Ransomwares
buckhulk -  
Bonjour,

quelques nouvelles sur certains ransomwares :

Petya
et :
Jigsaw

^^

Les questions montrent l'étendue de l'esprit , les réponses : sa finesse 
Il y a toujours quelqu'un qui sait ce que tu ne sais pas *Helper* *Contributeur/Sécurité*

34 réponses

Résumé de la discussion

Plusieurs ransomwares, notamment Petya et Jigsaw, posent des défis techniques relatifs au chiffrement des données et aux extensions de fichiers, avec des implications pour les sauvegardes et les mécanismes de récupération. Des solutions existent pour atténuer les dégâts et récupérer les données : détection par antivirus, outils de déchiffrement (Kaspersky, ESET) et méthodes de restauration ou de récupération via ShadowExplorer. Pour chaque variante, les capacités varient; certaines versions chiffrent aussi les fichiers dans la corbeille et affectent les supports externes, ce qui renforce l'importance des sauvegardes hors ligne et d'images système. Enfin, des déchiffreurs ont été publiés pour plusieurs versions, notamment Tesla Crypt et CryptXXX, et des guides publics indiquent les conditions nécessaires à leur utilisation, selon la variante.

Bobot (l’IA à votre service)
  1. Utilisateur anonyme
    bonjour,

    nous sommes plusieurs à tester les différentes variantes de Ransomwares avec les outils actuellement disponibles sur le net en machine virtuelle ou réelle !

    tous ces infections sont en général détectées par les antivirus !

    exemple avec Windows defender 10 :



    Comme ceci a été dit plus haut, pour Petya, il est possible de déloquer la situation avec l'outil proposé ici

    à lire :

    https://www.bleepingcomputer.com/news/security/petya-ransomwares-encryption-defeated-and-password-generator-released/

    pour les Tesla, il y a plusieurs variantes :



    Cette variante qui remplace les extensions des fichiers en Crypt (CryptXXX / RSA 4096) est déchiffrable avec l'outil de Kaspersky mais :

    cet outil ne déchiffre pas les fichiers compressés (Zip, Rar, ..) et tous les fichiers au format vidéos.

    cette variante ne touche pas aux fichiers dans la corbeille.

    pour pouvoir déchiffrer les données, l'outil demande une copie chiffrée et une copie saine.

    après le scan, l'outil restaure, dans la mesure du possible, les fichiers à leur emplacement.

    Note :

    Dans les paramètres de l'outil proposé par Kaspersky, il ne faut surtout pas cocher la case de suppression des fichiers originaux (Chiffrés) au cas ou d'autres outils feraient leur apparition permettant de récupérer les données .

    après le passage de l'outil, on voit bien que les fichiers sont déchiffrés à leur emplacement :



    Note :
    Vu que je suis un joueur, j'ai laissé une page de Petya dans mon dossier (La tête de mort :P )

    pour cette variante testée, après chaque redémarrage, une page de demande de rensom s'affiche, cette page pointe vers un fichier et un lien en Html : 

    2016-04-30 19:27 - 2016-04-30 19:27 - 01348854 ____T C:\ProgramData\B37F42F84691.bmp
    2016-04-30 19:27 - 2016-04-30 19:27 - 00014453 _____ C:\ProgramData\B37F42F84691.html
    Startup: C:\Users\VM de tests\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\659F660B091D.lnk [2016-04-30]2016-04-30 19:27 - 2016-04-30 19:27 - 1348854 ____T () C:\ProgramData\B37F42F84691.bmp
    2016-04-30 19:27 - 2016-04-30 19:27 - 0014453 _____ () C:\ProgramData\B37F42F84691.html
    2016-04-30 19:27 - 2016-04-30 19:27 - 0014453 _____ () C:\ProgramData\B37F42F84691.html


    on peut fixer ces lignes pour ne plus avoir le message au démarrage.

    pour une autre version de tesla, l'extension des fichiers reste intacte, mais les fichiers sont chiffrés quand même (Non lisible).



    un autre outil nommé "Shadow explorer" permet parfois de récupérer les fichiers chiffrés selon les variantes de tesla.

    il faut tester selon la variante de l'infection installée sur le pc, donc tout ceci reste sous condition de tomber sur le bon outil !

