info ton pc est infecté depuis le 05/12/2020 20h35.

Voltalia Messages postés 11 Date d'inscription Statut Membre Dernière intervention > bazfile Messages postés 58267 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention

Déjà merci de ta réponse rapide !

Je suis un peu une quiche avec tout ça.. Qu'est ce qu'un proxy exactement ?

bazfile Messages postés 58267 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 19 698 > Voltalia Messages postés 11 Date d'inscription Statut Membre Dernière intervention

Vu que tu ne sais pas ce qu'est un proxy j'en déduis que tu ne l'as pas configuré, je ne vais pas te faire une explication de ce qu'est un proxy il te suffit de faire une recherche dans Google pour trouver la réponse.
Dans le rapport on voit que KMSpico est installé évite les cracks ils sont source d'infection.

Le script qui suit supprimera le proxy et l'infection présente sur ton pc

Procédure à faire dans l'ordre indiqué :

1- Ouvre FRST
2 - Copie l'intégralité du script qui est dans l'encadré qui suit :

Start::
CreateRestorePoint:
CloseProcesses:
GroupPolicy: Restriction ? 
Policies: C:\ProgramData\NTUSER.pol: Restriction
HKLM\SOFTWARE\Policies\Google: Restriction 
Task: {52542296-C96B-42C3-8757-E91C32F87502} - System32\Tasks\clane => C:\ProgramData\ejddii\clane.exe
Task: C:\Windows\Tasks\clane.job => C:\ProgramData\ejddii\clane.exe
C:\ProgramData\ejddii\clane.exe
CHR HKLM\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk]
CHR HKLM-x32\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk]
ShortcutTarget: WSAndroidAppHelper.lnk -> C:\Program Files (x86)\Wondershare\dr.fone\Addins\SocialApps\WSAndroidAppHelper.exe (Pas de fichier)
ShortcutTarget: WSAppHelper.lnk -> C:\Program Files (x86)\Wondershare\dr.fone\Addins\SocialApps\WSAppHelper.exe (Pas de fichier)
FF Plugin: @microsoft.com/GENUINE -> disabled [Pas de fichier]
FF Plugin-x32: @microsoft.com/GENUINE -> disabled [Pas de fichier]
FF Plugin-x32: @microsoft.com/Lync,version=15.0 -> C:\Program Files (x86)\Mozilla Firefox\plugins\npmeetingjoinpluginoc.dll [Pas de fichier]
FF Plugin-x32: @microsoft.com/SharePoint,version=14.0 -> C:\Program Files (x86)\Microsoft Office\Office15\NPSPWRAP.DLL [Pas de fichier]
FF Plugin-x32: @wacom.com/wacom-plugin,version=1.1.0.10 -> C:\Program Files (x86)\TabletPlugins\npwacom.dll [Pas de fichier]
FF Plugin-x32: @wacom.com/wtPlugin,version=2.0.0.1 -> C:\Program Files (x86)\TabletPlugins\npWacomTabletPlugin.dll [Pas de fichier]
FF Plugin HKU\S-1-5-21-3398469405-2351712530-1780045661-1000: wacom.com/WacomTabletPlugin -> C:\Program Files (x86)\TabletPlugins\npWacomTabletPlugin.dll [Pas de fichier]
S2 HiPatchService; F:\Program Files (x86)\Hi-Rez Studios\HiPatchService.exe [X]
S3 BstkDrv; \??\C:\Program Files (x86)\BlueStacks\BstkDrv.sys [X]
S3 MSICDSetup; \??\D:\CDriver64.sys [X]
S3 NTIOLib_1_0_C; \??\D:\NTIOLib_X64.sys [X]
S3 xhunter1; \??\C:\Windows\xhunter1.sys [X]
cmd: ipconfig /flushdns
RemoveProxy:
EmptyTemp:
End::

3- Une fois le script copié clique sur Corriger.

Laisse la correction se faire une fois qu'elle est terminée il te sera demandé de redémarrer ton pc, fait-le dès que cela te sera demandé, voir ci-dessous.

Puis une fois ton ordinateur redémarré :
4- Tu auras un fichier Fixlog sur ton bureau envoie le via https://pjjoint.malekal.com/ puis met le lien généré par Pjoint dans ton prochain message.

.

Réponse 3 / 7

Voltalia Messages postés 11 Date d'inscription Statut Membre Dernière intervention

Bonjour,

La manip est faite voilà le lien du fixlog :

https://pjjoint.malekal.com/files.php?id=20201207_v8c6u7e6k13

Merci encore !

bazfile Messages postés 58267 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 19 698

Tout est OK ton pc est propre, vu l'infection qui était présente sur ton pc je te conseille vivement de changer tous tes mots de passe en ligne (email, login de site, réseau sociaux etc etc....).

