Infection [email protected]

[MADINH36]

Bonjour

Je viens vers vous car j'ai un serveur 2008 64 bits, infecté par [email protected], donc la plupart de mes fichier sont cryptés.

Pouvez vous me donner des conseils ou la marche à suivre pour le supprimer ou est ce que je dois le formater ?

Merci

[Malekal_morte]

Salut,

Le pirate a été probablement effectué par une connexion RDP depuis un compte avec un mot de passe faible (admin, 1234 etc).
Vérifier et corriger ces comptes.
Mettre en place une politique de mot de passe fort.

Pour vérifier le serveur :


Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST, 3 rapports FRST seront générés :
* FRST.txt
* Shortcut.txt
* Additionnal.txt

Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

[MADINH36]

Merci par avance

J'ai supprimé tous les fichiers comportant le nom johny avant d'avoir votre réponse et voici les fichiers demandés

http://pjjoint.malekal.com/files.php?id ... 4h9d5d14q7
http://pjjoint.malekal.com/files.php?id ... k11s15c5s9

[Malekal_morte]

Rien d'anormal.
Après ça peut être une session spécifique qui est touchée.
Souvent, il se met dans le dossier Startup.

Pour la récupération des documents, c'est mort en général.
=> http://forum.malekal.com/ransomware-xtb ... 56276.html

[Malekal_morte]

Suivre cette page : DecryptTool : déchiffrer les ransomwares qui énumère tous les outils des éditeurs de sécurité qui permet de récupérer ses fichiers.
Certains visent .XTBL