Windows 7 infecté par le ransomware TeslaCrypt en .vvv

[fredy]

Salut a tous,

Ma nièce avait un souci pour lire ces photos, et m'y connaissant un peu, j'ai voulu y jeter un œil et j'ai remarqué une extension que je ne connaissait pas qui est .vvv

Après recherches sur la toile, il s'agit d'un virus.
D'après les conseils du forum, voici les 2 rapports:

http://pjjoint.malekal.com/files.php?id ... 2r7b8e15c8
http://pjjoint.malekal.com/files.php?id ... 13o10h15q8

Grand merci par avance.

[Malekal_morte]

Salut,

Windows a été infecté par un ransomware / rançongiciel chiffreur de fichiers. Ces rançongiciels s'attrapent essentiellement par l'ouverture d'une pièce jointe malicieuse dans un e-mail ou par la visite d'une page internet piégée par des exploits WEB.

A l'heure actuelle, il n'y a pas vraiment de méthode pour récupérer les documents chiffrés. Si les données sont très importantes, les stocker temporairement à l'abri car peut-être qu'il y aura dans le futur une solution pour les récupérer.

Envoie C:\Users\Mylène\AppData\Roaming\avbsm-bc.exe
sur http://upload.malekal.com

puis :



Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

Code : Tout sélectionner

CreateRestorePoint:
CloseProcesses:
 HKU\S-1-5-21-1642786963-142775648-3184948889-1001\...\Run: [Acronis] => C:\Users\Mylène\AppData\Roaming\bxsol-bc.exe  
Startup: C:\Users\Mylène\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+vwa.html [2015-12-08] () 
Startup: C:\Users\Mylène\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+vwa.txt [2015-12-08] () 
 2016-09-10 08:42 - 2016-09-10 08:42 - 00000000 ____D C:\Users\Mylène\AppData\Local\{910E1664-C974-4FA5-92D6-D2CD5E50570D} 
 2016-08-21 17:10 - 2016-09-03 22:20 - 00000000 ____D C:\Users\Mylène\AppData\Local\{2025BEE9-27E3-49EA-A691-5D8AD010AC27} 
 2015-12-08 18:08 - 2015-12-08 18:08 - 0335872 _____ () C:\Users\Mylène\AppData\Roaming\avbsm-bc.exe  
 2015-12-08 18:15 - 2015-12-08 18:15 - 0009588 _____ () C:\Users\Mylène\AppData\Roaming\how_recover+vwa.html 
 2015-12-08 18:15 - 2015-12-08 18:15 - 0002777 _____ () C:\Users\Mylène\AppData\Roaming\how_recover+vwa.txt 
 2015-12-08 18:15 - 2015-12-08 18:15 - 0009588 _____ () C:\Users\Mylène\AppData\Roaming\Microsoft\how_recover+vwa.html 
 2015-12-08 18:15 - 2015-12-08 18:15 - 0002777 _____ () C:\Users\Mylène\AppData\Roaming\Microsoft\how_recover+vwa.txt 
 2012-08-25 14:46 - 2015-08-09 21:29 - 0003584 _____ () C:\Users\Mylène\AppData\Local\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini  
 2015-12-08 18:10 - 2015-12-08 18:18 - 0009588 _____ () C:\Users\Mylène\AppData\Local\how_recover+vwa.html 
 2015-12-08 18:10 - 2015-12-08 18:18 - 0002777 _____ () C:\Users\Mylène\AppData\Local\how_recover+vwa.txt 
 2011-12-30 17:43 - 2011-12-30 22:49 - 0001576 _____ () C:\Users\Mylène\AppData\Local\mbt-actwiz.log  
 2014-07-04 11:19 - 2014-07-04 11:19 - 0000057 _____ () C:\ProgramData\Ament.ini  
 2015-12-08 18:09 - 2015-12-08 18:10 - 0009588 _____ () C:\ProgramData\how_recover+vwa.html 
 2015-12-08 18:09 - 2015-12-08 18:10 - 0002777 _____ () C:\ProgramData\how_recover+vwa.txt 
EmptyTemp:
Reboot:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

[fredy]

voici : http://pjjoint.malekal.com/files.php?id ... s5m11d15s6

[Malekal_morte]

Cela semble être TeslaCrypt .vvv... sur cette page, tu trouveras des méthodes pour récupérer les fichiers.