    à noter que toujours selon les variantes, les Shadow explorer sont parfois supprimés, la restauration système désactivée.

    Attention :
    Ces infections chiffrent aussi les données sur les supports externe connectés au pc au moment de chiffrement des données.

    sur ce, Have Fun :-)

    1. buckhulk Auteur Contributeur
      Super !!! ;)

      ^^
    2. Malekal_morte- Modérateur
      tous ces infections sont en général détectées par les antivirus !

      Mouais.. il y a quand même une différence avec Windows Defender qui est largement battu (c'est que si on récup un sample 3 semaines après, ça ne se voit pas).
      Mais au moment T de la campagne, Windows Defender est souvent battu...
      De ce que j'ai vu parfois il leur faut 2 jours pour ajouter une détection...

      Exemple là :
      https://forum.malekal.com/viewtopic.php?t=54467&start=15#p419283
      https://forum.malekal.com/viewtopic.php?t=53347&start=#p410436
      etc..

      Bref celui qui a un Windows Defender tout seul est quand même plus vulnérable.
  2. Malekal_morte- Modérateur
    Les fichiers chiffrés par le ransomware Locky ont maintenant l'extension .thor maintenant.
    https://forum.malekal.com/viewtopic.php?t=54444&start=#p426729
    1. buckhulk Auteur Contributeur
      Perso , je m'y perd un peu maintenant ....!

      ^^
    2. Malekal_morte- Modérateur
      @buckhulket encore, ça c'est juste Locky.
      En france, y a que Cerber, CryptXXX et lui et deux trois insignifiants.

      aux USA, y avait par un moment, un nouveau par jour.
    3. g3n-h@ckm@n
      tout est intégré dans pre_scan , il move les fichiers cryptés dans un dossier sur le bureau
    5. Malekal_morte- Modérateur
      @g3n-h@ckm@nNon c'est .thor l'extension actuelle, l'extension .shit c'était juste avant pour 2 jours.
      https://forums.commentcamarche.net/forum/affich-33484536-ransomwares?page=2#68
      https://forums.commentcamarche.net/forum/affich-33484536-ransomwares?page=2#74

      Vous ne suivez pas Mr Gen-Hackman, c'est cela aussi de se mettre au fond de la classe et discutailler avec vos amis sur les différents topics.
      Vous me donnerez votre carnet de correspondance à la fin du cours de désinfection.
  3. Malekal_morte- Modérateur
    Locky utilise maintenant l'extension .shit : https://forum.malekal.com/viewtopic.php?t=54444&start=#p426678
    1. Smarties2207
      L'ordinateur familial a été infecté par ce ransomware avec effectivement tous les fichiers cryptés et l'extension .shit.
      Est ce que tu saurais comment supprimer cette nouvelle version du virus?
      Malwarebytes ne le trouve pas, et les autres anti virus nécessitent une connection internet, cependant nous ne souhaitons pas prendre le risque de connecter l'ordinateur infecté au wifi de la maison pour ne pas contaminer les autres ordinateurs.
      Je t'avoue que nous sommes tous dégoûtés, plusieurs années de photos de famille sont perdues pour le moment, et avant de tester les solutions avec Shadow Explorer on tente en vain de supprimer le virus ...
      Je n'ai trouvé pour le moment que des fichiers nommés "nehehxoiw1" "nehehxoiw2" et "nehehxoiw3" dont certains en .dll que j'ai supprimé, mais impossible de savoir si le virus est toujours présent.

