Windows 7 infecté par rançongiciel chiffreur de fichiers

[ekalasz]

Bonsoir,

J'ai reçu un email piégé vraiment vicieux avec l'adresse de ma femme mais avec un nom de domaine différent.
Je l'ai ouvert comme un imbécile et depuis mes données ont été prises en otage.
J'ai lancé la procédure FRST et indiqué les liens.

Merci par avance,
Eric

[Malekal_morte]

Salut,

Envoie les rapports sur http://pjjoint.malekal.com
Donne les liens ici.

[ekalasz]

Les liens
http://pjjoint.malekal.com/files.php?id ... 8l5n12d613
http://pjjoint.malekal.com/files.php?id ... x9m12z9u13
Merci par avance de votre aide
Je vous donnerai le mot de passe en MP
Eric

[Malekal_morte]

Il est encore actif et il s'agit de la variante extension .micro
donc à l'heure actuelle, il n'y a pas de solution pour récupérer les documents.

Tu as été infecté par un Ransomware chiffreurs de fichiers.

Ces derniers vont essentiellement par des pièces jointes malicieux dans des emails ou des Exploits WEB.

Pour désinfecter Windows :

Je te conseille de désinstaller McAfee Security Scan, c'est avant tout un programme marketting proposé à l'installation d'Adobe Flash pour tenter de te proposer l'antivirus.

Voici la correction à  effectuer avec FRST.
Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutorial-farbar ... -frst/#fix

Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK.
Copie/colle dedans ce qui suit :

Code : Tout sélectionner

HKU\S-1-5-21-1365210169-2043555165-912279061-1000\...\Run: [zservice-34] => C:\Users\eric KALASZ\AppData\Roaming\wnvuuhe45.exe [450560 2016-01-22] () 
 2016-01-22 10:40 - 2016-01-22 10:40 - 00450560 _____ C:\Users\eric KALASZ\AppData\Roaming\wnvuuhe45.exe 
 2016-01-22 10:40 - 2016-01-22 10:40 - 00000253 _____ C:\Users\eric KALASZ\Documents\recover_file_ujurwwlxo.txt  
Startup: C:\Users\eric KALASZ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\help_recover_instructions+nyx.html [2016-01-22] () 
Startup: C:\Users\eric KALASZ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\help_recover_instructions+nyx.txt [2016-01-22] () 
Startup: C:\Users\eric KALASZ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\help_recover_instructions+tub.html [2016-01-25] () 
Startup: C:\Users\eric KALASZ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\help_recover_instructions+tub.txt [2016-01-25] () 

Une fois, le texte collé dans le bloc-note.
Menu Fichier puis Enregistrer sous.
A gauche, place toi sur le bureau.
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.

Relance FRST et clic sur le bouton Corriger / Fix
Selon comment un redémarrage est nécessaire (pas obligatoire).
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

Fais une recherche de fichiers sur Windows (voir Recherche de fichiers sur Windows) sur recover_file_ et supprime les fichiers

[ekalasz]

Code : Tout sélectionner

Résultats de correction de Farbar Recovery Scan Tool (x64) Version:18-01-2016
Exécuté par eric KALASZ (2016-01-25 10:07:32) Run:1
Exécuté depuis C:\Users\eric KALASZ\Desktop\fixlist
Profils chargés: eric KALASZ (Profils disponibles: eric KALASZ)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
HKU\S-1-5-21-1365210169-2043555165-912279061-1000\...\Run: [zservice-34] => C:\Users\eric KALASZ\AppData\Roaming\wnvuuhe45.exe [450560 2016-01-22] () 
2016-01-22 10:40 - 2016-01-22 10:40 - 00450560 _____ C:\Users\eric KALASZ\AppData\Roaming\wnvuuhe45.exe 
2016-01-22 10:40 - 2016-01-22 10:40 - 00000253 _____ C:\Users\eric KALASZ\Documents\recover_file_ujurwwlxo.txt 
Startup: C:\Users\eric KALASZ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\help_recover_instructions+nyx.html [2016-01-22] () 
Startup: C:\Users\eric KALASZ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\help_recover_instructions+nyx.txt [2016-01-22] () 
Startup: C:\Users\eric KALASZ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\help_recover_instructions+tub.html [2016-01-25] () 
Startup: C:\Users\eric KALASZ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\help_recover_instructions+tub.txt [2016-01-25] () 
*****************
Voilà le texte issu de fixlog


HKU\S-1-5-21-1365210169-2043555165-912279061-1000\Software\Microsoft\Windows\CurrentVersion\Run\\zservice-34 => valeur supprimé(es) avec succès
C:\Users\eric KALASZ\AppData\Roaming\wnvuuhe45.exe => déplacé(es) avec succès
C:\Users\eric KALASZ\Documents\recover_file_ujurwwlxo.txt => déplacé(es) avec succès
C:\Users\eric KALASZ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\help_recover_instructions+nyx.html => déplacé(es) avec succès
C:\Users\eric KALASZ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\help_recover_instructions+nyx.txt => déplacé(es) avec succès
C:\Users\eric KALASZ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\help_recover_instructions+tub.html => déplacé(es) avec succès
C:\Users\eric KALASZ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\help_recover_instructions+tub.txt => déplacé(es) avec succès

==== Fin de Fixlog 10:07:36 ====

[Malekal_morte]

Voila, le ransomware a été supprimé.

Il faut sécuriser la machine : Comment sécuriser son ordinateur et Windows