RansomNoteCleaner

[Parisien_entraide]

Il s'agit juste d'une présentation avec copier coller de différentes sources

L'auteur est Michael Gillespie qui est également derrière https://id-ransomware.malwarehunterteam.com/

"RansomNoteCleaner propose d’analyser et de supprimer les fichiers polluants et inutiles laissés par un ransomware. Il permet de choisir l’unité de stockage ou le dossier à analyser et dispose d’une base de données téléchargée sur le service ID Ransomware". A ce jour, il y a 116 sources ransomwares dans la base de données. Le programme est en beta mais fonctionnel.

select1.png

select2.png

L'auteur précise que son programme est plus facile à utiliser avec ID Ransomware, histoire de connaitre le nom du ransomware. En ne cochant QUE ce qui a été trouvé, cela évite de scanner tout le disque pour rien (sinon compter une vingtaine de minutes sur un SSD et beaucoup plus sur un disque dur ordinaire)

Ensuite il est demandé de sélectionner une unité ou un dossier. Après sélection la recherche s'effectue


Le fait de cliquer sur "CLEAN" ne lance pas de suite le nettoyage mais permet de lister les fichiers trouvés

Il est demandé une confirmation ensuite pour l'effacement définitif.

ATTENTION ! Ne lancez pas ce programme juste "pour voir" en effectuant un "CLEAN" à l'issue

Sur un Windows sain, après un scan, il est trouvé plus de 700 fichiers à virer (c'est pour l'exemple). Ces fichiers sont légitimes et viennent avec des programmes qui sont installés (dont le fameux Readme.txt)

A n'utiliser donc qu'après une infection/désinfection. A noter qu'après un nettoyage il est généré dans le même dossier que le programme un fichier log du nom de : RansomNoteCleaner.log

______________________________________________
Ces fichiers sont très souvent présents après une infection. Ils se présentent sous la forme d’un fichier texte ou HTML. Les ransomware génèrent des " how.txt" , ou balancent aléatoirement des "README.html" ou README.bmp ou README.txt. Ces noms de fichiers sont communs.
_______________________________________________
Ces notes sont le fruit du fonctionnement de ce type d’attaque. Dans certains cas, les données sont présentes uniquement dans quelques dossiers, comme le bureau mais ce n’est pas le cas pour tous les ransomware. Beaucoup placent des données dans tous les dossiers visés par le chiffrement. En clair, si une infection vise 100 000 dossier puis élabore des fichiers textes et HTML, ce sont 200 000 fichiers inutiles et polluants qui occupent de l’espace sur l’unité de stockage. Il est possible de procéder à un nettoyage manuel mais cela demande du temps et quelques connaissances.

Exemple :

select3.png

Le lien auteur (avec captures écrans) et de téléchargement (fichiers de 708 Kb zippé) :

http://www.bleepingcomputer.com/forums/ ... ft-behind/

https://download.bleepingcomputer.com/d ... leaner.zip

_______________________________
Edit : Source initiale MONK521, helpeur sur Hardware.fr

Article en FR http://www.ginjfo.com/dossiers/tests-lo ... c-20160705

[Malekal_morte]

Pratique car effectivement, les victimes se retrouvent parfois avec des milliers de fichiers instructions...
avec recherche des fichiers sur Windows, il est possible de lister et les supprimer.