Un énorme merci à toi pour ton aide !

Bonne journée à toi

Bonne journée à toi aussi.

Réponse 4 / 7

Voltalia Messages postés 11 Date d'inscription Statut Membre Dernière intervention

Re bonjour,

Mon pc fonctionne désormais normalement, cependant j'ai encore ce message qui apparaît après chaque démarrage du pc,

J'aimerai savoir s'il s'agit d'un reste du virus et comment l'enlever ?

bazfile Messages postés 58267 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 19 698

Fait une nouvelle analyse frst

Réponse 5 / 7

Voltalia Messages postés 11 Date d'inscription Statut Membre Dernière intervention

Voici les résultats de la seconde analyse :

https://pjjoint.malekal.com/files.php?id=FRST_20201209_x14d7t9s7i12
https://pjjoint.malekal.com/files.php?id=20201209_g5z12m15z9d5
https://pjjoint.malekal.com/files.php?id=20201209_b12r15r12b15b13

Merci d'avance !

bazfile Messages postés 58267 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 19 698

C'est le logiciel dr.fone que tu as désinstallé et qui est mal désinstallé :

Procédure à faire dans l'ordre indiqué :

1- Ouvre FRST
2 - Copie l'intégralité du script qui est dans l'encadré qui suit :

Start::
CreateRestorePoint:
CloseProcesses:
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\WSAndroidAppHelper.lnk [2019-12-29]
ShortcutTarget: WSAndroidAppHelper.lnk -> C:\Program Files (x86)\Wondershare\dr.fone\Addins\SocialApps\WSAndroidAppHelper.exe (Pas de fichier)
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\WSAppHelper.lnk [2019-12-29]
ShortcutTarget: WSAppHelper.lnk -> C:\Program Files (x86)\Wondershare\dr.fone\Addins\SocialApps\WSAppHelper.exe (Pas de fichier)
Policies: C:\ProgramData\NTUSER.pol: Restriction
R2 WsAppService3; C:\Program Files (x86)\Wondershare\WAF3\3.0.0.308\WsAppService3.exe [83232 2019-07-09] (Wondershare Technology Co.,Ltd -> Wondershare)
R2 WsDrvInst; C:\Program Files (x86)\Wondershare\dr.fone\Library\DriverInstaller\DriverInstall.exe [130336 2019-10-30] (Wondershare Technology Co.,Ltd -> Wondershare)
C:\Program Files (x86)\Wondershare
EmptyTemp:
End::

3- Une fois le script copié clique sur Corriger.

Laisse la correction se faire une fois qu'elle est terminée il te sera demandé de redémarrer ton pc, fait-le dès que cela te sera demandé, voir ci-dessous.

Puis une fois ton ordinateur redémarré :
4- Tu auras un fichier Fixlog sur ton bureau envoie le via https://pjjoint.malekal.com/ puis met le lien généré par Pjoint dans ton prochain message.

5- VÉRIFIE ET DIS-MOI SI TON PROBLÈME EST TOUJOURS PRÉSENT

Réponse 6 / 7

Voltalia Messages postés 11 Date d'inscription Statut Membre Dernière intervention

Voilà le lien après manip :

https://pjjoint.malekal.com/files.php?id=20201209_v11l10m8o12t11

J'ai toujours le message qui pop après quelques minutes lors du démarrage du PC..

bazfile Messages postés 58267 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 19 698

Si ça vient après un certain temps cela peut venir d'une tâche planifiée obsolète ou d'un logiciel mal désinstallé ou d'une clé de registre obsolète, car il y a pas mal de restes comme par exemple des restes d'Avast, tu as CCleaner sur ton pc tu peux éventuellement faire un nettoyage du registre avec CCleaner.
Pas d'autre idée car sur le rapport FRST il n'y a rien d'autre.

Discussions similaires

[Manga] Nana va se remettre avec nobu ??

NANA chap 85

fichier gpx qui s'ouvre en PDF

Extensions modifiées

problème importation sklearn : OSError: [WinError 126]

INCREMENTER UN NOM DE FICHIER EN BATCH

Les fichiers ont été cryptés par un crypto-ransomware, actuellement il est impossible de les décrypter, met-les de côté en attendant une "éventuelle solution".

Tu peux essayer de récupérer une ancienne version de tes fichiers avec ShadowExplorer.

Voir aussi https://www.emsisoft.com/ransomware-decryption-tools/

Quelques liens utiles:

Pour vérifier ton pc

Le script qui suit supprimera le proxy et l'infection présente sur ton pc

5- VÉRIFIE ET DIS-MOI SI TON PROBLÈME EST TOUJOURS PRÉSENT

Votre réponse

Discussions similaires