A l'aide, infection fud@india fudx@lycos

[ysayan]

Bonjour,

je vous appelle à l'aide car je ne sais quoi faire, mes fichiers sont cryptés.

j'ai fait un scan Malewarebyte et Farbar recovery, puis-je vous les poster ? si oui via quel site ?

D'après Malewarebyte il n'y a plus d'infection poutant j'ai toujours le fond d'ecran noir avec message d'avertissement et l'image (sign.bmp) de ce même avertissement qui s'affiche à l'allumage du pc.

J'ai aussi un DD externe que j'ai débranché mais je ne sais pas si il est infecté, j'ai des doc pour le travail dont j'ai absolument besoin dessus, que faire ? Tenter le rallumer sur ce pc ou sur un autre ?

Je suis totalement désemparée, merci de votre aide

ysayan

[Malekal_morte]

Salut,

Via http://pjjoint.malekal.com
mais pour la récupération faut pas trop se faire d'illusion.

Tu as été infecté par un Ransomware chiffreurs de fichiers.

Ces derniers vont essentiellement par des pièces jointes malicieux dans des emails ou des Exploits WEB.

Il n'y a pas vraiment de solution pour récupérer les documents.

C'est cette variante Ransomware [email protected] – virus-encoder

[ysayan]

Merci de votre réponse, j'ai envoyé les fichiers via pjjoint.

bonne soirée

[angelique]

Merci de votre réponse, j'ai envoyé les fichiers via pjjoint.

bonne soirée

Faut mettre les liens afin qu'ils puissent être consultés.

[ysayan]

Bonjour,

Oups pardon, c'est la première fois que je poste et j'ai du m'absenter pour le boulot, donc voici le lien avec toutes mes excuses.

http://pjjoint.malekal.com/files.php?re ... 11b9y5d9t6

[Malekal_morte]

Malwarebytes a fait le ménage :

Fichiers: 9
Trojan.Agent.RDL, C:\Users\User\AppData\Local\klzmshh.dll, Supprimé-au-redémarrage, [8a937deff1995dd9a87340b5ac5910f0],
Trojan.Agent.RDL, C:\Users\User\AppData\Local\ysvsqfv.dll, Supprimé-au-redémarrage, [6eaf3e2e7a1060d6d34829cc1de8a060],
Trojan.Agent.DED, C:\7466e51a\7466e51a.exe, Mis en quarantaine, [a27b9bd1fb8fa690a53438c23bc69f61],
Trojan.Agent.DED, C:\Users\User\AppData\Roaming\7466e51a.exe, Mis en quarantaine, [84995a12cbbf072f4297f901926f3fc1],
Trojan.Downloader, C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\4734.tmp, Mis en quarantaine, [c558e5876f1b181e4faf3302976cb54b],
Trojan.Agent.DED, C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\7466e51a.exe, Mis en quarantaine, [c25b1d4fb1d9191d0bce9d5d4db4a45c],
Trojan.Agent.LX, C:\Users\User\AppData\Local\Temp\rad407FC.tmp.exe, Mis en quarantaine, [8e8f3c30a7e396a03e1840b57b8afe02],
Trojan.Dropper.NS, C:\Users\User\AppData\Local\Temp\radD393B.tmp.exe, Mis en quarantaine, [e835e28aec9e66d011186ddaf30fb54b],

~~


Suis ce tutoriel FRST: https://www.malekal.com/tutorial-farbar ... tool-frst/
(et bien prendre le temps de lire afin d'appliquer correctement - tout y est expliqué).
Télécharge et lance le scan FRST, cela va générer trois rapports FRST :
* FRST.txt
* Shortcut.txt
* Additionnal.txt

Envoie, comme expliqué, ces trois rapports sur le site http://pjjoint.malekal.com et en retour donne les trois liens pjjoint qui mènent à ses rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

[ysayan]

Voici les rapports, merci
FRST http://pjjoint.malekal.com/files.php?id ... 6c12n13h13
Additions http://pjjoint.malekal.com/files.php?id ... 7h14s6e9v9
Shortcuts http://pjjoint.malekal.com/files.php?id ... 2z8b15m6t6

[Malekal_morte]

Pas d'antivirus :/
Le PC a plusieurs infections.

Voici la correction à effectuer avec FRST.
Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutorial-farbar ... -frst/#fix

Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK.
Copie/colle dedans ce qui suit :

HKU\S-1-5-21-81460552-3120784987-2629649847-1000\...\Run: [YkPack] => C:\Windows\SysWOW64\regsvr32.exe C:\Users\User\AppData\Local\UQXmedia\npitunes.dll
HKU\S-1-5-21-81460552-3120784987-2629649847-1000\...\Run: [Udmedia] => regsvr32.exe C:\Users\User\AppData\Local\Udmedia\dtcpeqrqdukf.dll <===== ATTENTION
2015-04-13 07:07 - 2015-04-13 07:07 - 00000336 _____ () C:\Users\User\AppData\Roaming\jekoznejie1
2015-04-10 20:36 - 2015-04-10 20:36 - 00000193 _____ () C:\Users\User\AppData\Roaming\njyhik9iaa
2015-03-25 10:02 - 2015-03-26 18:55 - 00000000 ____D () C:\Users\User\AppData\Roaming\wufumok
C:\Users\User\AppData\Local\Udmedia
C:\Users\User\AppData\Local\UQXmedia


Une fois, le texte coller dans le bloc-note.
Menu Fichier puis Enregistrer sous.
A gauche, place toi sur le bureau.
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.

