Supprimer ransomware aleta

[bece]

Bonjour,
Aleta s'est invité sur mon serveur en cryptant et modifiant les extensions de fichiers, je n'arrive pas à avoir des infos pour le supprimer avant de remettre mes sauvegardes, a priori il faut eviter spyhunter qui est proposé par la plupart des sites, quel est l'utilitaire en qui je peux faire confiance ?
(adwcleaner ne l'a pas détecté)
merci

[Malekal_morte]

Salut,

Windows a été infecté par un ransomware / rançongiciel chiffreur de fichiers. Ces rançongiciels s'attrapent essentiellement par l'ouverture d'une pièce jointe malicieuse dans un e-mail ou par la visite d'une page internet piégée par des exploits WEB.

A l'heure actuelle, il n'y a pas vraiment de méthode pour récupérer les documents chiffrés. Si les données sont très importantes, les stocker temporairement à l'abri car peut-être qu'il y aura dans le futur une solution pour les récupérer.
Tente de récupérer les fichiers avec Shadow Explorer - versions précédentes
sinon il faudra attendre une solution donnée sur le page : Decrypt Tools pour les ransomwares

Il faut d'abord vérifier qu'aucune menace ne soit encore active.
Par précaution, pense aussi à changer tous tes mots de passe.

1°) FRST
Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST, 3 rapports FRST seront générés :
* FRST.txt
* Shortcut.txt
* Additionnal.txt

Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

[bece]

Merci ci apres le lien mais il n'y avait pas de shorcut.txt
https://pjjoint.malekal.com/files.php?i ... 14t11z13v5
j'ai fait passer ESET en ligne juste avant et il m'a supprimé toutes les extensions aleta (1500...)
J'avais une image disque copiée sur un NAS en lecteur réseau (avec le prog de sauvegarde de Win Server 2012 R2) mais en fait dans ce cas de figure la restauration semble se faire en sélectionnant les fichiers, je n'arrive pas à avoir une véritable image disque j'ai l'impression que seule la sauvegarde vers 1 disque USB dédié permet d'avoir une véritable image disque qui se substitue au disque.
c'est principalement les fichiers SQL qui ont été impactés et ils le sont de nouveaux donc le virus est toujours là.
J'ai mis le serveur de côté et je m'en occuperais fin août, si d'içi là si quelqu'un a une idée...

[Malekal_morte]

Je ne vois rien d'anormal sur les rapports.

C'est probablement le pirate qui a utilisé Process Hacker, pas vous ?

Si c'est le cas, je pense qu'il s'agit d'un piratage Terminal Server, lire : Piratage de serveur par Terminal Server

2017-07-27 16:58 - 2017-07-27 16:58 - 00000000 _____ C:\Users\octopus\AppData\Local\Temp\tmp17C2.tmp
2017-07-27 16:50 - 2017-07-27 16:50 - 00000000 ____D C:\Users\octopus\AppData\Roaming\Process Hacker 2
2017-07-27 16:47 - 2017-07-27 16:47 - 00001936 _____ C:\Users\octopus\Desktop\Process Hacker 2.lnk
2017-07-27 16:47 - 2017-07-27 16:47 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Process Hacker 2
2017-07-27 16:47 - 2017-07-27 16:47 - 00000000 ____D C:\Program Files\Process Hacker 2
2017-07-27 16:46 - 2017-07-27 16:48 - 00000000 ____D C:\Users\octopus\AppData\LocalLow\Mozilla
2017-07-27 16:46 - 2017-07-27 16:46 - 00000000 ____D C:\Users\octopus\AppData\Roaming\Mozilla
2017-07-27 07:37 - 2017-07-27 16:50 - 00000288 ___SH C:\Users\octopus\Downloads\desktop.ini.[[email protected]].aleta

Comme tu peux le voir, c'est sur la session octopus que Process Hacker a été utilisé et qu'on y trouve aussi un .aleta
si ce compte a un mot de passe faible alors c'est la source du piratage.

Comme tu as fait le scan FRST sur une autre session, on ne voit rien.
Il faudrait refaire le scan FRST mais depuis le compte octopus et utilise pjjoint stp, pas de zip.

[Malekal_morte]

BTCware ransomware même si ça ressemble à GlobeImposter Ransomware
Il y a un utilitaire pour décrypter les fichiers chez Avast! : https://blog.avast.com/avast-releases-d ... ransomware
Mais bon; cette variante étant nouvelle, ils ont peut-être corrigé pour que l'utilitaire ne fonctionne plus.... ou pas.