Infections : Trojan-Ransom.Win32.Cryptor.a / Exploit.SWF.Downloader.c

[Falkra]

Arf, ça semble être un virus qui s'en prend aux documents des types que tu énonces.

Ca va être coton, mais il ne semble pas nécessairement actif sur ta machine.

 

J'espère que tu as des backups de ces documents.

 

Peux-tu faire un zip du dossier C:\qoobox ? Et me dire combien il pèse ?

[arthusbing]

Bonsoir/Bonjour,

 

J'espérais aussi avoir des backups... mais non.

 

Comme demandé, Qoobox.rar = 6,25 Go.

 

Merci,

 

Arthus.

[Falkra]

Ta bestiole en cache une autre, et on va devoir changer nos plans.

 

Le topo est le suivant. Le virus crypte des fichiers utiles (et ransomware, c'est genre paie pour décrypter). Il ne faut pas les effacer, bien sûr.

 

Donc lis bien les étapes, l'ordre compte, et ne fais rien sans avoir tout lu d'abord, dans ce post.

 

Donc, il ne faut surtout pas effacer c:\qoobox (le dossier).

Par contre, le rar de 6Go ne sert à rien, donc là il faudra l'effacer dans l'ordre que je vais te donner, car un autre antivirus pourra bipper dessus et mettre le bazar après.

On va essayer de décrypter tes fichiers.

 

**1**

 

Va dans C:\Qoobox\Quarantine\c\documents and settings\Utilisateur1\Local Settings\Application Data\CDD et zippe 5-6 fichiers.

Va dans C:\Qoobox\Quarantine\c\documents and settings\Utilisateur1\Local Settings\Application Data\FLR et zippe 5-6 fichiers aussi.

 

Nomme tes 2 zips, ou rar, avec des noms différents (genre 1.rar et 2.rar).

Garde-les sous le coude. Les fichiers rar ou zip doivent faire moins de 10 Mo, sinon ne prends que 3-4 fichiers

 

**2**

 

:!: Ce qui suit n'est que pour ta machine, et ta machine seulement.

Ne surtout pas utiliser sur une autre machine : dangereux.

 

• Ouvre le Bloc-notes. Vérifie que dans le menu "Format", le "retour automatique à la ligne" est désactivé. Copie colle ceci dedans :
  

DeQuarantine::

C:\Qoobox\Quarantine\c\documents and settings\Utilisateur1\Local Settings\Application Data\CDD

C:\Qoobox\Quarantine\c\documents and settings\Utilisateur1\Local Settings\Application Data\FLR

 

Quit::

• Sauvegarde cela comme fichier texte nommé CFScript, sur le bureau.
   
  
• Fais un glisser/déposer de ce fichier CFscript sur le fichier ComboFix.exe comme sur la capture
  

• Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal ! Ne touche à rien tant que le scan n'est pas terminé.
  
• Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
  
• Si le fichier ne s'ouvre pas, il se trouve ici > C:\DeQuarantine_log.txt, il faudra le placer sur senduit, comme auparavant
  

 

**3**

 

Supprime le rar que tu as créé et qui fait 6.25 Go nommé qoobox.rar

 

 

**4**

 

Envoie-moi les fichiers d'échantillons zip ou rar que tu as fait à l'étape 1 (je t'envoie la procédure par MP).

[arthusbing]

Bonsoir,

 

Moi qui pensais en être débarassé... j'ai suivi la nouvelle procédure.

 

Voici le lien pour le rapport de ComboFix : http://senduit.com/4373ff.

 

Procédure MP en cours.

 

Merci,

 

Arthus.

[Falkra]

Je demande une confirmation pour te poster la suite, on a quelques cartouches en réserve.

[Falkra]

Télécharge cet outil sur ton bureau, et double clique dessus. S'il te propose de décrypter les fichiers, dis oui ! S'il dit ne pas trouver la clé, fais moi savoir ça :

ftp://ftp.drweb.com/pub/drweb/windows/te33decrypt.exe

[arthusbing]

Bosnoir,

 

C'est en cours. Je pense qu'il y en a pour un moment.

 

Merci,

 

Arthus.

[Falkra]

C'est bon signe, car l'outil travaille : quand il ne peut rien faire il le dit tout de suite en général.

 

Laisse le travailler et ne l'interromps pas, même si c'est long.

S'il te fait un rapport, poste le stp.

[arthusbing]

Bonsoir,

 

Rapport : 10238 fichiers ont été décryptés.

 

J'ai fait des sondages aléatoires. Les fichiers dont le contenu affichait 'FileError_22001' sont désormais correctement lisibles. Un grand merci!!!

 

Quelle est la suite?

 

Bonne soirée,

 

Arthus.

[arthusbing]

Re,

 

J'oubliais... pendant l'exécution de te33decrypt, 59 fichiers ont été créés sur mon bureau.

 

Que dois-en en faire? En veux-tu une copie?

 

A +,

 

Arthus.