Ransomware - extension de fichier qui change de nom (.jedfta)

[leb57]

bonsoir
j'ai recherché un peu sur les demandes d'aides et également avec la fonction recherche mais je n'ai rien trouver qui pouvait m'aider.
Aujourd'hui je suis passé chez un collègue de travail qui a des soucis pour ouvrir et afficher ses photos. quand j'ai regardé ses dossiers, la plupart de ses photos sont dans le dossier image. Les photos qui étaient en .jpg sont passées .jpg.jedfta j'ai fait une recherche et je n'ai rien trouvé sur une telle extension de fichiers. Même si je renomme la photo, que ce soit en jpg, jpeg ça me dit que le format n'est pas reconnu.
En regardant d'autres dossiers, j'ai vu qu'il avait aussi le même soucis avec des pdf et certaines vidéos. Les vidéos en mp3, mp4 fonctionne mais des vidéos en wav, flv et mwa sont passées également en extension jedfta.
quand je lui ai demandé quel était son antivirus il m' a dit qu'il en avait pas. j'ai essayé d'activer Windows defender mais j'ai eu un message comme quoi une stratégie de groupe de mon administrateur bloquait cette activation.
Pourra t'il récupérer ses fichiers d'une façon ou d'une autre. Il n'a pas de sauvegarde externe, ses points de restauration sont visibles dans la liste mais en cas de tentative de restauration il y a un message qui dit que le point de sauvegarde n'est pas accessible. le seul point accessible date du 21/07 mais après la récupération cela n'a rien changé.

jedfta.png

[Malekal_morte]

Salut,

Windows a été infecté par un ransomware / rançongiciel chiffreur de fichiers.
Tes fichiers sont chiffrés et inaccessibles, la seule manière de retrouver l'accès aux fichiers est d'obtenir la clé de déchiffrement ou en payant la rançon.
Cela peut se faire via un outil de déchiffrement proposé par les éditeurs de sécurité (si les serveurs sont saisis, si l'algorithme de chiffrement a été mal utilisé, etc).
Tu peux aussi rétablir une sauvegarde des fichiers.
Plus d'infos : Ransomware : solutions pour récupérer fichiers chiffrés (cryptés)

Ces rançongiciels s'attrapent essentiellement par l'ouverture d'une pièce jointe malicieuse dans un e-mail, par la visite d'une page internet piégée par des exploits WEB ou le téléchargement de cracks/keygen.

L'attitude à suivre :

* Garde les fichiers touchés par le ransomware.
* Utilise le site suivant pour identifier le nom du ransomware : https://id-ransomware.malwarehunterteam.com/
Il faut envoyer un fichier de notice et un fichier chiffré par le ransomware.
* Par sécurité il faut changer tes mots de passe WEB, ils peuvent avoir été volés.

~~

Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Attendre la fin du scan, un message indique que l'analyse est terminée.
Télécharge et lance le scan FRST,

Trois rapports FRST seront générés :
* FRST.txt
* Shortcut
* Additionnal.txt



Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.
Tu peux aussi attacher les fichiers de rapports FRST dans une nouvelle réponse avec l'éditeur avancé.



Ensuite en bas pièce-jointe.



(Les liens bleus mènent à des tutoriels explicatifs pas à pas, clic dessus pour avoir les instructions plus précises à suivre).

NOTE : tu peux aussi envoyer les rapports sur https://pjjoint.malekal.com et donner les liens en retour.

[leb57]

bonjour merci pour la réponse. si c'est un ransomware, pourquoi tous les fichiers ne sont pas touchés ? il lui reste beaucoup de vidéos et des fichiers musicaux ?

[leb57]

et je n'ai pas vu de fichier de notice, je n'aurais pas accès a son pc ce week end et certainement pas avant jeudi

[Malekal_morte]

La notice est probablement mis à la fin et comme il semblerait que tous tes fichiers n'ont pas été chiffrés.
Je pense que le chiffrement a été interrompu et il n'est pas allé jusqu'à la fin de l'opération.
Peut-être que ton antivirus a intercepté, tu as vérifié l'historique de détection ?

[leb57]

windows defender était désactivé et pas réussi a le réactiver, en plus ce qui aide c'est qu'il tourne sous windows 7

[Malekal_morte]

Faire l'analyse FRST demandée et donner les rapports.

[leb57]

bonjour désolé pour le retard, période des vacances et j'ai pas eu accès a l'ordinateur de mon collègue avant.
voici les rapports demandés.

frst : https://pjjoint.malekal.com/files.php?i ... 2i12g14b11

additionnal : https://pjjoint.malekal.com/files.php?i ... z89u5n8m13

shortcut : https://pjjoint.malekal.com/files.php?i ... 14v7c10j10

[Malekal_morte]

Il n'est plus actif mais le mal a été fait.

Windows 7 n'est plus maintenu par Microsoft ce qui pose des problèmes de sécurité.
Tu devrais passer sur Linux : meilleurs distributions Linux à choisir pour recycler un ordinateur en Windows

~~

Supprime C:\FRST et ses restes.

A lire : que faire après une attaque de virus informatique.
Change tes mots de passe et assure toi que Windows Defender fonctionne correctement.

Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?

Si l'aide t'a contenu ou si les tutoriels du site t'ont aidé, tu peux prendre le temps d'évaluer le site sur Bing, ce serait sympa : Evaluer le site malekal.com

[leb57]

c'est l'ordinateur d'un collègue et je vais plutôt passer sur un ssd et lui mettre windows 10. merci pour l'aide et les conseils

[Malekal_morte]

ok s'il y a un soucis, n'hésite pas à demander =)

[leb57]

bonjour, suite a ses problèmes de ransomware, mon collègue est passé sur un portable sous Windows 10 mais il me dit qu'une clé USB, qu'il avait connecté à son pc infecté, contient des fichiers qui sont aussi passés en .jedfta. est il possible que le cryptage se propage à une clé USB qu'on aurait connectée plus tard ?

[Parisien_entraide]

Bonjour

Un ransomware infecte TOUT ce qui est connecté et accessibles dont les support disque dur, ssd, clé usb, .. PC en réseau...

Par contre ta phrase n'est pas claire...

une clé USB, qu'il avait connecté à son pc infecté

et

est il possible que le cryptage se propage à une clé USB qu'on aurait connectée plus tard ?

Ce qu'il faut se rappeler :

- Si la clé était connectée au PC infecté, elle a été infectée
- Si la clé a été connectée plus tard alors que le ransomware était présent, l'infection peut se propager à la clé, donc le résultat est le même

Dans ta deuxième phrase on ne sait si la clé a été insérée sur un PC nettoyé du ransomware ou pas


Edit en relisant tu ne sembles pas avoir été sur https://id-ransomware.malwarehunterteam.com/ pour identifier la chose