Relance FRST et clic sur le bouton Fix
Selon comment un redémarrage est nécessaire (pas obligatoire).
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur


Passe un coup de TDSSKiller : http://forum.malekal.com/tdsskiller-kas ... 28637.html
Fais skip sur les détections.
Clic en haut à droite sur reports.
Vas sur http://pjjoint.malekal.com et copie/colle le contenu du rapport TDSSKiller en bas, fais envoyer.
Donne le lien du rapport pjjoint ici dans un nouveau message.

[ysayan]

C'est fait

Fix result of Farbar Recovery Tool (FRST written by Farbar) (x64) Version: 15-04-2015 04
Ran by User at 2015-04-16 19:45:14 Run:1
Running from C:\Users\User\Desktop
Loaded Profiles: User (Available profiles: User & Administrateur)
Boot Mode: Normal
==============================================

Content of fixlist:
*****************
HKU\S-1-5-21-81460552-3120784987-2629649847-1000\...\Run: [YkPack] => C:\Windows\SysWOW64\regsvr32.exe C:\Users\User\AppData\Local\UQXmedia\npitunes.dll
HKU\S-1-5-21-81460552-3120784987-2629649847-1000\...\Run: [Udmedia] => regsvr32.exe C:\Users\User\AppData\Local\Udmedia\dtcpeqrqdukf.dll <===== ATTENTION
2015-04-13 07:07 - 2015-04-13 07:07 - 00000336 _____ () C:\Users\User\AppData\Roaming\jekoznejie1
2015-04-10 20:36 - 2015-04-10 20:36 - 00000193 _____ () C:\Users\User\AppData\Roaming\njyhik9iaa
2015-03-25 10:02 - 2015-03-26 18:55 - 00000000 ____D () C:\Users\User\AppData\Roaming\wufumok
C:\Users\User\AppData\Local\Udmedia
C:\Users\User\AppData\Local\UQXmedia
*****************

HKU\S-1-5-21-81460552-3120784987-2629649847-1000\Software\Microsoft\Windows\CurrentVersion\Run\\YkPack => value deleted successfully.
HKU\S-1-5-21-81460552-3120784987-2629649847-1000\Software\Microsoft\Windows\CurrentVersion\Run\\Udmedia => value deleted successfully.
C:\Users\User\AppData\Roaming\jekoznejie1 => Moved successfully.
C:\Users\User\AppData\Roaming\njyhik9iaa => Moved successfully.
C:\Users\User\AppData\Roaming\wufumok => Moved successfully.
C:\Users\User\AppData\Local\Udmedia => Moved successfully.
C:\Users\User\AppData\Local\UQXmedia => Moved successfully.

==== End of Fixlog 19:45:32 ====

[Malekal_morte]

Faire TDSSKiller.

[ysayan]

Voici le rapport Tdsskiller
http://pjjoint.malekal.com/files.php?id ... k7m9f11c58

[Malekal_morte]

OK

Relance TDSSKiller et sur ça, tu fais Cure :

20:57:28.0158 0x0b30 [ 287DC3EA9C9D9B1B647F2B39EFD9DD56, CFEC84193B504F302309164FB6CD4E9EFED913A88D357D07167A4DADE6F08417 ] 7052e869cab3becf C:\Windows\System32\Drivers\7052e869cab3becf.sys
20:57:28.0158 0x0b30 Suspicious file ( NoAccess ): C:\Windows\System32\Drivers\7052e869cab3becf.sys. md5: 287DC3EA9C9D9B1B647F2B39EFD9DD56, sha256: CFEC84193B504F302309164FB6CD4E9EFED913A88D357D07167A4DADE6F08417
20:57:28.0251 0x0b30 7052e869cab3becf - detected Rootkit.Win32.Necurs.gen ( 0 )
20:57:31.0104 0x0b30 7052e869cab3becf ( Rootkit.Win32.Necurs.gen ) - infected
20:57:31.0104 0x0b30 Force sending object to P2P due to detect: 7052e869cab3becf
20:57:33.0997 0x0b30 Object send P2P result: true

[ysayan]

J'ai refait un scan TdssKiller, mais options seulement skip-quarantaine ou delete, cure est l'option par defaut ?
donc j'ai laissé faire, reboot et rapport
http://pjjoint.malekal.com/files.php?id ... 7l5e12i8n5
merci, isabelle

[Malekal_morte]

Ce n'est pas un rapport de Scan.
Y a plus de Necurs de détecté quand tu lances un scan TDSSKiller ?

[ysayan]

A priori non, j'ai refait un scan a l'instant, le voici
http://pjjoint.malekal.com/files.php?id ... b7u5g10o10