[Résolu] Ransomware .Hese

[kervador]

Bonjour à toutes et tous,

Je suis victime d'un ransomware (.hese) sur un disque interne de données, mon disque (SSD) sur lequel est installé Windows 10 1903 n'est pas infecté. J'ai bien entendu déconnecté le disque infecté, et je voudrais savoir, d'une part, si je risque de propager l'infection sur mon disque système en rebranchant l'autre disque pour voir l’étendu des dégâts, et d'autre part, si il est possible de récupérer les données de ce disque infecté. 

Tous mes remerciements par avance pour votre aide.

Bonne journée et bonne rentrée pour demain

 

[longaripa]

Bonjour 

Il doit y avoir confusion dans les termes utilisés.
Un malware attaque le disque sur lequel Windows est installé. C'est ainsi qu'il peut fonctionner.
Ensuite, il peut aller attaquer d'autres disques .
 

On va examiner le disque pour vérifier sa présence éventuelle : 

 

Nous allons commencer par établir un diagnostic du PC . Pour cela , 
Télécharger Farbar Recovery Scan Tool (de Farbar) sur le Bureau.(IMPORTANT)
Attention: Il faut  lancer la version compatible avec  le  système : 32 ou  64bits.
Cliquer ici pour la version 32 bits
Cliquer ici pour la version 64 bits
Info : comment savoir quelle version de Windows j'utilise ?
Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même

• Faire un click droit  sur l'outil, puis executer en tant qu'administrateur pour le lancer. Quand l'outil se lance, cliquer sur Oui pour accepter le disclaimer.
• Cliquer sur le bouton  Analyser. . .

  

• L'outil va créer un rapport nommé FRST.txt, enregistré dans le même dossier que l'outil.
  
• A son premier lancement, l'outil va aussi créer un fichier nommé Addition.txt.

 
Poster les deux rapports générés.

[*]Pour les rapports, merci d'utiliser ce service de rapport en ligne : déposer le fichier via "parcourir" et poster simplement les liens obtenus dans votre réponse.
Une aide à l'utilisation ici

Sont attendus  les rapports : 
frst.txt
addition.txt
 

[kervador]

Bonjour Longaripa,

C'est bien un ransomware, et je t'assure qu'il a bloqué le disque de données et pas le disque system. Mais je vais faire tout ce que tu me demande. Par contre je dois m'absenter deux heures, désolé. Je te recontacte dès que je rentre. Merci

[kervador]

https://up.security-x.fr/file.php?h=R29304b24820a646aa695746595c7bbdb

https://up.security-x.fr/file.php?h=Rcafc1f81ed3bbbc50842fb07e943dd9a

[longaripa]

Re 

Est-ce que vous utilisez un programme pour de la cryptomonnaie ? Si oui, lequel ? 

Pourriez vous zipper et poster (héberger et poster le lien) d'un exemple de fichier crypté, et du message créé de la demande de rançon ? 

 

On va aussi  passer 2 autres scans, pour approfondir : 

------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

AdwCleaner - Analyser :

• Télécharger AdwCleaner de Malwarebytes et enregistrer le fichier sur le Bureau
  Patienter le temps que le navigateur  propose le téléchargement à enregistrer, sans cliquer nulle part, surtout pas sur les sponsors de la page
• Fermer toutes les applications, y compris le navigateur
• Clic-droit -> Exécuter en tant qu'administrateur sur l'icône AdwCleaner.exe pour lancer l'outil
• Sur le menu principal, cliquer sur Analyser
• Les éléments détectés s'affichent dans les différents onglets. Cliquer sur Rapport
• Un rapport AdwCleaner(Sx).txt s'ouvre. Poster ce rapport dans la prochaine réponse
  Le rapport se trouve sous C:\AdwCleaner\AdwCleaner(Sx).txt (ou C:\Program Files (x86)\AdwCleaner)

Sous Internet Explorer et Edge, le filtre SmartScreen peut déclencher une alerte. Cliquer sur Actions ou Informations complémentaires puis sur Exécuter quand même

Si l'antivirus émet une alerte ou bloque l'outil, il faut le désactiver temporairement (le fichier AdwCleaner.exe est sûr)

Tutoriel d'utilisation AdwCleaner en images

 

------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

Malwarebyte's antimalware  Mode analyse uniquement

Téléchargez Malwarebytes Anti-Malware et enregistrez-le sur le Bureau.
Clique-droit sur le fichier mbam-setup.exe  > exécuter en tant qu'administrateur  pour lancer l'installation

A la fin de l'installation: 

• Clique sur Terminer. Malwarebyte's s'ouvre
  
• Dans l'onglet parametres >> protection , Positionnez les parametres comme sur la photo 
• Lancer l'examen >> Analyse Maintenant
• Attendez que  l'examen se termine 
• Cliquez sur l'onglet Comptes-rendus .
• Faites un double clique sur comptre-rendu d'analyse qui vient d'être effectuée.
• Cliquez sur Afficher Exporter.
• Cliquez sur Fichier texte (*.txt)
• Dans la boîte de dialogue 'Enregistrer le fichier' qui s'est ouverte, cliquez sur le Bureau.
• Dans la zone Nom du fichier: saisissez un nom pour votre journal d'examen.
• Une boîte de message intitulée Fichier enregistré doit apparaître et vous annoncer que "Votre fichier a été exporté avec succès".
• Cliquez sur OK
  

Hébergez le contenu du rapport sur  ce service de rapport en ligne
Puis copie/colle le lien fourni dans votre prochaine réponse.
 Tutoriel Malwarebytes en images

------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

 

2 rapports à poster, plus les 2 fichiers demandés

[kervador]

Ci-joint rapport Adware https://up.security-x.fr/file.php?h=R29046018e1a6a6c0c59e686af2eaa3b7

Adware me propose de nettoyer, dois-je le faire ?

Pour te joindre un fichier crypté et la demande de rançon je dois reconnecter mon disque, est-ce sécure pour mon disque système ? Si oui, puis-je le connecter à chaud ou dois-je éteindre mon PC ?

Non je n'ai pas de programme pour de la cryptomonnaie

[longaripa]

Pour le moment, ne reconnectez pas le disque.

Ne faites pas nettoyer .
Il faudrait le rapport MBAM

[kervador]

Je t'envoie le rapport dès qu'il aura fini l'analyse

[kervador]

Le voila https://up.security-x.fr/file.php?h=R6638bb92ce1cb83ef4f4948fda60853c

[kervador]

J'ai du refaire une analyse, je n'avais pas coché la recherche de rootkits, désolé...

https://up.security-x.fr/file.php?h=R353e363c82275b53c6b9da567eeb0706