Windows 7 a été infecté, les fichiers sont cryptés en .XTBL

[GUILLAUME65]

Bonjour, tous

Je me suis inscrit sur votre forum, car j'ai un soucis assez grave sur la machine de mon boulot. Windows a été piraté et tous mes fichiers sont cryptés en XTBL, on me propose de tout formater mais j'aimerais sauver mes fichiers. J'ai lu votre forum et j'ai suivie les procédures avec FRST : j'ai généré les 3 rapports.

ci joint les liens que pjpoint.malekal

SHORTCUP : http://pjjoint.malekal.com/files.php?id ... g13n12s5l8
FRST : http://pjjoint.malekal.com/files.php?id ... 0c7s11n10e
AUDITION : http://pjjoint.malekal.com/files.php?id ... 115g11m139

merci d'avance
guillaume

[Malekal_morte]

Hello,

Le lien FRST.txt n'est pas bon. Redonne un fonctionnel.

Comme mentionné sur cette fiche : Ransomware XTBL, probablement une attaque RDP.

Les comptes Administrateurs devaient avoir des mots de passe trop faibles.

[GUILLAUME65]

merci pour la reponse aussi rapide

ci joint le nouveau lien

FRST http://pjjoint.malekal.com/files.php?id ... 10w10d14z8

Guillaume

[Malekal_morte]

ouaip, il ne semble plus actif - [email protected] l'adresse email.

Code : Tout sélectionner

2016-04-29 07:14 - 2016-04-29 07:14 - 01269130 _____ C:\Users\u1\Documents\Dossier62235 certinomis.pdf.id-B8D5E988.{[email protected]}.xtbl
2016-04-29 07:14 - 2016-04-29 07:14 - 01172528 _____ C:\Users\u1\Desktop\plandacces.jpg.id-B8D5E988.{[email protected]}.xtbl
2016-04-29 07:14 - 2016-04-29 07:14 - 00992718 _____ C:\Users\u1\Desktop\MODELE DE FACTURE.pdf.id-B8D5E988.{[email protected]}.xtbl
2016-04-29 07:14 - 2016-04-29 07:14 - 00597202 _____ C:\Users\u1\Documents\journaux ventes2015.pdf.id-B8D5E988.{[email protected]}.xtbl
2016-04-29 07:14 - 2016-04-29 07:14 - 00495352 _____ C:\Users\u1\Desktop\015874.xls.id-B8D5E988.{[email protected]}.xtbl
2016-04-29 07:14 - 2016-04-29 07:14 - 00491248 _____ C:\Users\u1\Documents\enveloppe lettre de vente.docx.id-B8D5E988.{[email protected]}.xtbl
2016-04-29 07:14 - 2016-04-29 07:14 - 00483636 _____ C:\Users\u1\Desktop\00a303e1-48fb-48af-88fd-a8f52858e065.zip.qpfl2k9.partial.id-B8D5E988.{[email protected]}.xtbl
2016-04-29 07:14 - 2016-04-29 07:14 - 00313380 _____ C:\Users\u1\Desktop\(20160317114958789) e-document du 17.03.2016 pour NP.PDF.id-B8D5E988.{[email protected]}.xtbl

~~

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

Code : Tout sélectionner

Startup: C:\Users\scanner\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.jpg [2016-04-29] ()
Startup: C:\Users\scanner\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.txt [2016-04-29] ()
Winsock: Catalog9 01 C:\windows\system32\LavasoftTcpService.dll Pas de fichier 
Winsock: Catalog9 02 C:\windows\system32\LavasoftTcpService.dll Pas de fichier 
Winsock: Catalog9 03 C:\windows\system32\LavasoftTcpService.dll Pas de fichier 
Winsock: Catalog9 04 C:\windows\system32\LavasoftTcpService.dll Pas de fichier 
Winsock: Catalog9 25 C:\windows\system32\LavasoftTcpService.dll Pas de fichier 
Winsock: Catalog9-x64 01 C:\windows\system32\LavasoftTcpService64.dll [425744 2015-09-24] (Lavasoft Limited)
Winsock: Catalog9-x64 02 C:\windows\system32\LavasoftTcpService64.dll [425744 2015-09-24] (Lavasoft Limited)
Winsock: Catalog9-x64 03 C:\windows\system32\LavasoftTcpService64.dll [425744 2015-09-24] (Lavasoft Limited)
Winsock: Catalog9-x64 04 C:\windows\system32\LavasoftTcpService64.dll [425744 2015-09-24] (Lavasoft Limited)
Winsock: Catalog9-x64 25 C:\windows\system32\LavasoftTcpService64.dll [425744 2015-09-24] (Lavasoft Limited) 
cmd: netsh winsock reset