      Merci d'avance si tu acceptes de nous venir en aide.
    2. Malekal_morte- Modérateur
      @Smarties2207Salut,

      Malheureusement, la récupération n'est pas possible.
      Normalement Locky n'est pas résident.
      Suis le tutoriel FRST
      Créé ton sujet (réponds pas ici stp)
      Donne y les rapports pjjoint.
  4. Malekal_morte- Modérateur
    Attention aux faux emails Free qui propagent Locky : https://forum.malekal.com/viewtopic.php?t=54467&start=30#p426674

    Sachant qu'il n'y a pas de méthodes pour récupérer les fichiers .odin
    Après il sera trop tard.

    Comme d'habitude, le fichier malicieux est un script.

    => Comment se protéger des scripts malicieux sur Windows

    Veuillez appuyer sur une touche pour continuer la désinfection...
    1. taq1911
      Hello,

      La méthode de récupération via Shadow Explorer fonctionne très bien, encore faut-il qu'il y ait un point de restauration réalisé préalablement comme le souligne l'électricien du 69 ;)

      Prudence est mère de sureté...
    2. Malekal_morte- Modérateur
      @taq1911Ca ne fonctionne que dans certains cas.

      Locky cherche à supprimer toutes les shadow copies depuis presque le début, il n'y avait que les premières variantes qui les laissaient.
      Puis ils se sont mis à utiliser vssadmin.

      Les concepteurs sont pas là pour laisser une chance de récupérer les fichiers mais à obliger la victime à payer.

      Avant Locky : https://pjjoint.malekal.com/files.php?read=20161024_y12t11i8m14p15
      Après Locky :
      https://pjjoint.malekal.com/files.php?read=20161024_g11i11p7v13u10
      https://pjjoint.malekal.com/files.php?read=20161024_e126f8q1315

      Les versions précédentes sont supprimées.

      La seule chose est que Locky continue à chiffrer les documents même si les versions précédentes n'ont PAS été supprimées, là où Cryptowall, lui, s'arretait (il faisait un check).
      Donc ça peut marcher dans certains cas mais normalement le but est bien de les supprimer.
      Ca paraît assez évident.
    3. taq1911
      Oui je suis d'accord mais Shadow Explorer est quand même à tenter. Ici en l'occurrence sur Odin il permet de récupérer ses doc soit disant perdus...(j'ai testé moi même sur un Windows 7). Après, évidemment y'a des versions où ça ne fonctionne pas, mais ça ne coûte rien de tenter en tout cas.

      Bref, l'espoir est très mince mais pas forcément absent ;)
    4. Malekal_morte- Modérateur
      @taq1911Bien sûr qu'il faut tenter.

      Ca ne dépend pas de la version, comme j'ai dit précédemment, depuis presque le début, Locky tentent de supprimer versions précédentes.
    5. taq1911
      @Malekal_morte-Re Mak,

      Oui bien sûr, par version je voulais dire le "type" de Ransomware..., pas de version de Odin...Tester un ranso Odin (ainsi que les solutions de récup qui peuvent fonctionner) me suffit amplement ;)

      Mais parfois y'a des mise à jour de versions, donc on a vite fait de ne pas se comprendre effectivement...

      Bonne soirée ;)
  6. Utilisateur anonyme
    on a joué un peu avec la version .Odin :


    le truc chiffre tout, rien est laissé derrière (données).

    le système reste intact. Le pc ne rame pas trop, seul les fichiers de l'utilisateurs sont chiffrés.



    Récupération des données chiffrées est possible sous conditions préalable avant l'infection :

    - la restauration système doit être active, un point de restauration système (au moins) doit être présent avant l'infection.

    - à l'aide de Shadow explorer, la récupération des fichiers fait sans soucis.

    Have Fun pour d'autres bousins à tester !

    O.o°* ???Respire à fond, rédige ton message en bon français et de manière claire. ça va bien se passer, tu verras, enfin on essaie !!! o°.Oø¤º°'°º¤ø
    2. buckhulk Auteur Contributeur
      Ils font vraiment "chier" en parlant poliment !!!

