[Résolu] Windows 7 infecté par rançongiciel (.micro)

[lalana6]

Bonjour,

Mon ordi aussi a été infecté, pourriez vous m'aider svp?

http://pjjoint.malekal.com/files.php?id ... 7m13s10t13

http://pjjoint.malekal.com/files.php?id ... 6w8z13r9z8

http://pjjoint.malekal.com/files.php?id ... t13n6m6p12

pourriez vous me communiquer quoi exactement copier dans le fichier fixlist.txt pour faire correction par FRST?

Est-ce que on peut sauver mes fichiers avec extension micro en faisant la restauration systeme
Merci Lana

[Malekal_morte]

Salut,

Windows a été infecté par un ransomware / rançongiciel chiffreur de fichiers. Ces rançongiciels s'attrapent essentiellement par l'ouverture d'une pièce jointe malicieuse dans un e-mail ou par la visite d'une page internet piégée par des exploits WEB.

A l'heure actuelle, il n'y a pas vraiment de méthode pour récupérer les documents chiffrés. Si les données sont très importantes, les stocker temporairement à l'abri car peut-être qu'il y aura dans le futur une solution pour les récupérer.



Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

Code : Tout sélectionner

 HKU\S-1-5-21-1203339677-2951245110-3945368570-1000\...\Run: [zsevice-34] => C:\Users\lana\AppData\Roaming\jfftnhe45.exe 
 HKU\S-1-5-21-1203339677-2951245110-3945368570-1000\...\Run: [MSConfig] => C:\Users\lana\afehymqr.exe [43409408 2016-01-24] (ObreatTrack Security, Inc) 
 HKU\S-1-5-21-1203339677-2951245110-3945368570-1000\...\Run: [Eqtion] => C:\Users\lana\AppData\Local\Eqtion\TMP68F6.exe [90112 2016-01-24] (Soft HTA,)  
 HKU\S-1-5-21-1203339677-2951245110-3945368570-1000\...\Run: [UXmedia] => C:\Windows\SysWOW64\regsvr32.exe C:\Users\lana\AppData\Local\Eqtion\xwdgipgm.dll  
Startup: C:\Users\lana\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\help_recover_instructions+iug.html [2016-01-24] () 
Startup: C:\Users\lana\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\help_recover_instructions+iug.txt [2016-01-24] ()
 2016-01-24 13:50 - 2016-01-25 18:31 - 00000000 ____D C:\Users\lana\AppData\Local\Eqtion 
 2016-01-24 13:50 - 2016-01-24 14:36 - 00000000 ___HD C:\ProgramData\{9A88E103-A20A-4EA5-8636-C73B709A5BF8} 
 2016-01-24 13:50 - 2016-01-24 13:50 - 43409408 ____H (ObreatTrack Security, Inc) C:\Users\lana\afehymqr.exe 

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.


Redémarre l'ordinateur.


Ensuite Ouvre Mon Ordinateur
puis le disque C
Ouvre le dossier FRST.
Dedans se trouve, le dossier Quarantine
Fais un clic droit dessus puis envoyer vers le dossier compressé.
Envoie le zip sur http://upload.malekal.com



Fais une recherche de fichiers sur Windows (aide : Comment rechercher des fichiers sur Windows) sur help_recover_instructions et supprime les fichiers trouvés.

[lalana6]

voici le fichier fixlog

Code : Tout sélectionner

Résultats de correction de Farbar Recovery Scan Tool (x64) Version:24-01-2016
Exécuté par lana (2016-01-25 22:11:56) Run:1
Exécuté depuis C:\Users\lana\Desktop
Profils chargés: lana (Profils disponibles: lana)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
HKU\S-1-5-21-1203339677-2951245110-3945368570-1000\...\Run: [zsevice-34] => C:\Users\lana\AppData\Roaming\jfftnhe45.exe 
 HKU\S-1-5-21-1203339677-2951245110-3945368570-1000\...\Run: [MSConfig] => C:\Users\lana\afehymqr.exe [43409408 2016-01-24] (ObreatTrack Security, Inc) 
 HKU\S-1-5-21-1203339677-2951245110-3945368570-1000\...\Run: [Eqtion] => C:\Users\lana\AppData\Local\Eqtion\TMP68F6.exe [90112 2016-01-24] (Soft HTA,)  
 HKU\S-1-5-21-1203339677-2951245110-3945368570-1000\...\Run: [UXmedia] => C:\Windows\SysWOW64\regsvr32.exe C:\Users\lana\AppData\Local\Eqtion\xwdgipgm.dll  
Startup: C:\Users\lana\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\help_recover_instructions+iug.html [2016-01-24] () 
Startup: C:\Users\lana\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\help_recover_instructions+iug.txt [2016-01-24] ()
 2016-01-24 13:50 - 2016-01-25 18:31 - 00000000 ____D C:\Users\lana\AppData\Local\Eqtion 
 2016-01-24 13:50 - 2016-01-24 14:36 - 00000000 ___HD C:\ProgramData\{9A88E103-A20A-4EA5-8636-C73B709A5BF8} 
 2016-01-24 13:50 - 2016-01-24 13:50 - 43409408 ____H (ObreatTrack Security, Inc) C:\Users\lana\afehymqr.exe 
*****************

