Infection DmdtOvfMQg.vbs

[infostq]

Bonjour,

L'antivirus de la boite pour laquelle je bosse nous remonte une alerte sur ce fichier "DmdtOvfMQg.vbs".

Est-ce que vous pourriez jeter un oeil ?

Merci.

Liens :
FRST : https://pjjoint.malekal.com/files.php?i ... i12p12n5z9

Addition : https://pjjoint.malekal.com/files.php?i ... 7s14w6i7k7

Shortcut : https://pjjoint.malekal.com/files.php?i ... z6v6z15i15

[Malekal_morte]

Salut,

Apparemment, c'est trop tard.
Ca semble être un ransomware.
Peut-être une variante de Nemucod


L'attitude à suivre :

* Garde les fichiers touchés par le ransomware.
* Utilise le site suivant pour identifier le nom du ransomware : https://id-ransomware.malwarehunterteam.com/]
Il faut envoyer un fichier de notice et un fichier chiffré par le ransomware.
* Par sécurité il faut changer tes mots de passe WEB, ils peuvent avoir été volés.

Plus d'infos : Ransomware : solutions pour récupérer fichiers chiffrés (cryptés)

2019-09-27 14:55 - 2019-09-27 14:55 - 000001024 ____H C:\Users\brigant\Desktop\ZZZZZ1647159649.txt
2019-09-27 14:55 - 2019-09-27 14:55 - 000001024 ____H C:\Users\brigant\Desktop\ZZZZZ1203023981.txt
2019-09-27 14:55 - 2019-09-27 14:55 - 000001024 ____H C:\Users\brigant\AppData\Roaming\ZZZZZ1647159649.txt
2019-09-27 14:55 - 2019-09-27 14:55 - 000001024 ____H C:\Users\brigant\AppData\Roaming\ZZZZZ1203023981.txt
2019-09-27 14:55 - 2019-09-27 14:55 - 000001024 ____H C:\Users\brigant\AppData\LocalLow\ZZZZZ1647159649.txt
2019-09-27 14:55 - 2019-09-27 14:55 - 000001024 ____H C:\Users\brigant\AppData\LocalLow\ZZZZZ1203023981.txt
2019-09-27 14:55 - 2019-09-27 14:55 - 000001024 ____H C:\Users\brigant\AppData\Local\ZZZZZ1647159649.txt
2019-09-27 14:55 - 2019-09-27 14:55 - 000001024 ____H C:\Users\brigant\AppData\Local\ZZZZZ1203023981.txt
2019-09-15 14:19 - 2019-09-15 14:19 - 000275000 ____H C:\Users\Default User\Desktop\XORXOR1644033992.pdf
2019-09-15 14:19 - 2019-09-15 14:19 - 000275000 ____H C:\Users\Default User\AppData\Roaming\XORXOR1817189768.pdf
2019-09-15 14:19 - 2019-09-15 14:19 - 000275000 ____H C:\Users\Default User\AppData\Roaming\XORXOR1644033992.pdf
2019-09-15 14:19 - 2019-09-15 14:19 - 000275000 ____H C:\Users\Default User\AppData\Local\XORXOR1817189768.pdf
2019-09-15 14:19 - 2019-09-15 14:19 - 000275000 ____H C:\Users\Default User\AppData\Local\XORXOR1644033992.pdf
2019-09-15 14:11 - 2019-09-15 14:11 - 000250000 ____H C:\Users\Public\Downloads\!!!!!1305968987.pptx
2019-09-15 14:11 - 2019-09-15 14:11 - 000250000 ____H C:\Users\Public\Downloads\!!!!!1179096171.pptx
2019-09-15 14:11 - 2019-09-15 14:11 - 000250000 ____H C:\Users\Public\Documents\!!!!!1305968987.pptx
2019-09-15 14:11 - 2019-09-15 14:11 - 000250000 ____H C:\Users\Public\Documents\!!!!!1179096171.pptx
2019-09-15 14:11 - 2019-09-15 14:11 - 000250000 ____H C:\Users\Public\Desktop\!!!!!1305968987.pptx
2019-09-15 14:11 - 2019-09-15 14:11 - 000250000 ____H C:\Users\Public\Desktop\!!!!!1179096171.pptx
2019-09-15 14:11 - 2019-09-15 14:11 - 000250000 ____H C:\Users\Public\!!!!!1305968987.pptx
2019-09-15 14:11 - 2019-09-15 14:11 - 000250000 ____H C:\Users\Public\!!!!!1179096171.pptx

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-2692091369-3848710193-1694010545-3276\...\Run: [DmdtOvfMQg] => wscript.exe //B "C:\Users\brie\AppData\Roaming\DmdtOvfMQg.vbs"
Startup: C:\Users\brie\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\DmdtOvfMQg.vbs [2019-05-15] () [Fichier non signé]
CHR HKU\S-1-5-21-2692091369-3848710193-1694010545-3276\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
2019-10-02 09:22 - 2019-05-15 15:10 - 000021233 ___SH C:\Users\brie\AppData\Roaming\DmdtOvfMQg.vbs
RemoveProxy:
Hosts:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Ensuite :


Ouvre "Mon Ordinateur " puis le disque "C" puis le dossier "FRST"
Dedans se trouve, le dossier "Quarantine", fais un clique droit dessus,
Puis sélectionne dans le menu "Envoyer vers le dossier compressé"
Envoie ensuite le "Quarantine.zip" sur http://upload.malekal.com/


Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

[infostq]

Salut,

Merci pour le retour.

Je regarde ça dans la journée et je ferais un retour pour donner un état de la situation.