Windows Server 2008 R2 infecté, Crypto-Ransomware XTBL

[sousspro]

BONJOUR !!!!

Windows Server 2008 R2

ZHPDiag : http://pjjoint.malekal.com/files.php?id ... 6o7p15v5g6
First.txt : http://pjjoint.malekal.com/files.php?id ... 6z9m7t14d9
Addition.txt : http://pjjoint.malekal.com/files.php?id ... j11m15t7n7

Merci !

[Malekal_morte]

Salut,

Ransomware BandarChor / Criakl / Rakhni (Crypto-Ransomware) : 3EC7D6EA.[email protected] .

Peut-être une solution pour récupérer les documents là :
>> http://esec-pentest.sogeti.com/posts/20 ... lware.html

Platform: Windows Server 2008 R2 Foundation (X64) Langue: Français (France)

L'accès RDP est ouvert sur internet et les comptes non sécurisés sont présents avec des mots de passe trop faibles. Il faut corriger cela sinon vous allez à nouveau vous faire infecter / voler des informations / des données.

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

Code : Tout sélectionner

CreateRestorePoint:
Startup: C:\Users\FRED\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Decryption instructions.jpg [2016-07-21] ()
Startup: C:\Users\FRED\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Decryption instructions.txt [2016-07-21] ()
Startup: C:\Users\FRED\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Payload2.exe [2016-07-21] (TODO: <Company name>)
016-07-21 02:12 - 2016-07-21 02:12 - 00301236 _____ (TODO: <Company name>) C:\Users\FRED\AppData\Roaming\Payload2.exe
2016-07-21 02:11 - 2016-07-20 20:24 - 00301236 _____ (TODO: <Company name>) C:\Users\FRED\Desktop\Payload2.exe
C:\Users\FRED\Desktop\Payload2.exe

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.


Redémarre l'ordinateur.


2/

Ouvre "Mon Ordinateur " puis le disque "C" puis le dossier "FRST"
Dedans se trouve, le dossier "Quarantine", fais un clique droit dessus,
Puis sélectionne dans le menu "Envoyer vers le dossier compressé"
Envoie ensuite le "Quarantine.zip" sur http://upload.malekal.com/

[sousspro]

bonjour voila la fichier Fixlog

Code : Tout sélectionner

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 20-07-2016
Exécuté par Administrateur (2016-07-22 15:37:47) Run:1
Exécuté depuis C:\Users\Administrateur\Desktop
Profils chargés: Administrateur (Profils disponibles: FRED & DIDIER & NTS & Isabelle & SONY & Administrateur)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
CreateRestorePoint:
Startup: C:\Users\FRED\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Decryption instructions.jpg [2016-07-21] ()
Startup: C:\Users\FRED\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Decryption instructions.txt [2016-07-21] ()
Startup: C:\Users\FRED\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Payload2.exe [2016-07-21] (TODO: <Company name>)
016-07-21 02:12 - 2016-07-21 02:12 - 00301236 _____ (TODO: <Company name>) C:\Users\FRED\AppData\Roaming\Payload2.exe
2016-07-21 02:11 - 2016-07-20 20:24 - 00301236 _____ (TODO: <Company name>) C:\Users\FRED\Desktop\Payload2.exe
C:\Users\FRED\Desktop\Payload2.exe
*****************

Erreur: (0) Impossible de créer un point de restauration.
C:\Users\FRED\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Decryption instructions.jpg => déplacé(es) avec succès
C:\Users\FRED\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Decryption instructions.txt => déplacé(es) avec succès
C:\Users\FRED\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Payload2.exe => déplacé(es) avec succès
016-07-21 02:12 - 2016-07-21 02:12 - 00301236 _____ (TODO: <Company name>) C:\Users\FRED\AppData\Roaming\Payload2.exe => Erreur: Pas de correction automatique trouvée pour cet élément.
C:\Users\FRED\Desktop\Payload2.exe => déplacé(es) avec succès
"C:\Users\FRED\Desktop\Payload2.exe" => non trouvé(e).

==== Fin de Fixlog 15:37:47 ====

[sousspro]

le fichier Quarantine.zip a ete envoiyer syr le http://upload.malekal.com

[Malekal_morte]

Et as-tu tenté la récupération des fichiers ?

[Malekal_morte]

Avast! a sorti un Decrypter pour une partie de cette famille de ransomware Crysis Decrypter Tool.