Bonjour,
 
Le Portable de ma petite fille a été infesté par le ransonware RSA-4096, mon fils a utilisé malwarebytes pour le supprimer mais le message suivant reste apparent sur le bureau :
 
 __!@#!@#!__!@#!@#!__!@#!@#!__!@#!@#!__!@#!@#!__!@#!@#!__!@#!@#!__!@#!@#!__!@#!@#!__!@#!@#!  
 
NOT YOUR LANGUAGE? USE https://translate.google.com  
 
What happened to your files ?
All of your files were protected by a strong encryption with RSA-4096.
More information about the encryption keys using RSA-4096 can be found here: http://en.wikipedia.org/wiki/RSA_(cryptosystem)
 
How did this happen ?
!!! Specially for your PC was generated personal RSA-4096 KEY, both public and private.
!!! ALL YOUR FILES were encrypted with the public key, which has been transferred to your computer via the Internet.
Decrypting of your files is only possible with the help of the private key and decrypt program, which is on our secret server.
 
What do I do ?
So, there are two ways you can choose: wait for a miracle and get your price doubled, or start obtaining BITCOIN NOW! , and restore your data easy way.
If You have really valuable data, you better not waste your time, because there is no other way to get your files, except make a payment.
 
For more specific instructions, please visit your personal home page, there are a few different addresses pointing to your page below:
1. http://nnrtsdf34dsjhb23rsdf.spannf [...] 9B64A1B318
2. http://ww34werwejhjwrtnjfgkm.agone [...] 9B64A1B318
3. http://pren874bwsdbmbwe.returnyour [...] 9B64A1B318
If for some reasons the addresses are not available, follow these steps:
1. Download and install tor-browser: http://www.torproject.org/projects/torbrowser.html.en  
2. After a successful installation, run the browser and wait for initialization
3. Type in the address bar: yez2o5lwqkmlv5lc.onion/7FAD7F9B64A1B318  
4. Follow the instructions on the site.
 
!!! IMPORTANT INFORMATION:
!!! Your personal pages:
http://nnrtsdf34dsjhb23rsdf.spannf [...] 9B64A1B318
http://ww34werwejhjwrtnjfgkm.agone [...] 9B64A1B318
http://pren874bwsdbmbwe.returnyour [...] 9B64A1B318  
!!! Your personal page Tor-Browser: yez2o5lwqkmlv5lc.onion/7FAD7F9B64A1B318  
!!! Your personal identification ID: 7FAD7F9B64A1B318
 
Comment faire pour le supprimer ainsi que les fichiers Help_recover_instructions?
 
Je sais que la question a déja été posée mais il est indiqué que la réponse ne s'applique qu'à cette configuration.
 
Merci de votre réponse
 
 
 

Bonjour,  
 
 
 
Effectivement, chaque cas (PC) est différent bien que le mode opératoire des cryptowares est toujours le même.
 
Aussi, je t'invite à utiliser les programmes qui suivent pour nettoyer le PC.  
 
 
 
 
Tous les rapports demandés doivent être postés sur le forum sous la forme d'un lien.
 
 
Comment créer et poster le lien d'un rapport :
 

• Se rendre sur le site http://www.cjoint.com/
• Cliquer sur le bouton Parcourir, sélectionner le rapport demandé et valider par Ouvrir.
• Puis, en bas de la page du site Cjoint, cliquer sur Créer le lien Cjoint.
• Faire un clic droit avec la souris sur le lien créé qui apparaît sous cette forme http://cjoint.co/Exemple et sélectionner l'option copier l'adresse du lien.  
• Coller ce lien (à l'aide du clic droit) dans ta prochaine réponse sur le forum.

 
 
Rappel sur les envois des rapports:  
Les fichiers générés par ce programme peuvent inclure des données personnelles (nom d'utilisateur par exemple). Assurez-vous de les nettoyer si vous ne souhaitez pas qu'elles soient accessibles à tous.
 
 
 
 
==> Farbar Recovery Scanner Tool (FRST):
 
 

• Télécharge Farbar Recovery Scanner Tool. Choisir la version 32 ou 64 bits selon son système d'exploitation.

