Ransomwares qui modifie l'extension de tous mes fichiers [résolu]

[Mikeaf]

Bonjour,

J'espère que vous pourriez m'aider à trouver une solution à mon problème.
En navigant sur le web, j'ai eu un pop up puis un écran bleu est apparu.
Mon PC a fini par redémarrer tout seul et après tous mes fichiers possédaient l'extension .hnzgnrs et sont devenus impossible à ouvrir.
De plus, dans chaque dossier j'ai reçu un lien READ_ME avec ce message :

" Your important files have been ENCRYPTED due to the suspicion of the ILLEGAL content download!
====================================================================================================
Your files are NOT damaged! Your files are modified only. This modification is reversible.
The only 1 way to decrypt your files is to receive the private key and decryption program.
Any attempts to restore your files with the third party software will be fatal for your files!
====================================================================================================
To receive the private key and decryption program follow the instructions below:"

Je ne mets pas la suite du message qui contient des liens.

En cherchant sur le forum j'ai vu que d'autre personnes avaient eu exactement le même problème.
Alors j'ai procéder a un scan avec FRST et voici les résultats :

https://pjjoint.malekal.com/files.php?i ... r5m13n1413
https://pjjoint.malekal.com/files.php?i ... 2t14z11u15
https://pjjoint.malekal.com/files.php?i ... 0p913g12z9

Pouvez-vous m'aider ?
Mon PC est assez vieux et tourne sur windows 7.
J'ai beaucoup de fichiers importants et personnels sur ce PC.

Je vous remercie par avance pour votre retour.

[Mikeaf]

Et je précise que j'ai voulu restaurer le pc à une sauvegarde antérieure, mais malheureusement le point de sauvegarde automatique était trop récent.

[Malekal_morte]

Salut,

Windows a été infecté par un ransomware / rançongiciel chiffreur de fichiers.
Tes fichiers sont chiffrés et inaccessibles, la seule manière de retrouver l'accès aux fichiers est d'obtenir la clé de déchiffrement ou en payant la rançon.
Cela peut se faire via un outil de déchiffrement proposé par les éditeurs de sécurité (si les serveurs sont saisis, si l'algorithme de chiffrement a été mal utilisé, etc).
Tu peux aussi rétablir une sauvegarde des fichiers.
Plus d'infos : Ransomware : solutions pour récupérer fichiers chiffrés (cryptés)

Ces rançongiciels s'attrapent essentiellement par l'ouverture d'une pièce jointe malicieuse dans un e-mail, par la visite d'une page internet piégée par des exploits WEB ou le téléchargement de cracks/keygen.

L'attitude à suivre :

* Garde les fichiers touchés par le ransomware.
* Utilise le site suivant pour identifier le nom du ransomware : https://id-ransomware.malwarehunterteam.com/
Il faut envoyer un fichier de notice et un fichier chiffré par le ransomware.
* Par sécurité il faut changer tes mots de passe WEB, ils peuvent avoir été volés.

~~

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
Task: {42301C9E-6390-4D33-A34F-0D2DA19A5020} - System32\Tasks\{8D818E32-D2CB-49A8-9F2C-4872CB384560} => C:\Program Files (x86)\Memsoft Oxygene\oxydev\systeme\bin\oxygovl.exe  (Pas de
2023-01-29 02:15 - 2023-01-29 02:15 - 000001796 _____ () C:\Program Files (x86)\Common Files\Uninstall.lnk
2022-04-14 08:59 - 2022-04-14 08:59 - 000001036 _____ () C:\Users\Michaël Graindorge\AppData\Roaming\03da2912-51c8-491b-87d2-5155fec0310e.tmp
2022-04-28 08:50 - 2022-04-28 08:50 - 000000870 _____ () C:\Users\Michaël Graindorge\AppData\Roaming\9c5a9920-9731-438e-8296-9ab3e1f7954c.tmp
2017-04-10 18:37 - 2021-02-27 15:52 - 000000132 _____ () C:\Users\Michaël Graindorge\AppData\Roaming\Adobe PNG Format CS6 Prefs
2022-06-18 12:35 - 2022-06-18 12:35 - 000000871 _____ () C:\Users\Michaël Graindorge\AppData\Roaming\be2f8d40-253f-46bf-96ba-e13983d55913.tmp
2021-02-27 14:21 - 2021-02-27 14:28 - 000001456 _____ () C:\Users\Michaël Graindorge\AppData\Local\Adobe Save for Web 13.0 Prefs
2021-10-11 19:59 - 2022-01-14 19:40 - 001065984 _____ () C:\Users\Michaël Graindorge\AppData\Local\file__0.localstorage
2017-10-19 18:26 - 2017-10-19 18:26 - 000000785 _____ () C:\Users\Michaël Graindorge\AppData\Local\recently-used.xbel
2016-03-03 14:13 - 2022-11-15 20:04 - 000007608 _____ () C:\Users\Michaël Graindorge\AppData\Local\Resmon.ResmonCfg
2016-04-08 11:27 - 2016-04-08 11:27 - 000000000 _____ () C:\Users\Michaël Graindorge\AppData\Local\{971219FE-F249-4158-BFBF-ADA9111E5009}fichier)
C:\Program Files (x86)\Memsoft Oxygene
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

