Ransomwares

bonjour,

nous sommes plusieurs à tester les différentes variantes de Ransomwares avec les outils actuellement disponibles sur le net en machine virtuelle ou réelle !

tous ces infections sont en général détectées par les antivirus !

exemple avec Windows defender 10 :



Comme ceci a été dit plus haut, pour Petya, il est possible de déloquer la situation avec l'outil proposé ici

à lire :

https://www.bleepingcomputer.com/news/security/petya-ransomwares-encryption-defeated-and-password-generator-released/

pour les Tesla, il y a plusieurs variantes :



Cette variante qui remplace les extensions des fichiers en Crypt (CryptXXX / RSA 4096) est déchiffrable avec l'outil de Kaspersky mais :

cet outil ne déchiffre pas les fichiers compressés (Zip, Rar, ..) et tous les fichiers au format vidéos.

cette variante ne touche pas aux fichiers dans la corbeille.

pour pouvoir déchiffrer les données, l'outil demande une copie chiffrée et une copie saine.

après le scan, l'outil restaure, dans la mesure du possible, les fichiers à leur emplacement.

Note :

Dans les paramètres de l'outil proposé par Kaspersky, il ne faut surtout pas cocher la case de suppression des fichiers originaux (Chiffrés) au cas ou d'autres outils feraient leur apparition permettant de récupérer les données .

après le passage de l'outil, on voit bien que les fichiers sont déchiffrés à leur emplacement :



Note :
Vu que je suis un joueur, j'ai laissé une page de Petya dans mon dossier (La tête de mort :P )

pour cette variante testée, après chaque redémarrage, une page de demande de rensom s'affiche, cette page pointe vers un fichier et un lien en Html :

2016-04-30 19:27 - 2016-04-30 19:27 - 01348854 ____T C:\ProgramData\B37F42F84691.bmp
2016-04-30 19:27 - 2016-04-30 19:27 - 00014453 _____ C:\ProgramData\B37F42F84691.html
Startup: C:\Users\VM de tests\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\659F660B091D.lnk [2016-04-30]2016-04-30 19:27 - 2016-04-30 19:27 - 1348854 ____T () C:\ProgramData\B37F42F84691.bmp
2016-04-30 19:27 - 2016-04-30 19:27 - 0014453 _____ () C:\ProgramData\B37F42F84691.html
2016-04-30 19:27 - 2016-04-30 19:27 - 0014453 _____ () C:\ProgramData\B37F42F84691.html

on peut fixer ces lignes pour ne plus avoir le message au démarrage.

pour une autre version de tesla, l'extension des fichiers reste intacte, mais les fichiers sont chiffrés quand même (Non lisible).



un autre outil nommé "Shadow explorer" permet parfois de récupérer les fichiers chiffrés selon les variantes de tesla.

il faut tester selon la variante de l'infection installée sur le pc, donc tout ceci reste sous condition de tomber sur le bon outil !

à noter que toujours selon les variantes, les Shadow explorer sont parfois supprimés, la restauration système désactivée.

Attention :
Ces infections chiffrent aussi les données sur les supports externe connectés au pc au moment de chiffrement des données.

sur ce, Have Fun :-)