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

[GUILLAUME65]

Ci joint le contenu:

Code : Tout sélectionner

Startup: C:\Users\scanner\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.jpg [2016-04-29] ()
Startup: C:\Users\scanner\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.txt [2016-04-29] ()
Winsock: Catalog9 01 C:\windows\system32\LavasoftTcpService.dll Pas de fichier 
Winsock: Catalog9 02 C:\windows\system32\LavasoftTcpService.dll Pas de fichier 
Winsock: Catalog9 03 C:\windows\system32\LavasoftTcpService.dll Pas de fichier 
Winsock: Catalog9 04 C:\windows\system32\LavasoftTcpService.dll Pas de fichier 
Winsock: Catalog9 25 C:\windows\system32\LavasoftTcpService.dll Pas de fichier 
Winsock: Catalog9-x64 01 C:\windows\system32\LavasoftTcpService64.dll [425744 2015-09-24] (Lavasoft Limited)
Winsock: Catalog9-x64 02 C:\windows\system32\LavasoftTcpService64.dll [425744 2015-09-24] (Lavasoft Limited)
Winsock: Catalog9-x64 03 C:\windows\system32\LavasoftTcpService64.dll [425744 2015-09-24] (Lavasoft Limited)
Winsock: Catalog9-x64 04 C:\windows\system32\LavasoftTcpService64.dll [425744 2015-09-24] (Lavasoft Limited)
Winsock: Catalog9-x64 25 C:\windows\system32\LavasoftTcpService64.dll [425744 2015-09-24] (Lavasoft Limited) 
cmd: netsh winsock reset

[angelique]

tu n'as fait que recopier le contenu du fixlist demandé, et non le résultat apres avoir créer le fixlist.txt à coté de frst puis cliqué corriger

[GUILLAUME65]

Bonjour, angelique

j'ai pas compris ce que tu veux dire, j'ai suivie les indications du message precedent, et le fichier génere est celui que j'ai partagé.

Par contre pour info j'ai fais un mail a l'adresse indiqué @india avec une adresse mail fictive et voici la reponse:

Code : Tout sélectionner

 Good morning, dear friend! 
We are writing to inform you that our team of specialists of network security has analyzed your system and has identified vulnerabilities in the protection.
We kindly draw your attention that defensive operation on your computer is not running properly and now the whole database is at risk. 
All your files are encrypted and can not be accepted back without our professional help.
Obviously vulnerability analysis, troubleshooting, decoding the information and then ensuring safety are not a simple matter.
And so our high-grade and quick service is not free.
Please note that today the price of your files recovery is 2 Bitcoins, but next day it will cost 4 Bitcoins.
You should buy bitcoins here https://localbitcoins.com/faq 
Read the paragraphs:
1. How to buy Bitcoins? 
2. How do I send Bitcoins and how can I pay with Bitcoins after buying them?
The Bitcoin wallet for payment is 1CsBaoxEyhrRbFgRYyjivqYcNExMNZFjEs
After the transfer of bitcoins please send email with screenshot of the payment page.
We does not advise you to lose time, because the price will encrese with each passing day.
As proof of our desire and readiness to help you, we can decipher a few of your files for test. 
To check this you can upload any encrypted file on web site dropmefiles.com, size no more than 10 MB (only text file or a photo) and send us a download link.
Certainly after payment we guarantee prompt solution of the problem, decrypt the database to return to its former condition and consultation how to secure the rules of the system safety.
Kind regards, Saraswati.

