Ransomware sans nom scryptmail.com

[auroch]

Bonjour,
Je viens de voir une machine touchée par un ransomware / rançongiciel chiffreur de fichiers, dans une forme inhabituelle (pour moi en tout cas). En effet, plutôt que de laisser booter la machine normalement et de voir tous les fichier cryptés sur le disque, ce sont apparemment les partitions qui sont cryptées. Dès le démarrage, écran noir avec un simple texte qui s'affiche, demandant d'envoyer un message à l'adresse [email protected] et, ligne suivante, demandant le mot de passe. En écrivant, la réponse tombe rapidement en demandant l'ip du poste touché. L'info envoyée, la réponse affiche le nom de la machine atteinte et le tarif est annoncé : 1 bitcoin (au cours du jour ça fait mal : plus de 5600 euros).
TestDisk voit bien encore des partitions mais incorrectes. Pas moyen d'accéder à la liste des fichiers...
Pour moi il s'agit d'une nouvelle forme de ransomware, l'avez-vous déjà rencontrée ?

Edit : ah si, apparemment ce serait Mamba ransomware (lu sur un forum anglais)...

[Malekal_morte]

Salut,

Utilise ce site pour identifier le ransomware : viewtopic.php?t=54794

~~

Pour vérifier s'il est encore actif :

Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST,
Attendre la fin du scan, un message indique que l'analyse est terminée.

Trois rapports FRST seront générés :
* FRST.txt
* Shortcut.
* Additionnal.txt

Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

[auroch]

Merci pour le site permettant d'identifier le ransomware. Malheureusement comme aucun fichier n'est accessible (ni notice d'instruction ni échantillon de fichier chiffré, rien) je ne peux pas en envoyer, donc le site ne m'est d’aucune utilité à ce jour.

Même chose pour le tutoriel FRST, je ne peux pas démarrer windows. Et si je démarre sur le Live CD Malekal, il ne pourra accéder à aucune partition.

Bref, sans sauvegarde (car elle a été cryptée aussi évidemment, le disque dur externe étant branché en permanence sur le PC) le proprio est mal barré j'en ai peur.

J'ai cherché des stats, apparemment en cas de paiement de la rançon, il y a 50% de chance (seulement) que les données soient libérées.

[Malekal_morte]

ok les exécutables sont touchés.
Tu peux réinstaller Windows, à toi de voir si tu veux garder des fichiers documents touchés pour voir si une solution ultérieure est trouvée par la suite.