      ^^
      2. Utilisateur anonyme
        j'ai eu le dropper et testé ce bousin !

        bon, pas très joyeux !

        au lancement, il fait tourner le DD à fond la caisse pour chiffrer les données sous forme de mise à jour de Windows updates :



        à noter qu'on n'a pas accès au gestionnaire de taches, mais il y a 7 processus avec le nom "Critical Windows updates" qui tourne en arrière plan !

        cette page s'affiche et bloque l'accès au pc pendant le lancement de l'infection, il impacte même le graveur (affichage d'un message des fichiers en attente de gravure) !



        l'UAC demande si on autorise les changement sur le pc, bon joueur que je suis, je l'ai autorisé :



        après avoir chiffré les données, l'infection me laisse la main sur le pc et je vois les fichiers en attente de gravure, juste la page de demande de ransom, donc ça peut impacter aussi ce qui est branché sur le pc comme support externe par exemple !



        j'ai enfin eu la page de demande de ransom avec le tralala habituel et pas mal de fautes !



        tous les fichiers (sauf les .exe) sont chiffrés, Shadow copies supprimés !

        j'avais pris soin d'activer la restauration système et créer un point pour tester cette variante, la restauration système n'est pas désativée, par contre la restauration des fichiers est impossible !



        la restauation s'est bien passé, mais mes fichiers ne sont pas restaurés, donc pas très utile de restaurer !





        sur ce, Have Fun pour les prochains tests :-)

        1. Utilisateur anonyme
          je me suis amusé avec ce truc !

          si on n'a pas Visual C++ sur le pc, ce truc ne se lancera pas !

          j'avais déjà constaté ceci en testant une autre variante !







      4. buckhulk Auteur Contributeur
        tiens le nouveau rasomware qui continu à détruire même après avoir payé ...(il fallait bien que cela arrive ...)

        Logithèque

        ^^
        1. madmyke Modérateur
          Car je suppose qu'il faut un CD Win 10 si on doit réinstaller Windows

          IL faut TOUJOURS quelque chose pour réinstaller windows ou n'importe quel système. que ce soit un CD/dvd, une clé usb, une disque dur secondaire, externe ou non, etc.

          quand on a juste fait la mise à jour de Win8.1 à Win 10 par exemple.....on a pas de CD !!!

          Je pense que vous voyez le mal partout.

          Quand on a PAS fait les sauvegardes nécessaires et qu'on achète même un tout nouveau pc on n'a pas non plus de CD/dvd ou autre média. Certes il y avait le partition recovery, mais ca non plus ce n'est plus d'actualité et ça n'empèche pas les sauvegardes.
          Seul les moyens évoluent avec la technologie, pas les obligations.

          Surtout si c'est un portable car peu d'internaute pense à se faire soit un CD de démarrage , soit une clé

          Je confirme, peu d'internaute le font mais ça c'est leur responsabilité.
          C'est comme pour une voiture (ou d'autres choses dans la vie) Quand vous l'achetez, il vous incombe une certains nombre de chose à faire, comme mettre de l’essence ou du liquide lave glace, vérifier la pression des pneus; prendre RDV pour les entretient, Bref tout ce que le garagiste ne fera pas à votre place mais qui si elle ne se font pas, risque d'user prématurément le véhicule voir pire.

          Votre raisonnement serait de dire que si on ne le fait pas, c'est un coup des constructeurs pour vous obliger à changer de voiture plus souvent...
          Je pense que ce n'est pas tout à fait logique et même une façon de toujours trouver la faute ailleurs.

          Si les gens ne lisent pas les modes d'emplois, les recommandations du constructeurs, c'est leur choix et leur responsabilité.

          "On avale à pleine gorgée le mensonge qui nous flatte et l'on boit goutte à goutte une vérité qui nous est amère." 
          1. buckhulk Auteur Contributeur
            je suis un peu (beaucoup) d'accord avec toi mais si tout le monde faisait ce qui nous parait évident , il n'y aurait pratiquement plus de désinfection !!

            les trois quart des gens quand ils achètent , ils veulent que cela fonctionne , ils se foutent complètement du pourquoi ou du comment c'est fait tant que cela fonctionne !!!

            quand aux constructeurs (de tout et de rien) il devrait faire aussi des notice lisible et plus simple, tout en allant plus "profondément !!

            mais l'un dans l'autre je suis d'accord , le sujet n'étant pas là , c'est comment faire quand on a attrapé cette grosse infection ...!

