Ransomware XTBL [email protected]

[lebenj]

bonjour mon serveur d'entreprise est depuis hier bloqué et cripté par le ramsom suivant
[email protected]

Connaissez vous ce virus ?
Avez vous une solution ?

Merci par avance de de votre aide

[Malekal_morte]

Salut,

Windows a été infecté par un ransomware / rançongiciel chiffreur de fichiers.
Dans votre cas, il s'agit probablement d'une vulnérabilité RDP (Terminal Server) avec des comptes administrateurs ayant des mots de passe faibles (123, admin etc).

Il faut d'abord vérifier qu'aucune menace ne soit encore active.
Par précaution, pense aussi à changer tous tes mots de passe.

1°) FRST
Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST, 3 rapports FRST seront générés :
* FRST.txt
* Shortcut.txt
* Additionnal.txt

Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

[lebenj]

http://pjjoint.malekal.com/files.php?id ... i11m6o7h11

http://pjjoint.malekal.com/files.php?id ... 11q7q13e10

http://pjjoint.malekal.com/files.php?id ... 5w7o13f6q8

merci infiniment pour ton aide et le temps que tu m'accordes

[Malekal_morte]

ok extension .XTBL comme d'habitude pour les attaques de serveurs.
Tu peux faire passer cette image pour voir les instructions : C:\Users\BENJAMIN\How to decrypt your files.jpg ?
et un copier/coller de How to decrypt your files.txt ?

C'est la session Benjamin qui semble poser problème.

Pour la récupération, c'est mal barré, je pense.
Tu as tous les liens sur ce sujet : http://forum.malekal.com/ransomware-xtb ... 56276.html.

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

Code : Tout sélectionner

CreateRestorePoint:
CloseProcesses:
Startup: C:\Users\Administrateur\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\XLPosServer.exe - [email protected] [2016-10-31]
Startup: C:\Users\BENJAMIN\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.jpg [2016-10-31] ()
Startup: C:\Users\BENJAMIN\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.txt [2016-10-31] ()
C:\Users\BENJAMIN\AppData\Local\Temp\3
Hosts:
EmptyTemp:
RemoveProxy:
Reboot

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

[Malekal_morte]

Attention, car la restaurauration du système a l'air d'avoir été endommagée.

ATTENTION: La Restauration système est désactivée
Vérifiez le service "winmgmt" ou réparez WMI.

Ils ont l'air d'avoir aussi planté VSS / Cliché instantannée pour empécher la récupartion avec les versions précédentes

Error: (11/01/2016 08:52:28 AM) (Source: VSS) (EventID: 8193) (User: )
Description: Erreur du service de cliché instantané des volumes : erreur lors de l’appel de la routine RegOpenKeyExW(-2147483646,SYSTEM\CurrentControlSet\Services\VSS\Diag,...). hr = 0x80070005, Accès refusé.

Tu devrais vérifier les services de Windows , certains doivent être désactivées.

[lebenj]

DECRYPT FILES EMAIL [email protected]

c'est ce qui est ecrit dans le fichier texte how to ...

Vous avez une idee de comment on a attrape ca ?

[lebenj]

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 30-10-2016
Exécuté par Administrateur (01-11-2016 21:04:45) Run:1
Exécuté depuis F:\Administrateur\Desktop
Profils chargés: Benjamin & XLSoftDBA & Administrateur (Profils disponibles: Benjamin & XLSoftDBA & entrepot & Administrateur & Classic .NET AppPool)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
CreateRestorePoint:
CloseProcesses:
Startup: C:\Users\Administrateur\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\XLPosServer.exe - [email protected] [2016-10-31]
Startup: C:\Users\BENJAMIN\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.jpg [2016-10-31] ()
Startup: C:\Users\BENJAMIN\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.txt [2016-10-31] ()
C:\Users\BENJAMIN\AppData\Local\Temp\3
Hosts:
EmptyTemp:
RemoveProxy:
Reboot
*****************

Erreur: (0) Impossible de créer un point de restauration.
Processus fermé avec succès.
C:\Users\Administrateur\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\XLPosServer.exe - [email protected] => déplacé(es) avec succès
C:\Users\BENJAMIN\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.jpg => déplacé(es) avec succès
C:\Users\BENJAMIN\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\How to decrypt your files.txt => déplacé(es) avec succès
C:\Users\BENJAMIN\AppData\Local\Temp\3 => déplacé(es) avec succès
C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.

========= RemoveProxy: =========

HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-1136399024-4268614939-260798059-1008\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-1136399024-4268614939-260798059-1008\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-1136399024-4268614939-260798059-500\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-1136399024-4268614939-260798059-500\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès


========= Fin de RemoveProxy: =========

Reboot => Erreur: Pas de correction automatique trouvée pour cet élément.

=========== EmptyTemp: ==========

BITS transfer queue => 8388608 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 3072281 B
Java, Flash, Steam htmlcache => 1380 B
Windows/system/drivers => 69316628 B
Edge => 0 B
Chrome => 101906523 B
Firefox => 441862600 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Public => 0 B
ProgramData => 0 B
systemprofile => 83726 B
systemprofile32 => 66228 B
LocalService => 0 B
NetworkService => 0 B
BENJAMIN => 114199 B
XLSoftDBA => 59830 B
entrepot => 27066 B
Administrateur => 2708599 B
Classic .NET AppPool => 0 B

RecycleBin => 0 B
EmptyTemp: => 598.5 MB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 21:04:59 ====

[Malekal_morte]

Voila.
Je ne pense pas pouvoir faire plus.
Sécurise les accès.
Vérifie la restauration du système et les services Windows.
Vois pour les outils proposés sur le lien précédent.

[DMike92]

Bopnjour,
A quoi ressemble le nom de tes fichiers cryptés ?
Par exemple un "Readme.txt" est devenu quoi ?

Bon courage

[Malekal_morte]

c'est le même format XTBL depuis le début :
id et email

C:\Users\Administrateur\AppData\Local\Temp\[email protected]

[lebenj]

Bonsoir

Effectivement tous les fichiers finissent par [email protected]

[Malekal_morte]

Faut tenter les outils donnés dans l'autre lien, mais en général, ça ne fonctionne pas.

[Malekal_morte]

Suivre cette page : DecryptTool : déchiffrer les ransomwares qui énumère tous les outils des éditeurs de sécurité qui permet de récupérer ses fichiers.
Certains visent .XTBL