[Résolu] Windows 8.1 infecté Cryptxxx 3.0, fichiers perdus

[MaxIng]

Bonjour,

J'ai une machine qui a été infecté par la nouvelle version de CryptXXX. L'outil de Kaspersky ne fonctionne donc pas (pour l'instant ? ) et je considère pour l'instant les fichiers cryptés comme perdus.

Cependant je souhaiterais vérifier que le ransomware n'est plus actif.

Je met à disposition les rapports FRST pour cela :

http://pjjoint.malekal.com/files.php?id ... 0f14q10i11
http://pjjoint.malekal.com/files.php?id ... z9v14l6v11
http://pjjoint.malekal.com/files.php?id ... 7m6z5j12g7

Pour info : MalwareBytes et Adwcleaner n'ont rien trouvé. Un scan ESET en ligne a identifié les fichiers .txt "Recovery" dans tous les dossiers victimes du virus ainsi qu'une .dll.
Je met le rapport également à disposition si jamais il est utile :

http://pjjoint.malekal.com/files.php?id ... 13u10m5h14

Je remercie d'avance la personne qui prendra le temps de jeter un œil aux différents éléments.
Je suis également ouvert aux solutions permettant de se prémunir de ce genre de virus.

[Malekal_morte]

Windows a été infecté par un ransomware / rançongiciel chiffreur de fichiers. Ces rançongiciels s'attrapent essentiellement par l'ouverture d'une pièce jointe malicieuse dans un e-mail ou par la visite d'une page internet piégée par des exploits WEB.

A l'heure actuelle, il n'y a pas vraiment de méthode pour récupérer les documents chiffrés. Si les données sont très importantes, les stocker temporairement à l'abri car peut-être qu'il y aura dans le futur une solution pour les récupérer.

Il y a simplement des restes avec les fichiers d'instructions.
CryptXXX se désactive tout seul au bout d'un moment.

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

Code : Tout sélectionner

CreateRestorePoint:
 Startup: C:\Users\Arnaud\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\70F105533319B.lnk [1899-12-30]  
ShortcutTarget: 70F105533319B.lnk -> C:\ProgramData\70F105533319.bmp () 
 Startup: C:\Users\Arnaud\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\70F105533319H.lnk [1899-12-30]  
ShortcutTarget: 70F105533319H.lnk -> C:\ProgramData\70F105533319.html () 
1899-12-30 00:00 - 1899-12-30 00:00 - 4147254 ____T () C:\ProgramData\70F105533319.bmp 
 1601-03-12 15:17 - 1601-03-12 15:17 - 0014193 _____ () C:\ProgramData\70F105533319.html 
Reboot:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

[MaxIng]

Bonjour Malekal,

Merci une fois de plus pour ton aide.
Voici le fichier FRST : http://pjjoint.malekal.com/files.php?id ... 3m11v14q10

Je vais garder les fichiers cryptés quelques temps au cas où une solution apparait.

[Malekal_morte]

Voila, c'est terminé pour la désinfection, sachant qu'il n'était déjà plus actif.

Comment se protéger des scripts malicieux sur Windows

Renforce la sécurité de ton Windows : Comment sécuriser mon Windows