Ransomware : "all your files are encrypted" [résolu]

[camille47]

Bonjour à tous,

J'ai récupérer l'ordinateur à ma sœur, avec quelques problèmes:

Premièrement, il y à un fond d'écran bleu et noir avec inscrit " ! Find y5k2f124q5-readme.txt and follow instructions"
En regardant dans ses différents repertoires, le fichier .txt est présent dans chaque dossier (images, documents, bureau,musique…) Mais il n'y à que les fichiers présent dans le dossier "téléchargement" qui sont cryptés (extention .y5k2f124q5) et donc impossible à ouvrir. Les autres fichiers enregistrés dans d'autres répertoires sont normaux (on peut les ouvrir et aucune extension exotique est présente).

Un autre soucis, je ne sait pas si il y a un lien, mais on ne peut télécharger aucun fichiers depuis chrome :"Echec – Autorisations insuffisantes" lorsque je tente un téléchargement. Depuis Edge, je peux télécharger.

J'ai suivi votre tuto et donc j'ai sortit les 3 rapports de FRST :
FRST : https://pjjoint.malekal.com/files.php?i ... 9p14l14g14
Addition : https://pjjoint.malekal.com/files.php?i ... 10d6l5k5v6
Shortcut : https://pjjoint.malekal.com/files.php?i ... l15v15j8t6

Merci de votre aide !

[Malekal_morte]

Salut,

Windows a été infecté par un ransomware / rançongiciel chiffreur de fichiers. Ces rançongiciels s'attrapent essentiellement par l'ouverture d'une pièce jointe malicieuse dans un e-mail ou par la visite d'une page internet piégée par des exploits WEB.


Désinstalle McAfee.
Vois si cela aide pour les téléchargements.


L'attitude à suivre :

* Garde les fichiers touchés par le ransomware.
* Utilise le site suivant pour identifier le nom du ransomware : https://id-ransomware.malwarehunterteam.com/
Il faut envoyer un fichier de notice et un fichier chiffré par le ransomware.
* Par sécurité il faut changer tes mots de passe WEB, ils peuvent avoir été volés.

Plus d'infos : Ransomware : solutions pour récupérer fichiers chiffrés (cryptés)

Il faut d'abord vérifier qu'aucune menace ne soit encore active.
Par précaution, pense aussi à changer tous tes mots de passe.

[camille47]

Bonjour,
Merci de votre réponse rapide.

Je n'arrive pas à ouvrir le fichier texte, ni à l'importer sur id-ransomware : "Vous n'avez pas l'autorisation d'ouvrir ce fichier. Consultez le propriétaire du fichier au une administration pour obtenir cette autorisation "
Je suis bien avec le compte administrateur du PC.

Comment vérifier si la menace est encore active ?

Merci de vos réponses.

[Malekal_morte]

Ouvre l'explorateur de fichiers.
En haut à gauche dans l'accès rapide, tu dois avoir le dossier Téléchargement.
Tu arrives à l'ouvrir ?
Si tu as une erreur d'autorisations : Réinitialise les permissions du dossiers de téléchargement.
Par exemple avec la méthode du clic droit.

[camille47]

J'ai réussis à l'ouvrir, en ouvrant d'abord le bloc notes en admin puis en ouvrant le fichier txt depuis le bloc-notes.

D'après id-ransomware, il s'agit de ce virus : REvil / Sodinokibi

[Parisien_entraide]

Bonjour

Comme précisé par Malekal dans son premier message : Garde tous les fichiers touchés par le ransomware car il n'y a pas de solution pour l'instant, du fait de la méthode qui ne laisse pas beaucoup d'espoir (sauf saisie des serveurs par les autorités, possible faille etc)

https://www.malekal.com/ransomware-sodinokibi/

[camille47]

Bonjour
merci de vos réponses

Les fichiers touchés ne sont pas important donc c'est tant mieux.

Par contre, la menace est-elle toujours active ?
Merci

[Parisien_entraide]

Les ransomwares sont là pour une tâche spécifique

Une fois le travail accompli ils s'auto détruisent, car le but est de laisser le moins de traces possibles tout en laissant le PC fonctionnel pour contacter celui qui a infecté le PC

Edit : Rien n'indique dans les rapports une trace active (Mais Malekal ou Angélique te le confirmeront)

[camille47]

Merci à tous pour vos réponses. J'ai eu de la chance, seulement des fichiers non importants on été touché

Merci

[Malekal_morte]

A l'avenir, afin de ne pas perdre de données, je t'invite à effectuer des sauvegardes de tes documents.
Suivre ce tutoriel : Sauvegarde ses données sur Windows 10

[Cepikmehmet1]

Bonjour à toute et à tous,
alors premièrement je suis nouveaux donc je c'est pas ou expliquer mon problème.
comme camille, j'ai un fond d'écran bleu avec écrit " All of your files are encrypted, find 9d803-readme.txt and follow instuctios,
alors là, je n'arrive à ouvrir aucun document tous les pdf qui avant était en rouge est maintenant tout blanc, je sais pas quoi faire, tout mon boulot est dessus, je pense que mon patron ne vas pas être content. j'ai suivi le tuto de malik en téléchargent FRST et récupérer les 3 liens demander:
FRST: https://pjjoint.malekal.com/files.php?i ... 9u10l14w14
ADDITION: https://pjjoint.malekal.com/files.php?i ... g8c5m10k12
SHORTCUT:https://pjjoint.malekal.com/files.php?i ... 4m12v11u12
Après je sais pas quoi faire. merci infiniment de votre aide.
à très bien bientôt.

[Malekal_morte]

Salut Cepikmehmet1,

Il faut se reporter à ma première réponse concernant cette attaque et attitude à suivre.
Le ransomware n'est plus actif.

A désinstaller :

iCloud
McAfee (laisser Windows Defender plus léger)
Web Search Yahoo! - programme parasite qui force Yahoo!

Réinitialise/Répare les navigateurs WEB concerné(s) par les problèmes :

• réparer Mozilla Firefox (premier paragraphe)
• Réparer Google Chrome (premier paragraphe)

[Cepikmehmet1]

Bonjour Malekal_Morte.
Merci pour ta réponse. j'ai suivi à la lettre ce que tu m'a recommander, c'est à dire désinstaller Icloud;mcaffe et web search Yahoo. par contre je peux pas réparer Mozilla et google chrome car je ne l'est pas. .
par contre pour tout les documents et fichiers je peux plus les récupérer ? mon pc portable a été toucher de A à Z. tout mais vraiment tout a été crypter.
merci de ta réponse.

[Parisien_entraide]

Bonjour

Relis le premier message de Malekal, identifie et regarde ce qu'il en est

[alexis65]

Bonjour,

Je viens brutalement d'être confronté à ce ramsomware.
ID Ramsomware me dit qu'il s'agit de REvil/Sodinokibi et qu'à ce jour, y a pas de solution.
J'ai donc bien compris que tous mes fichiers cryptés étaient perdus.

Ma question : comment faire le ménage ?
- Récuperer les autorisations d'accès en écriture (En effet, bien qu'étant administrateur du PC, je constate qu'une grande partie des dossiers de mon PC sont désormais en lecture seule). En gros, partout où il existe un fichier crypté, j'ai perdu les droits.
- identifier tous les fichiers touchés et pouvoir éventuellement les sauvegarder, puis les supprimer ?

Merci de votre aide