       Note: le programme est enregistré par défaut dans la rubrique Téléchargements de l'explorateur de
               fichiers
 

• Copier le fichier FRST.exe et le coller sur le bureau et pas ailleurs.

• Faire un clic droit de la souris sur l'icône du programme FRST et choisir "Exécuter en tant qu'administrateur".

• Le programme se lance et met à jour sa base de données.

• Sous "Analyse facultative", cocher les cases suivantes :

     - Addition.txt
     - MD5 pilotes
     - Liste BCD
 

• Cliquer sur Analyser

• Une fois le scan terminé, 2 rapports sont créés sur le bureau FRST.txt et Addition.txt.

• Héberge les 2 rapports sur www.Cjoint.com, puis copie/colle les liens fournis dans ta prochaine réponse sur le forum.

Ci-joint les 2 liens :
 
http://www.cjoint.com/c/FBmnohPGs3g
http://www.cjoint.com/c/FBmnpAWWHRg
 
Merci beaucoup pour votre réponse rapide

Le malware n'est plus actif mais il reste les messages de ce programme.  
 
 
 
 
==> FRST Correction
 
 

• Appuyer simultanément sur les touches du clavier Windows et r.
• Une fenêtre va s'ouvrir. Ecrire: notepad
• Cliquer sur OK.

    Note: Le bloc-notes va s'ouvrir.
 
   
 
 

• Copier toutes les lignes en gras ci dessous:

    Note: pour copier toutes les lignes, griser de haut en bas les lignes en gras en restant appuyer sur le clic
            gauche de la souris. Puis faire un clic droit de la souris et choisir Copier.
 
 

CloseProcesses:
Cmd: del C:\help_recover_instructions.HTM /s
Cmd: del C:\help_recover_instructions.TXT /s
Cmd: del C:\HELP_RECOVER_instructions+ssk.html /s
Cmd: del C:\HELP_RECOVER_instructions+ssk.txt /s
Cmd: del C:\HELP_RECOVER_instructions+ssk.png /s
Cmd: del C:\HELP_RECOVER_instructions+lbq.html /s
Cmd: del C:\HELP_RECOVER_instructions+lbq.txt /s
Cmd: del C:\HELP_RECOVER_instructions+lbq.png /s
C:\Users\adm\AppData\Local\mbt-actwiz.log
 
 

 
 

• Retourner dans le bloc-notes et coller les lignes copiées (clic droit + Coller).  

• Cliquer sur la rubrique Fichier du bloc-notes, puis Enregistrer sous ..., nommer le rapport fixlist et l'enregistrer sur le bureau.  

• A partir du bureau, lancer FRST par un clic droit de la souris, puis "Exécuter en tant qu'administrateur".

• Cliquer sur Corriger

     Note : Patienter le temps de la suppression. Cliquer sur OK pour faire redémarrer le PC.
 
 
   
 
 

• Une fois le PC redémarré, un rapport Fixlog.txt se trouve sur le bureau.

• Héberge ce rapport sur www.Cjoint.com, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.

Voici le lien vers le fichier fixlog :
 
http://www.cjoint.com/c/FBmo5jHWOtg
 
Par contre, le fichier apparait toujours sur le bureau en fond d'écran.
Il me semble que cela vient d'une clé de la base de registre :
 
HK_C_User/software/microsoft/IE/desktop/general/wallpaper  Reg_Size C:\users\adm\desktop\general\mur photo\HELP_RECOVER....
 
Je n'arrive pas à la supprimer car dans les autorisations il y a un utilisateur RESTRICTED avec accès lecture seule, cet utilisateur apparait d'ailleurs sur d'autres clés de la base de registre
 

Donnez-moi ma clé de registre entièrement, on va essayer de supprimer le fond avec FRST.

HKEY_CURRENT_USER/software/microsoft/Internet Explorer/desktop/general
{ab} wallpaper  REG_SIZE C:\users\adm\desktop\general\mur photo\HELP_RECOVER_instructions.png

Appliquer ce qui suit, ça devrait aller.
 
 
 
 
==> FRST Correction
 
 

• Appuyer simultanément sur les touches du clavier Windows et r.
• Une fenêtre va s'ouvrir. Ecrire: notepad
• Cliquer sur OK.