Important :

Le contenu de la correction ne doit pas être vide et doit refléter le script donné précédemment.
Dans le cas où la correction est vide, essaye de faire la correction FRST comme ceci :

Place le programme FRST sur le bureau
Ouvre le bloc-note.
Colle le script donné plus haut.
Enregistre le fichier sur le sur le bureau de Windows (pas ailleurs) sous le nom de fixlist.txt.
Relance FRST puis Corriger.

~~

Désinstalle :

Avast! Gratuit (encombrant - Windows Defender est plus léger)
McAfee True Key (inutile)

[Mikeaf]

Bonjour,

Tout d'abord merci beaucoup pour ton retour rapide. J'ai réalisé la procédure et voici le contenu du fichier Fixlog :

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 25.07.2024
Exécuté par Michaël Graindorge (27-07-2024 18:21:37) Run:1
Exécuté depuis C:\Users\Michaël Graindorge\Desktop
Profils chargés: Michaël Graindorge
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
̩Start:
CloseProcesses:
CreateRestorePoint:
Task: {42301C9E-6390-4D33-A34F-0D2DA19A5020} - System32\Tasks\{8D818E32-D2CB-49A8-9F2C-4872CB384560} => C:\Program Files (x86)\Memsoft Oxygene\oxydev\systeme\bin\oxygovl.exe (Pas de
2023-01-29 02:15 - 2023-01-29 02:15 - 000001796 _____ () C:\Program Files (x86)\Common Files\Uninstall.lnk
2022-04-14 08:59 - 2022-04-14 08:59 - 000001036 _____ () C:\Users\Michaël Graindorge\AppData\Roaming\03da2912-51c8-491b-87d2-5155fec0310e.tmp
2022-04-28 08:50 - 2022-04-28 08:50 - 000000870 _____ () C:\Users\Michaël Graindorge\AppData\Roaming\9c5a9920-9731-438e-8296-9ab3e1f7954c.tmp
2017-04-10 18:37 - 2021-02-27 15:52 - 000000132 _____ () C:\Users\Michaël Graindorge\AppData\Roaming\Adobe PNG Format CS6 Prefs
2022-06-18 12:35 - 2022-06-18 12:35 - 000000871 _____ () C:\Users\Michaël Graindorge\AppData\Roaming\be2f8d40-253f-46bf-96ba-e13983d55913.tmp
2021-02-27 14:21 - 2021-02-27 14:28 - 000001456 _____ () C:\Users\Michaël Graindorge\AppData\Local\Adobe Save for Web 13.0 Prefs
2021-10-11 19:59 - 2022-01-14 19:40 - 001065984 _____ () C:\Users\Michaël Graindorge\AppData\Local\file__0.localstorage
2017-10-19 18:26 - 2017-10-19 18:26 - 000000785 _____ () C:\Users\Michaël Graindorge\AppData\Local\recently-used.xbel
2016-03-03 14:13 - 2022-11-15 20:04 - 000007608 _____ () C:\Users\Michaël Graindorge\AppData\Local\Resmon.ResmonCfg
2016-04-08 11:27 - 2016-04-08 11:27 - 000000000 _____ () C:\Users\Michaël Graindorge\AppData\Local\{971219FE-F249-4158-BFBF-ADA9111E5009}fichier)
C:\Program Files (x86)\Memsoft Oxygene
EmptyTemp:
RemoveProxy:
Reboot:
End:
*****************