HKU\S-1-5-21-1203339677-2951245110-3945368570-1000\Software\Microsoft\Windows\CurrentVersion\Run\\zsevice-34 => valeur supprimé(es) avec succès
HKU\S-1-5-21-1203339677-2951245110-3945368570-1000\Software\Microsoft\Windows\CurrentVersion\Run\\MSConfig => valeur supprimé(es) avec succès
HKU\S-1-5-21-1203339677-2951245110-3945368570-1000\Software\Microsoft\Windows\CurrentVersion\Run\\Eqtion => valeur supprimé(es) avec succès
HKU\S-1-5-21-1203339677-2951245110-3945368570-1000\Software\Microsoft\Windows\CurrentVersion\Run\\UXmedia => valeur supprimé(es) avec succès
C:\Users\lana\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\help_recover_instructions+iug.html => déplacé(es) avec succès
C:\Users\lana\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\help_recover_instructions+iug.txt => déplacé(es) avec succès
C:\Users\lana\AppData\Local\Eqtion => déplacé(es) avec succès

"C:\ProgramData\{9A88E103-A20A-4EA5-8636-C73B709A5BF8}" dossier déplacer:

Impossible de déplacer "C:\ProgramData\{9A88E103-A20A-4EA5-8636-C73B709A5BF8}" => Planifié pour déplacement au redémarrage.

C:\Users\lana\afehymqr.exe => déplacé(es) avec succès

Résultats du déplacement planifié des fichiers (Mode d'amorçage: Normal) (Date&Heure: 2016-01-25 22:13:30)

C:\ProgramData\{9A88E103-A20A-4EA5-8636-C73B709A5BF8} => a été déplacé(e) avec succès

==== Fin de Fixlog 22:13:30 ====

[lalana6]

j'ai fait aussi les recherche de fichiers help_recover_instructions

il y a environ 200 fichiers dans les différents dossiers, est qu'on doit supprimer un par un ou il y a une solution pour les sélectionner et supprimer d'un coup? merci

[Malekal_morte]

Voici la suite :

MalwareBytes ( durée : environ 40min de scan ):
==================================================
Télécharge et installe MBAM. La version gratuite permet de nettoyer ( décoche bien la proposition d'essai de la version Premium à la fin de l'installation ) :
* Tutoriel MBAM version gratuite
* Tutoriel MBAM version payante

Mettre MBAM à jour puis lancer un examen.
A la fin du scan, clique sur "Supprimer Sélection" en bas à gauche.
Redémarrer l'ordinateur si nécessaire puis relancer Malwarebytes.
Vas chercher le rapport dans l'onglet "Historique".

A gauche "Journal d'analyse", double-clique sur l'examen dans la liste. Puis en bas "Copier dans le presse papier", va sur http://pjjoint.malekal.com/, clique droit "Coller" pour coller le contenu du rapport du scan. Clique sur "Envoyer". Dans un nouveau message ici en réponse, donne le lien pjjoint afin de pouvoir consulter le rapport.

[lalana6]

http://pjjoint.malekal.com/files.php?id ... 11p9v14v10
voici le fichier

[Malekal_morte]

ca doit être bon,

Installe Avast!, active surtout les détections LPI pour détecter les programmes parasites et publicitaires.


Renforce la sécurité de ton Windows : Comment sécuriser mon Windows

[lalana6]

Merci beaucoup!

avast c'est mieux que antivir? et pour pop up que conseillez vous ?
car ce virus et venu avec web?

[Malekal_morte]

Pour la propagation, voir ma première réponse.
Probablement un web Exploit.

Pour Avast! oui c'est mieux, je pense.
Après ton problème est que tu as probablement des programmes non à jour (Flash, Java etc) qui permettent l'infection de ton ordinateur, c'est cela que tu dois corriger.