Changement de format de fichiers : rançongiciel ?

[guile79]

Bonjour à tous,

je vous écris dans la panique. Je prépare un concours et avait absolument besoin d’accéder à un site https qui rejette mon IP, bref j'ai cherché des solutions online par rapport au changement de DNS (serveurs de noms), etc...sans succés. L'ordinateur à même planté et il m'a fallu le redémarrer...et là,le drame...tous mes documents odt se sont transformés en odt.804VM5oxl . Impossible de les récupérer et en trifouillant je me rends compte que tout est passé en 804vm5oxl, mes photos, mes pdf, mes sauvegardes de parties de jeux...incomprehensible. Je n'espère plus récupérer " en vie" mes documents openoffice, mais que tout soit sous ce format me pose problème, c'est quoi ? J'ai beau chercher sur le net je ne trouve pas d'extension 804VM5oxl...voilà ces documents étaient la rédaction de mon concours dont le dossier doit être rendu dans quinze jours, les boules...merci de votre aide.

[Parisien_entraide]

Bonsoir,

Vu les symptomes, regarde ce lien, https://www.malekal.com/ransomware-solu ... -fichiers/ et soumet comme indiqué un de tes fichiers à ID Ransomware (il n'y a pas de fichier texte qui demande un paiement ?)

Tu auras le nom du coupable
Pas la peine de tester les programmes listés dans le lien. Chaque éditeur cible une catégorie de ransomware et ce ne sont pas des baguettes magiques

Ensuite soit il y a une solution, soit... il n'y en a pas, et si il n'y en a pas, le décrypter peut voir le jour dans les 24h comme dans un an et plus
Donc meme si il est trop tard, met les données cryptées sur une unité externe dans l'éventualité de..

Une fois la désinfection effectuée, change tes mots de passe web, ils peuvent avoir été volé

Accessoirement quel est le lien qui ne fonctionne pas ?

Pour l'infection (ce qui ne récup pas les fichiers) :
___________________________________________________________________

La procédure de Malekal
__________________
Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST,
Attendre la fin du scan, un message indique que l'analyse est terminée.

Trois rapports FRST seront générés :
* FRST.txt
* Shortcut.
* Additionnal.txt

Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

(Les liens bleus mènent à des tutoriels explicatifs pas à pas, clic dessus pour avoir les instructions plus précises à suivre).

[guile79]

Putain les salops j'avais pas vu, ils m'ont envoyé ça ...

---=== Welcome. Again. ===---

[+] Whats Happen? [+]

Your files are encrypted, and currently unavailable. You can check it: all files on you computer has expansion 804vm5oxl.
By the way, everything is possible to recover (restore), but you need to follow our instructions. Otherwise, you cant return your data (NEVER).

[+] What guarantees? [+]

Its just a business. We absolutely do not care about you and your deals, except getting benefits. If we do not do our work and liabilities - nobody will not cooperate with us. Its not in our interests.
To check the ability of returning files, You should go to our website. There you can decrypt one file for free. That is our guarantee.
If you will not cooperate with our service - for us, its does not matter. But you will lose your time and data, cause just we have the private key. In practise - time is much more valuable than money.

[+] How to get access on website? [+]

You have two ways:

1) [Recommended] Using a TOR browser!
a) Download and install TOR browser from this site: https://torproject.org/
b) Open our website: http://aplebzu47wgazapdqks6vrcv6zcnjppk ... DF7EB4B1E8

2) If TOR blocked in your country, try to use VPN! But you can use our secondary website. For this:
a) Open your any browser (Chrome, Firefox, Opera, IE, Edge)
b) Open our secondary website: http://decryptor.top/ED1C02DF7EB4B1E8

Warning: secondary website can be blocked, thats why first variant much better and more available.

When you open our website, put the following data in the input form:
Key:
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Extension name:

804vm5oxl

-----------------------------------------------------------------------------------------

!!! DANGER !!!
DONT try to change files by yourself, DONT use any third party software for restoring your data or antivirus solutions - its may entail damge of the private key and, as result, The Loss all data.
!!! !!! !!!
ONE MORE TIME: Its in your interests to get your files back. From our side, we (the best specialists) make everything for restoring, but please should not interfere.
!!! !!! !!!

[guile79]

le lien qui ne fonctionne pas c'est un site classique d'histoire géo, les clionautes mais je me rends compte que j'ai téléchargé un vpn hide.me et que je suis aussi passé par des proxy en ligne pour rentrer sur le site...c'est pô la coupure de courant...mais au pire donc si je paye je récupère mes fichiers c'est ça ?

[guile79]

Bien, je n'ai même plus accès à internet de mon pc...j'ai été voir ils me demandent 1500 balles ! Des américains..donc voici les trois rapports et j'aimerais qu'on m'explique la marche à suivre ...comment mettre tout de côté ( sur une clé usb ca va pas tenir...), et faut il reconfigurer sortie d'usine...

frst https://pjjoint.malekal.com/files.php?i ... 5d14h13e14

addition https://pjjoint.malekal.com/files.php?i ... 13y13x14x9

shortcut https://pjjoint.malekal.com/files.php?i ... e5g15p11o8

Merci de votre aide.