    Note: Le bloc-notes va s'ouvrir.
 
   
 
 

• Copier toutes les lignes en gras ci dessous:

    Note: pour copier toutes les lignes, griser de haut en bas les lignes en gras en restant appuyer sur le clic
            gauche de la souris. Puis faire un clic droit de la souris et choisir Copier.
 
 

CloseProcesses:
Cmd: del C:\HELP_RECOVER_instructions.png /s

 
 

• Retourner dans le bloc-notes et coller les lignes copiées (clic droit + Coller).  

• Cliquer sur la rubrique Fichier du bloc-notes, puis Enregistrer sous ..., nommer le rapport fixlist et l'enregistrer sur le bureau.  

• A partir du bureau, lancer FRST par un clic droit de la souris, puis "Exécuter en tant qu'administrateur".

• Cliquer sur Corriger

     Note : Patienter le temps de la suppression. Cliquer sur OK pour faire redémarrer le PC.
 
 
   
 
 

• Une fois le PC redémarré, un rapport Fixlog.txt se trouve sur le bureau.

• Héberge ce rapport sur www.Cjoint.com, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.

Voici le lien, mais le fichier s'affiche toujours
 
http://www.cjoint.com/c/FBmqq3eKYsg
 
Je dois m'absenter momentanément
Bon week-end

Monk je pense que tu pourrais utiliser Autoruns de sysinternal.
https://technet.microsoft.com/fr-fr [...] 63902.aspx
Je l'utilise pour supprimer les messages qui s'affichent de partout avec ce cryptolocker, c'est assez pratique.

Salut nnwldx,  
 
Oui, je connais bien Autoruns et on peut effectivement supprimer des messages et des clés de processus au niveau de certains points de chargements mais ce programme ne liste pas tout. Pour les processus, ça peut suffire car le crypto est repérable mais il reste beaucoup de messages dans les autres répertoires et emplacements insolites.  
 
Pour les supprimer tous d'un coup, un truc simple, tu lances une invité invite de commande et tu écris Del C:\nom du fichier à supprimer /s. Çà les supprime dans tous les répertoires de Windows.

Ah, il y a encore un fichier qui résiste !  
 
 
 
 
==> FRST Correction
 
 

• Appuyer simultanément sur les touches du clavier Windows et r.
• Une fenêtre va s'ouvrir. Ecrire: notepad
• Cliquer sur OK.

    Note: Le bloc-notes va s'ouvrir.
 
   
 
 

• Copier toutes les lignes en gras ci dessous:

    Note: pour copier toutes les lignes, griser de haut en bas les lignes en gras en restant appuyer sur le clic
            gauche de la souris. Puis faire un clic droit de la souris et choisir Copier.
 
 

CloseProcesses:
C:\users\adm\desktop\general\mur photo\HELP_RECOVER_instructions.png

 
 

• Retourner dans le bloc-notes et coller les lignes copiées (clic droit + Coller).  

• Cliquer sur la rubrique Fichier du bloc-notes, puis Enregistrer sous ..., nommer le rapport fixlist et l'enregistrer sur le bureau.  

• A partir du bureau, lancer FRST par un clic droit de la souris, puis "Exécuter en tant qu'administrateur".

• Cliquer sur Corriger

     Note : Patienter le temps de la suppression. Cliquer sur OK pour faire redémarrer le PC.
 
 
   
 
 

• Une fois le PC redémarré, un rapport Fixlog.txt se trouve sur le bureau.

• Héberge ce rapport sur www.Cjoint.com, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.

http://www.cjoint.com/c/FBnkpvIVsZg
Je n'ai plus l'affichage du message sur le bureau après avoir modifié le fond d'écran mais après une recherche, il me reste les fichiers suivants :
 HELP_RECOVER_instructions+lbq.png
 HELP_RECOVER_instructions+ssk.png
 HELP_RECOVER_instructions+lbq.htlm
 HELP_RECOVER_instructions+lbq.txt
Est-ce que je peux les supprimer

Oui.

Je me suis aperçu que agent de fichiers d'Avast était désactivé et qu'il était impossible à réactiver  
Mais maintenant tout est rentré dans l'ordre
Merci beaucoup pour votre aide