Processus fermé avec succès.
Le Point de restauration a été créé avec succès.
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{42301C9E-6390-4D33-A34F-0D2DA19A5020}" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{42301C9E-6390-4D33-A34F-0D2DA19A5020}" => supprimé(es) avec succès
C:\Windows\System32\Tasks\{8D818E32-D2CB-49A8-9F2C-4872CB384560} => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{8D818E32-D2CB-49A8-9F2C-4872CB384560}" => supprimé(es) avec succès
C:\Program Files (x86)\Common Files\Uninstall.lnk => déplacé(es) avec succès
C:\Users\Michaël Graindorge\AppData\Roaming\03da2912-51c8-491b-87d2-5155fec0310e.tmp => déplacé(es) avec succès
C:\Users\Michaël Graindorge\AppData\Roaming\9c5a9920-9731-438e-8296-9ab3e1f7954c.tmp => déplacé(es) avec succès
C:\Users\Michaël Graindorge\AppData\Roaming\Adobe PNG Format CS6 Prefs => déplacé(es) avec succès
C:\Users\Michaël Graindorge\AppData\Roaming\be2f8d40-253f-46bf-96ba-e13983d55913.tmp => déplacé(es) avec succès
C:\Users\Michaël Graindorge\AppData\Local\Adobe Save for Web 13.0 Prefs => déplacé(es) avec succès
C:\Users\Michaël Graindorge\AppData\Local\file__0.localstorage => déplacé(es) avec succès
C:\Users\Michaël Graindorge\AppData\Local\recently-used.xbel => déplacé(es) avec succès
C:\Users\Michaël Graindorge\AppData\Local\Resmon.ResmonCfg => déplacé(es) avec succès
"C:\Users\Michaël Graindorge\AppData\Local\{971219FE-F249-4158-BFBF-ADA9111E5009}fichier)" => non trouvé(e)
"C:\Program Files (x86)\Memsoft Oxygene" => non trouvé(e)

========= RemoveProxy: =========

"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-276346198-4293941389-1210425281-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-276346198-4293941389-1210425281-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

FlushDNS => terminé(e)
BITS transfer queue => 0 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 10704747 B
Java, Discord, Steam htmlcache, WinHttpAutoProxySvc/winhttp *.cache => 603618753 B
Windows/system/drivers => 608378555 B
Edge => 0 B
Chrome => 3442974362 B
Firefox => 1076280021 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Public => 0 B
ProgramData => 0 B
systemprofile => 101102 B
systemprofile32 => 1306240 B
LocalService => 1372468 B
NetworkService => 1438696 B
Michaël Graindorge => 6760293369 B

RecycleBin => 2265663 B
EmptyTemp: => 11.6 GB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 18:23:52 ====

[Malekal_morte]

Ok nous en avons terminé.
Le PC n'était plus infecté. Il semble que tu as eu un Trojan à un moment donné, il est possible qu'il ait permis d'exécuter le ransomware sur ton PC.
Comme expliqué dans mon premier message, il faut garder les fichiers, identifier le ransomware et attendre qu'un utilitaire de récupération voit le jour (des fois ça prend un ou deux ans)... Surveiller donc de temps en temps.


Supprime C:\FRST et ses restes.

A lire : que faire après une attaque de virus informatique.
Change tes mots de passe et suis les instructions pour la bonne conduite pour ne plus te faire infecter.

Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?

Si l'aide t'a contenu ou si les tutoriels du site t'ont aidé, tu peux prendre le temps d'évaluer le site sur Bing, ce serait sympa : Evaluer le site malekal.com

[Mikeaf]

Merci beaucoup !

En effet, j'ai créé un nouveau fichier excel et celui-ci ne s'est pas encrypté.
Concernant l’identification du ransomware, les sites comme id-ransomware ou nomoreransom ne m'ont pas aidé mais il semblerait qu'il s'agisse d'une version actualisé du Magniber My Decryptor.

Et d'après mes recherches, les équipes qui travaillaient dessus sont au point mort.

Je vais attendre mais je pense qu'il y a peu d'espoir.

J'ai noté le site sur Truspilot.

Merci encore !

[Malekal_morte]

De rien et merci à toi pour le commentaire Trustpilot =)