[Parisien_entraide]

Payer ?
Déjà c'est encourager ceux qui sont derrière et les stats de l'année indiquent "20% des victimes qui décident de payer ne récupèrent pas leurs données volées"

Donc tu peux payer (mais ce n'est pas 10 euros), mais tu n'as AUCUNE garantie qu'on t'envoie de quoi déchiffrer

Pour tout mettre de côté, c'est simple : Une unité externe en USB par ex (mais identifie le ransomware AVANT parce qu'il peut attendre justement que tu connectes quelque chose en USB pour chiffrer si des fichiers sont présents
Effectivement vu ce qui traine sur ton disk un clé usb ne suffit pas il te faut un disque dur

Pour les liens FRST, Malekal oui Angélique jetteront un oeil

En tous les tu auras noté que ta protection LAVASOFT n'a rien pu faire (je les pensais disparu de la circulation)

Edit ; Rien vu que le site des clionautes, mais le site est développé avec WordPress, qui a eu pas mal de failles exploitées récemment. L'infeciton se fait peut être après la connexion si infection il y a
Néanmoins vu ton comportement à risques (ce n'est pas un jugement mais un constat) l'infection a pu se faire AVANT, via un .pdf etc téléchargé sur un torrent par ex

[guile79]

Cmportement à risque tu veux dire téléchargement ? Je te l'accorde mais d'habitude je nettoie et puis je télécharge pas énormément (tout est relatif) j'ai pas de souci mais la j'avais désactivé mon pare-feu car je n'arrivais pas à atteindre clionaute...menfin bref ...lavasoft ? je vois pas de quoi tu parles tu veux dire que c'est le seul truc qui me défend ? Et payer, non c'était pour voir...après il m'aurait demander deux euros cinquante j'aurais réfléchi...et oui c'est navrant de payer mais imagine t'as cinq années de boulot, tu peux pleurer de pas avoir sauvegarder mais en attendant t'es prêt à quoi pour les récupérer...moi c'était vers 30-40 balles maxi...pas 1500...

[Parisien_entraide]

Le téléchargement.. il suffit d'un fichier
Je ne sais si tu as payé pour ce programme ou si il s'agit de la version gratuite, mais il y a une trace "Lavasoft"
En plus il n'y a AUCUNE protection sur les navigateurs donc c'est la porte ouverte pour les scripts etc

Sinon tu as identifié le ransomware ?

[guile79]

Oui c'est sodinokibi, et apparemment y a pas encore de solution...là où je m'interroge c'est qu'on explique que c'est un virus qui auto-disparaît ? Comment en être sûr ? Malwarebytes Anti-Malware (MBAM) ça suffit ? Ensuite question bête mais si c'est le cas...je change mes mots de passe mais suis je obligé de mettre sur une clé tout ce qui est vérolé ? Pourquoi ne peux-ton finalement pas les laisser dans l'ordinateur en attendant de trouver une solution ?

[Malekal_morte]

Salut,

Windows a été infecté par un ransomware / rançongiciel chiffreur de fichiers. Ces rançongiciels s'attrapent essentiellement par l'ouverture d'une pièce jointe malicieuse dans un e-mail ou par la visite d'une page internet piégée par des exploits WEB.

Il n'est plus actif.

L'attitude à suivre :

* Garde les fichiers touchés par le ransomware.
* Utilise le site suivant pour identifier le nom du ransomware : https://id-ransomware.malwarehunterteam.com/
Il faut envoyer un fichier de notice et un fichier chiffré par le ransomware.
* Par sécurité il faut changer tes mots de passe WEB, ils peuvent avoir été volés.

Plus d'infos : Ransomware : solutions pour récupérer fichiers chiffrés (cryptés)

~~



Tu as des programmes qui ont été installés à l'achat de l'ordinateur ou installés par la suite et qui sont pas forcément utiles.
Ils encombrent Windows et peuvent le ralentir.
Tu peux donc les désinstaller.
Vas dans le Panneau de configuration
puis programmes et fonctionnalités.
Désinstalle :

CCleaner
Web Companion - programme parasite
WinZip - 7-zip est plus léger

PS : CCleaner n'est pas vraiment utile, même si on le recommande de partout.
Si tu tiens à le garder, désactive la surveillance de CCleaner, ça se met au démarrage de Windows et le ralentit avec ces nettoyages incessants, voir : [https://www.malekal.com/supprimer-cclea ... e-windows/]


~~

Bizarre car on dirait que tua s choppé cela après avoir installé hide.me VPN
Tu as voulu le cracker ?

2019-11-15 13:07 - 2019-11-15 13:07 - 000006836 _____ C:\804vm5oxl-readme.txt
2019-11-15 13:05 - 2019-11-15 13:08 - 003416504 _____ C:\Users\guillaume\yhlrgnenvkh.zip.804vm5oxl
2019-11-15 13:01 - 2019-11-15 13:10 - 000001938 _____ C:\Users\guillaume\Documents\exemple_de_raep_histoire_géographie.js.804vm5oxl
2019-11-15 12:43 - 2019-11-15 12:43 - 000000000 ____D C:\Users\guillaume\AppData\Roaming\Hide.me
2019-11-15 12:43 - 2019-06-21 14:12 - 000079488 _____ (Windows (R) Win 7 DDK provider) C:\WINDOWS\system32\Drivers\hideFirewall.sys
2019-11-15 12:42 - 2019-11-15 12:43 - 000000000 ____D C:\Program Files (x86)\hide.me VPN
2019-11-15 12:42 - 2019-11-15 12:42 - 000001105 _____ C:\Users\Public\Desktop\hide.me VPN.lnk