SUPERCRYPT

[luhdow]

Bonjour, je suis moi-même confronté à ce problème, je vous joint mes rapports FRST.

http://pjjoint.malekal.com/files.php?id ... r78p814j12
http://pjjoint.malekal.com/files.php?id ... 1v6i6e14b9
http://pjjoint.malekal.com/files.php?id ... 3t11k5x8n5

Merci

[Malekal_morte]

Salut,

Ca semble être Cryptowall.

Voici la correction à effectuer avec FRST.
Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutorial-farbar ... -frst/#fix

Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK.
Copie/colle dedans ce qui suit :

Startup: C:\Users\Administrateur\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HOW TO DECRYPT FILES.txt ()
Startup: C:\Users\administrateur.PEDAGO\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HOW TO DECRYPT FILES.txt ()
Startup: C:\Users\fim\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HOW TO DECRYPT FILES.txt ()


Une fois, le texte coller dans le bloc-note.
Menu Fichier puis Enregistrer sous.
A gauche, place toi sur le bureau.
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.

Relance FRST et clic sur le bouton Fix
Selon comment un redémarrage est nécessaire (pas obligatoire).
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur

[luhdow]

Merci pour l'aide, voici le rapport fixlog

http://pjjoint.malekal.com/files.php?id ... 14g6t7b7p7

[Malekal_morte]

Sinon pas l'air d'être infecté.

Faudrait peut-être installer un antivirus.

[luhdow]

L'antivirus installé est trend micro office scan.
Il n'y a pas d'autre manipulation a effectuer pour la désinfection ?

[Malekal_morte]

A priori, y a pas d'autres malwares.
Tu peux faire une analyse en ligne après - si tu as des doutes : https://www.malekal.com/scan-antivirus-ligne-nod32/

[luhdow]

J'ai de nouveau fait un scan :

http://pjjoint.malekal.com/files.php?id ... l6r15t15k7
http://pjjoint.malekal.com/files.php?id ... b9f8j10w11
http://pjjoint.malekal.com/files.php?id ... y6q10t6b13

Est-ce qu'il a y encore des traces ?

Merci.

[luhdow]

Et voici le rapport d'une autre machine (et oui deux machines infectés :s)

http://pjjoint.malekal.com/files.php?id ... h5r12w12c7
http://pjjoint.malekal.com/files.php?id ... 14s10m12p6
http://pjjoint.malekal.com/files.php?id ... e7s15u7p13

Merci.

[Malekal_morte]

Pour NT55PEDAGO1

Voici la correction à effectuer avec FRST.
Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutorial-farbar ... -frst/#fix

Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK.
Copie/colle dedans ce qui suit :

IFEO\sethc.exe: [Debugger] c:\windows\fonts\qq123.exe
Startup: C:\Documents and Settings\Administrateur\Start Menu\Programs\Startup\HOW TO DECRYPT FILES.txt ()
Startup: C:\Documents and Settings\Administrator\Start Menu\Programs\Startup\HOW TO DECRYPT FILES.txt ()
Startup: C:\Documents and Settings\All Users\Start Menu\Programs\Startup\HOW TO DECRYPT FILES.txt ()
Startup: C:\Documents and Settings\Default User\Start Menu\Programs\Startup\HOW TO DECRYPT FILES.txt ()
Startup: C:\Documents and Settings\fim\Start Menu\Programs\Startup\HOW TO DECRYPT FILES.txt ()
Startup: C:\Documents and Settings\kong\Start Menu\Programs\Startup\HOW TO DECRYPT FILES.txt ()
Startup: C:\Documents and Settings\Mssqlserveqi\Start Menu\Programs\Startup\HOW TO DECRYPT FILES.txt ()
Startup: C:\Documents and Settings\niuniu\Start Menu\Programs\Startup\HOW TO DECRYPT FILES.txt ()
Startup: C:\Documents and Settings\prof\Start Menu\Programs\Startup\HOW TO DECRYPT FILES.txt ()
Startup: C:\Documents and Settings\sos\Start Menu\Programs\Startup\HOW TO DECRYPT FILES.txt ()
Startup: C:\Documents and Settings\ssooss\Start Menu\Programs\Startup\HOW TO DECRYPT FILES.txt ()
Startup: C:\Documents and Settings\Stsèm\Start Menu\Programs\Startup\HOW TO DECRYPT FILES.txt ()

Une fois, le texte coller dans le bloc-note.
Menu Fichier puis Enregistrer sous.
A gauche, place toi sur le bureau.
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.

Relance FRST et clic sur le bouton Fix
Selon comment un redémarrage est nécessaire (pas obligatoire).
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur


~~

[luhdow]

bonjour,

Voici le rapport lié à votre dernier message
http://pjjoint.malekal.com/files.php?id ... 14n8y13l10

Merci,

[luhdow]

Après avoir fait les manipulation que vous avez indiqué, les extensions .supercrypt sont toujours présentes dans la quasi totalité des fichiers infectés. Qu'en est_il pour la désinfection?

[Malekal_morte]

A lire : http://forum.malekal.com/ransomware-ran ... 49834.html

Pas de malwares actifs, pour la récupération des fichiers, c'est une autre pair de manches.
Tente les versions précédentes comme décrites dans la page ci-dessus.

D'autre part, il semblerait que ce soit un serveur comme ce cas là : http://forum.malekal.com/how-decrypt-fi ... ml#p390303