[Malekal_morte]

C'est ce que je t'ai dit, ton WINDOWS est vulnérable.
Pour la récupération des documents c'est mort.

Et vu ce que tu as collé, tu n'as pas l'air d'avoir fait la correction FRST.

[GUILLAUME65]

Ok, je vais essayer de refaire le FRST demain au bureau.

Et sinon donc formatage obligatoire et réinstallation alors?

guillaume

[Malekal_morte]

Pas nécessairement vu que rien n'est actif.
Tu fais la correction FRST et tu sécurises Windows, je te donnerai des conseils.

[GUILLAUME65]

ci jiont le retour du correctif FRST, merci de me dire si c'est ok

Résultats de correction de Farbar Recovery Scan Tool (x64) Version:27-04-2016
Exécuté par u1 (2016-05-02 09:06:02) Run:3
Exécuté depuis C:\Users\u1\Desktop
Profils chargés: u1 (Profils disponibles: u1 & scanner & Administrateur)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
Startup: C:\Users\scanner\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.jpg [2016-04-29] ()
Startup: C:\Users\scanner\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.txt [2016-04-29] ()
Winsock: Catalog9 01 C:\windows\system32\LavasoftTcpService.dll Pas de fichier
Winsock: Catalog9 02 C:\windows\system32\LavasoftTcpService.dll Pas de fichier
Winsock: Catalog9 03 C:\windows\system32\LavasoftTcpService.dll Pas de fichier
Winsock: Catalog9 04 C:\windows\system32\LavasoftTcpService.dll Pas de fichier
Winsock: Catalog9 25 C:\windows\system32\LavasoftTcpService.dll Pas de fichier
Winsock: Catalog9-x64 01 C:\windows\system32\LavasoftTcpService64.dll [425744 2015-09-24] (Lavasoft Limited)
Winsock: Catalog9-x64 02 C:\windows\system32\LavasoftTcpService64.dll [425744 2015-09-24] (Lavasoft Limited)
Winsock: Catalog9-x64 03 C:\windows\system32\LavasoftTcpService64.dll [425744 2015-09-24] (Lavasoft Limited)
Winsock: Catalog9-x64 04 C:\windows\system32\LavasoftTcpService64.dll [425744 2015-09-24] (Lavasoft Limited)
Winsock: Catalog9-x64 25 C:\windows\system32\LavasoftTcpService64.dll [425744 2015-09-24] (Lavasoft Limited)
cmd: netsh winsock reset
*****************

C:\Users\scanner\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.jpg => non trouvé(e).
C:\Users\scanner\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.txt => non trouvé(e).
"HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001" => clé supprimé(es) avec succès
"HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002" => clé supprimé(es) avec succès
"HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003" => clé supprimé(es) avec succès
"HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000004" => clé supprimé(es) avec succès
HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000025 => clé non trouvé(e).
"HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries64\000000000001" => clé supprimé(es) avec succès
"HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries64\000000000002" => clé supprimé(es) avec succès
"HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries64\000000000003" => clé supprimé(es) avec succès
"HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries64\000000000004" => clé supprimé(es) avec succès
HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries64\000000000025 => clé non trouvé(e).

========= netsh winsock reset =========

Le d�marrage de la fonction d'initialisation InitHelperDll dans NSHHTTP.DLL a �chou��;
code d'erreur�: 10107

Le catalogue Winsock a �t� r�initialis� correctement.
Vous devez red�marrer l'ordinateur afin de finaliser la r�initialisation.


========= Fin de CMD: =========


==== Fin de Fixlog 09:06:03 ====

[Malekal_morte]

Je pense que c'est good.

Renforce la sécurité de ton Windows : Comment sécuriser mon Windows

[Malekal_morte]

Suivre cette page : DecryptTool : déchiffrer les ransomwares qui énumère tous les outils des éditeurs de sécurité qui permet de récupérer ses fichiers.
Certains visent .XTBL