[Résolu] Windows 7 est infecté, ransomware fichiers en .XTBL

[KikiFUNstyle]

Bonjour,

Windows 7 est infecté par un virus. J'ai suivi la procédure FRST.

Voici mes rapports :
http://pjjoint.malekal.com/files.php?id ... v9c13y15m6
http://pjjoint.malekal.com/files.php?id ... 11v14t6l10
http://pjjoint.malekal.com/files.php?id ... 12z13r14c8

Merci d'avance votre aide.

[Malekal_morte]

Salut,

Windows a été infecté par un ransomware / rançongiciel chiffreur de fichiers.
Ce ransomware se propage par des attaques bruteforce contre les prises en main RDP à cause de compte avec des mots de passe faibles.
A corriger sinon ça recommencera.

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

Code : Tout sélectionner

CreateRestorePoint:
CloseProcesses:
Startup: C:\Users\Polux\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.jpg [2016-06-27] () 
Startup: C:\Users\Polux\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.txt [2016-06-27] () 
EmptyTemp:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

[KikiFUNstyle]

Bonjour Malekal,

Merci pour l'aide.
Je viens de suivre ta procédure et voici le contenu du fichier fixlog.txt

Code : Tout sélectionner

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 17-09-2016
Exécuté par BASTIE (18-09-2016 10:56:39) Run:1
Exécuté depuis C:\Users\BASTIE\Desktop
Profils chargés: BASTIE & Polux (Profils disponibles: BASTIE & Thierry & Vincent & Polux)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
CreateRestorePoint:
CloseProcesses:
Startup: C:\Users\Polux\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.jpg [2016-06-27] () 
Startup: C:\Users\Polux\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.txt [2016-06-27] () 
EmptyTemp:
*****************

Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
C:\Users\Polux\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.jpg => déplacé(es) avec succès
C:\Users\Polux\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.txt => déplacé(es) avec succès

=========== EmptyTemp: ==========

BITS transfer queue => 8388608 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 18319510 B
Java, Flash, Steam htmlcache => 0 B
Windows/system/drivers => 128785829 B
Edge => 0 B
Chrome => 0 B
Firefox => 162070873 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Public => 0 B
ProgramData => 0 B
systemprofile => 66356 B
systemprofile32 => 66228 B
LocalService => 0 B
NetworkService => 689302 B
BASTIE => 99848900 B
Thierry => 63516828 B
Vincent => 11307936 B
Polux => 6548417 B

RecycleBin => 718674172 B
EmptyTemp: => 1.1 GB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 10:57:50 ====

[Malekal_morte]

Voila,
A voir si des solutions sur https://noransom.kaspersky.com/ fonctionnent
Sinon il faudra remettre des sauvegardes.

Sécuriser les accès de prise en main à distance.

[KikiFUNstyle]

Je vais mieux sécuriser les mots de passes maintenant.

Merci encore pour les conseils

[Malekal_morte]

De rien

[Malekal_morte]

Suivre cette page : DecryptTool : déchiffrer les ransomwares qui énumère tous les outils des éditeurs de sécurité qui permet de récupérer ses fichiers.
Certains visent .XTBL

[Malekal_morte]

Avast! a sorti un Decrypter pour une partie de cette famille de ransomware Crysis Decrypter Tool.