            ^^
        2. Utilisateur anonyme 
          Est-ce que l'on sait comment il s'attrape ??


          pour la manière d'attraper, toujours pareil, un mail et une pièce jointe (avec un macro de word ou excel, un script VBA java ....) 

          N'est-ce pas fait pour compenser la gratuité de Windows 10 ?????


          on est à la fin de la période de gratuité, mais franchement, je n'en sais rien !

          pour le CD de démarrage, il vaut mieux partir sur une image système !

          pour ces dernières infections qui deviennent de plus en plus virulentes, il faut surtout travailler sur les supports externes de sauvegardes.

          pour partage, il y a le lien de Blleping qui est pas mal :

          https://www.bleepingcomputer.com/news/security/satana-bootkit-encrypts-your-files-and-then-locks-you-out-of-windows/

          je lance une machine réelle dans un petit moment pour voir comment virer le Bootkit et récupérer les fichiers !

          O.o°* ???Respire à fond, rédige ton message en bon français et de manière claire. ça va bien se passer, tu verras, enfin on essaie !!! o°.Oø¤º°'°º¤ø
          1. Utilisateur anonyme
            comme promis, test fait en machine réelle sous W10 32 bit en Legacy !

            ces informations sont issues de la machine, avant le redémarrage :

            2 processus lancés depuis le registre : 

            O4 - HKCU\..\Run: [uhekujyp] . (...) -- C:\Users\DD de tests\AppData\Local\Temp\!satana!.txt
            O4 - HKUS\S-1-5-21-3251347311-3822445288-4011891096-1001\..\Run: [uhekujyp] . (...) -- C:\Users\DD de tests\AppData\Local\Temp\!satana!.txt


            Roguekiller trouve ceux ci : 

            ¤¤¤ Registre : 2 ¤¤¤
            [Suspicious.Path|VT.Unknown] HKEY_USERS\S-1-5-21-3251347311-3822445288-4011891096-1001\Software\Microsoft\Windows\CurrentVersion\Run | uhekujyp : C:\Users\DDDETE~1\AppData\Local\Temp\!satana!.txt [-] 

            [PUM.Proxy] HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Wpad\00-07-cb-c7-2d-09

            [BSP] 168c45b30bb5cc5af3fb4041c5291827 : Root.Bitlock2|VT.Unknown MBR Code [Malware!]


            tous les fichiers ne sont pas chiffrés, juste certains !

            les fichiers originaux sont toujours à leur place, certains accessibles !

            du moment ou on n'a pas cliqué sur Ok, à l'affichage de la page de demande de connexion, le pc ne démarre pas, donc reste accessible, il suffit de fermer cette fenêtre !

            Remarque :

            Sans redémarrage du pc (si si, on arrive :P) , il est fort possible de réparer le Bootkit et au moins, sauver le système avec un outil comme Roguekiller !

            Après le redémarrage :

            Comme je l'ai noté plus haut, le pc ne démarre plus (Sous W10 32 ou 64 bit), écran noir au démarrage avec seul curseur en haut à gauche de l'écran) !

            on a toujours accès aux données du disque en le mettant en externe !

            un fichier nommé !satana!.txt s'incruste dans tous les recoins du disque dur !

            les Cd live n'ont pas bien fonctionné pour mes tests !

