Windows 7 a été infecté par le rançongiciel TeslaCrypt

[fab59260]

Bonjour,

Je suis nouveau sur ce forum.
J'ai eu la mauvaise surprise de retrouver mes fichiers chiffrés avec extension en .ccc

J'ai donc téléchargé FRST qui m'a généré deux rapports que voici

Addition.txt

FRST.txt

Pourriez-vous m'aider a l'éliminer ?
D'autre part, j'ai une clé usb qui était dans l'ordinateur.
Comment la nettoyer ?

Merci

[Malekal_morte]

Salut,

Ouaip :

2015-11-08 17:43 - 2015-11-08 17:51 - 0002547 _____ () C:\ProgramData\howto_recover_file_uknys.txt
2015-11-08 09:20 - 2015-11-08 09:21 - 0002547 _____ () C:\ProgramData\howto_recover_file_xhoef.txt

~~

Tu as installé Microsoft Security Essentials par dessus Antivir, ça ne sert strictement à rien à poser des problèmes (ralentissements, plantages).
Désinstalle le.


Tu as donc été infecté par un Rançongiciels chiffreurs de fichiers.

Ces derniers vont essentiellement par des pièces jointes malicieux dans des emails ou des Exploits WEB.

Il n'y a pas vraiment de solution pour récupérer les documents.

Il faudra vérifier qu'aucun malware ne soit actif puis changer tous tes mots de passe.


~~

Envoie ces fichiers sur http://upload.malekal.com



Pour désinfecter l'ordinateur :
C:\Users\FABRICE\AppData\Roaming\brhbs-a.exe
C:\ProgramData\winhlp32.exe

puis :

Voici la correction à  effectuer avec FRST.
Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutorial-farbar ... -frst/#fix

Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK.
Copie/colle dedans ce qui suit :


HKU\S-1-5-21-686225537-4223516480-283009469-1000\...\Run: [qewr2342] => C:\Users\FABRICE\AppData\Roaming\brhbs-a.exe
HKU\S-1-5-21-686225537-4223516480-283009469-1000\...\Run: [winhlp32] => C:\ProgramData\winhlp32.exe [4096 2015-11-08] ()
2015-11-08 09:15 - 2015-11-08 09:15 - 00004096 _____ C:\ProgramData\winhlp32.exe
2015-11-08 09:10 - 2015-11-08 09:10 - 00004096 _____ C:\ProgramData\auditpol.dll

Une fois, le texte collé dans le bloc-note.
Menu Fichier puis Enregistrer sous.
A gauche, place toi sur le bureau.
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.

Relance FRST et clic sur le bouton Corriger / Fix
Selon comment un redémarrage est nécessaire (pas obligatoire).
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur

[fab59260]

merci voici le fichier texte
Résultats de correction de Farbar Recovery Scan Tool (x64) Version:07-11-2015
Exécuté par FABRICE (2015-11-08 21:04:35) Run:2
Exécuté depuis C:\Users\FABRICE\Desktop
Profils chargés: FABRICE & (Profils disponibles: FABRICE)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
HKU\S-1-5-21-686225537-4223516480-283009469-1000\...\Run: [qewr2342] => C:\Users\FABRICE\AppData\Roaming\brhbs-a.exe
HKU\S-1-5-21-686225537-4223516480-283009469-1000\...\Run: [winhlp32] => C:\ProgramData\winhlp32.exe [4096 2015-11-08] ()
2015-11-08 09:15 - 2015-11-08 09:15 - 00004096 _____ C:\ProgramData\winhlp32.exe
2015-11-08 09:10 - 2015-11-08 09:10 - 00004096 _____ C:\ProgramData\auditpol.dll

*****************

HKU\S-1-5-21-686225537-4223516480-283009469-1000\Software\Microsoft\Windows\CurrentVersion\Run\\qewr2342 => valeur non trouvé(e).
HKU\S-1-5-21-686225537-4223516480-283009469-1000\Software\Microsoft\Windows\CurrentVersion\Run\\winhlp32 => valeur non trouvé(e).
"C:\ProgramData\winhlp32.exe" => non trouvé(e).
"C:\ProgramData\auditpol.dll" => non trouvé(e).

==== Fin de Fixlog 21:04:35 ====


Comment puisje aire pour ma clé USB ?

[fab59260]

Windows redémarré. Vous êtes super ça a l'air de mieux fonctionner, c'est plus rapide.

Comment puis je maintenant traiter ma clé USB ?

[Malekal_morte]

Si tu parles de récupérer tes données de ta clef USB, c'est impossible.

[fab59260]

Je suis allé voir son contenu depuis une tablette Android, la moitié est touchée et le reste est intact.
Le rançongiciel y est-il présent ? Risque t-il de revenir sur Windows si je l'y insère ?

[Malekal_morte]

Normalement, il n'est plus actif.

[fab59260]

Juste une question afin de voir si il n'y a rien dessus, je peux la scanner avec Malwarebytes ?
Mais déjà, est-ce qu'il le détecte ce rançongiciel ?

[Malekal_morte]

Fais le scan demain fin d'aprem, le temps de l'ajout des nouvelles définitions.

[fab59260]

ok merci

[fab59260]

Bonjour encore merci pour votre aide, mon pc refonctionne presque comme avant, selon vous ces anti virus cryptentn ils des fichiers systèmes ? après une telel attaque faut il réinstaller le PC ? merci
Fabrice.

[Malekal_morte]

Non pas besoin de réinstaller.

Sécurise ton PC - surtout désactive bien java de tes navigateurs WEB !

Important - ton infection est venue par un exploit sur site web :

Un exploit sur site WEB permet l'infection de ton ordinateur de manière automatiquement à  la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à  jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à  ton insu.
Le fait de ne pas avoir des logiciels à  jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.
Exemple avec : Exploit Java

Il faut donc impérativement maintenir tes logiciels à  jour afin de ne pas voir ces portes d'entrée sur ton système.
Tant que ces logiciels ne seront pas à  jour, ton PC est vulnérable et les infections peuvent s'installer facilement.

Maintiens tes logiciels à  jour c'est important, utilise ce programme : http://forum.malekal.com/logiciels-pour ... 15960.html
Absolument à  faire.

~~

Désactive Java de tes plugins, ce dernier pose des problèmes de sécurité :

• Google Chrome (paragraphe Plugin) : https://www.malekal.com/2013/01/14/secu ... le-chrome/
• Internet Explorer (paragraphe plugin Jav) : https://www.malekal.com/2010/11/12/secu ... xplorer-2/
• Firefox : https://www.malekal.com/securiser-le-na ... firefox-2/

~~


Pour prévenir les sites malicieux, tu peux installer Blockulicious : http://forum.malekal.com/blockulicious- ... 46656.html


~~

Le reste de la sécurité pour sécuriser ton PC, voir : Comment sécuriser son ordinateur