analyse des rapports de scan FRST64

[tayeb djamel]

Bonjour tout le monde depuis quelques jours je suis victime d'un rançongiciel,
je me demande si quelqu'un peut me venir en aide

[Parisien_entraide]

Bonjour,

Malekal ou Angélique te diront ce qu'il en est vu qu'il y a des traces restantes

La source de ton problème :

Une version d'adobe dépassée et crackée..

Déjà il faut savoir qu'Adobe Acrobat est l'un des programmes les plus ciblés (comme l'était flashPlayer) par les créateurs de "virus", du fait de nombreuses failles
Pour les autres produits Adobe (Photoshop etc) c'est la même chose, surtout qu'en plus c'est très demandé

Tuas une version d'Acrobat 11 datant de ... 2012 (mais tu as d'autres modules plus anciens qui datent de 2008)

Normal c'est la version que tu as téléchargé le 4/11
Adobe Acrobat XI.Pro.11.0.19 avec son crack


L'infection
Suite au téléchargement/installation du programme Adobe tu as été infecté avec un ransomware de la famille STOP (DJVU) avec le :

Ransomware Qmak

Il est également connu sous le nom
d'UDS:Trojan.Win32.Chapak.gen,
Rançon:Win32/StopCrypt.KM!VTT,
Win32:PWSX-gen [Trj],
Win32:PWSX-gen [Trj],
Une variante de Win32/GenKryptik.FHJB

Pas de solution (vu que la clé est propre à chaque utilisateur)

https://www.bleepingcomputer.com/forums ... ort-topic/

Et en questions/réponses
https://support.emsisoft.com/topic/3204 ... decrypter/

Startup: C:\Users\tayeb\AppData\Local\Temp\5c436eadc6\\rnyuf.exe


Tu n'es plus Doctorant, donc je pense que tu as une sauvegarde de tous les fichiers docX et pdf ?




AUTRES

En conseils, éviter de cumuler (sauf si MBAM est en version gratuite après période d'essai ou il ne fera office que de scanner)

AVIRA
MBAM


GrindiSoft Antimalware : Aucun intérêt (en plus tu as MBAM) : https://www.malekal.com/meilleurs-antim ... _des_virus



OPERA : Je ne conseille pas ce navigateur
viewtopic.php?t=68853

Pour les autres navigateurs je conseille de mettre au minima une protection de type : Ublock Origin
https://www.malekal.com/ublock-bloquer- ... internet/


Ce sont quoi ces fichiers ? Ils sortent d'où ?

RansomwareRemoval.bat
Setup (PASS 1278).rar




Remo Repair Word : Tu peux oublier.

Le ransomware crypte une petite partie du fichier et AUCUN programme de réparation arrivera à faire l'opération inverse
En fait on peut y arriver mais avec de gros fichiers de type video et cela sans garantie
'est lié au lecteur vidéo qui "sautera" les parties illisibles (Videolan par ex)

[tayeb djamel]

merci pour avoir réagit a mes soucis
j'attend l'aide de Malekal ou Angélique

[Parisien_entraide]

En attendant un peu de lecture (n'applique rien de ce qui est dit avant analyse par Malekal ou Angélique)

https://www.malekal.com/ransomwares-ran ... proteger/
https://www.malekal.com/ransomware-solu ... -fichiers/

[angelique]

Bonjour/Bonsoir

Inutile, à désinstaller via exécuter ➯ appwiz.cpl


Avira Security (HKLM-x32\...\AviraSecurityUninstaller) (Version: - Avira Operations GmbH & Co. KG)



Télécharge à coté de FRST64.EXE , PAS AILLEURS !!!!! le fichier fixlist.txt en pièce jointe en bas du message.

➯ Relance FRST64(clic droit exécuter en tant qu'administrateur) et clic sur le bouton corriger/fix
Un redémarrage peut être nécessaire (pas obligatoire).
Un fichier texte apparaît peut être nommé fixlog.txt au même endroit que frst64.exe et que fixlist.txt, copie/colle le contenu ici dans un nouveau message avec ton commentaire.

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnements et endommager Windows /!\