            Les points de restauration système sont supprimés,

            j'ai tenté de réparer le démarrage et le système, voir même remettre le MBR, mais sans succès !, seule solution qui a fonctionné est de supprimer toutes les partitions et réinstaller W10 !

            maintenant, vous savez à quoi vous attendre :P

            Sur ce, Have Fun pour d'autres tests avec d'autres droper :-)
          2. g3n-h@ckm@n
            hello

            O4 - HKCU\..\Run: [uhekujyp] . (...) -- C:\Users\DD de tests\AppData\Local\Temp\!satana!.txt
            O4 - HKUS\S-1-5-21-3251347311-3822445288-4011891096-1001\..\Run: [uhekujyp] . (...) -- C:\Users\DD de tests\AppData\Local\Temp\!satana!.txt

            ce sont les deux mêmes clés
          3. Utilisateur anonyme
            @g3n-h@ckm@nsalut pascal,

            oui, il s'agit de la même clé :-)
          4. g3n-h@ckm@n
            salut elec' :)

            comme tu parlais de deux processus lancés.....
        3. buckhulk Auteur Contributeur
          Wahou !!!

          Je viens de voir ....

          Est-ce que l'on sait comment il s'attrape ??

          N'est-ce pas fait pour compenser la gratuité de Windows 10 ?????

          Car je suppose qu'il faut un CD Win 10 si on doit réinstaller Windows et quand on a juste fait la mise à jour de Win8.1 à Win 10 par exemple.....on a pas de CD !!!

          Surtout si c'est un portable car peu d'internaute pense à se faire soit un CD de démarrage , soit une clé !!!

          Vraiment à faire partager cette information ......réseau sociaux etc...non ??

          ^^
          1. Malekal_morte- Modérateur
            il n'y a rien de nouveau là dedans, des locker MBR existent depuis 2012 : https://forum.malekal.com/viewtopic.php?t=36202&start=#p280716

            C'est juste que celui là chiffre les fichiers en plus, comme le font les crypto-ransomware actuels.
            Petya est pire car il tente de chiffrer les partitions.

            Et ça ne vise pas la France ou très très peu.
            Bref rien de nouveau.
        4. Utilisateur anonyme
          SATANA !

          très très méchant !

          cette infection est chopée par les antivirus et dont Windows defender 10 !

          pour faire ce test, j'ai tout désactivé !

          Infection de type Bootkit, à mi chemin entre Petya et CryptXXX,

          MBR supprimé, donc sous W10, écran noir au démarrage et après la lancement de bios (rien s'affiche) !

          le droper lancé s'auto-supprime, un autre fichier exe est créé et reste en mémoire (nom de fichier aléatoire) :



          de multitudes de fichiers sont créés dans le répertoire temp :



          le nom de fichier exe change et la page de démarches à suivre s'affiche :





          si on clique sur Ok, le pc redémarrer et on n'a plus accès au disque dur !

          Après avoir chopé cette infection, il faut réinstaller Windows car non seulement, les fichiers sont cryptés, de plus, le MBR est manquant (Attention, elle touche aussi l'UEFI et UFI) !

          pensez à sauvegarder vos fichiers ou créer une image système !

          :-)

          Edit :

          à lire :

          https://www.bleepingcomputer.com/news/security/satana-bootkit-encrypts-your-files-and-then-locks-you-out-of-windows/

          O.o°* ???Respire à fond, rédige ton message en bon français et de manière claire. ça va bien se passer, tu verras, enfin on essaie !!! o°.Oø¤º°'°º¤ø
          2. buckhulk Auteur Contributeur
            Bonjour,

            Toujours pas de solution .....?

            ^^
            1. brupala
              Celui qui la trouve devient milliardaire....
            2. buckhulk Auteur Contributeur
              il y aura suspicion ....;-)
          5. Malekal_morte- Modérateur
            Une variante BandarChor / Criakl / Rakhni (Crypto-Ransomware) ou Mobef qui peut toucher la France via une malvertising sur Trafficholder.
            Ca restera limité, mais il y aura surement quelques victimes.

            L'extension utilisée est .KEY7

            La fiche du Ransomware .KEY7 : Ransomware .Key7

            Veuillez appuyer sur une touche pour continuer la désinfection...
          • 1
          • 2