Bonjour,
Vous êtes victime d'une attaque de type " ransomware " par une variante de TeslaCrypt (qui utilise une grande part du code Alpha Crypt et en est, probablement, une variante).
Tous les fichiers utilisateurs (cette liste peut varier d'une version à une autre du " ransomware ") de types .sql, .mp4, .7z, .rar, .m4a, .wma, .avi, .wmv, .csv, .d3dbsp, .zip, .sie, .sum, .ibank, .t13, .t12, .qdf, .gdb, .tax, .pkpass, .bc6, .bc7, .bkp, .qic, .bkf, .sidn, .sidd, .mddata, .itl, .itdb, .icxs, .hvpl, .hplg, .hkdb, .mdbackup, .syncdb, .gho, .cas, .svg, .map, .wmo, .itm, .sb, .fos, .mov, .vdf, .ztmp, .sis, .sid, .ncf, .menu, .layout, .dmp, .blob, .esm, .vcf, .vtf, .dazip, .fpk, .mlx, .kf, .iwd, .vpk, .tor, .psk, .rim, .w3x, .fsh, .ntl, .arch00, .lvl, .snx, .cfr, .ff, .vpp_pc, .lrf, .m2, .mcmeta, .vfs0, .mpqge, .kdb, .db0, .dba, .rofl, .hkx, .bar, .upk, .das, .iwi, .litemod, .asset, .forge, .ltx, .bsa, .apk, .re4, .sav, .lbf, .slm, .bik, .epk, .rgss3a, .pak, .big, wallet, .wotreplay, .xxx, .desc, .py, .m3u, .flv, .js, .css, .rb, .png, .jpeg, .txt, .p7c, .p7b, .p12, .pfx, .pem, .crt, .cer, .der, .x3f, .srw, .pef, .ptx, .r3d, .rw2, .rwl, .raw, .raf, .orf, .nrw, .mrwref, .mef, .erf, .kdc, .dcr, .cr2, .crw, .bay, .sr2, .srf, .arw, .3fr, .dng, .jpe, .jpg, .cdr, .indd, .ai, .eps, .pdf, .pdd, .psd, .dbf, .mdf, .wb2, .rtf, .wpd, .dxg, .xf, .dwg, .pst, .accdb, .mdb, .pptm, .pptx, .ppt, .xlk, .xlsb, .xlsm, .xlsx, .xls, .wps, .docm, .docx, .doc, .odb, .odc, .odm, .odp, .ods, .odt, sont chiffrés (cryptés) en utilisant un algorithme RSA 2048.
Il n'y a que trois solutions.
- Repartir de sauvegardes
- Payer la rançon
- Tout perdre
Cette attaque détruit également les copies de sécurité faites par Windows ("Versions précédentes" dans les propriétés des fichiers) si tant est qu'elles soient activées, ce qui n'est jamais le cas par défaut et est inconnue des utilisateurs
Sauvegardes des fichiers par Windows - Versions précédentes des fichiers
Je traduis en très bref abrégé l'article de Grindler (un MVP (MS MVP) - sur son site de référence : bleepingcomputer.com )
TeslaCrypt et Alpha Crypt sont des Ransomware qui ciblent toutes les versions de Windows, y compris Windows XP, Windows Vista, Windows 7, Windows 8 et Windows 10. TeslaCrypt est apparu vers la fin de Février 2015 et Alpha Crypt vers la fin d'Avril 2015. Lorsque vous êtes infecté par TeslaCrypt ou Alpha Crypt, ils analysent votre ordinateur, sur l'ensemble de vos lettres de lecteurs, à la recherche de vos fichiers de données (Windows lui-même et les applications sont ignorées de manière à ce que l'ordinateur puisse continuer à fonctionner afin d'aller sur Internet et payer la rançon). Les fichiers de données sont chiffrés (cryptés) en utilisant un chiffrement AES. Ils ne peuvent plus être ouverts sans être déchiffrés et il n'existe pas de solution de déchiffrement de l'AES.
Notons qu'ils prétendent utiliser, dans les cas de TeslaCrypt et Alpha Crypt, une clé asymétrique RSA 2048.Dans la réalité, les fichiers chiffrés le sont en AES symétrique.
On ne sait pas, non plus, quelle est la dureté du chiffrement. Il n'est pas certain qu'il s'agisse de 2048 bits car le cybercriminel a besoin que le chiffrement soit rapidement effectué afin de minimiser les chances d'être détecté avant la fin du chiffrement de tous les fichiers utilisateur.
Les suffixes utilisés pour les fichiers chiffrés sont variables : .ecc, .ezz, .exx, .xyz, .zzz, .aaa, .abc, .ccc, etc. ... Il existe une version de TeslaCrypt qui ne modifie pas les noms des fichiers.
Une fois le chiffrement terminé, TeslaCrypt ou Alpha Crypt affiche une application qui contient des instructions sur la façon de récupérer vos fichiers. Ces instructions incluent un lien vers un site de service de décryptage, derrière un réseau TOR (rendant le cybercriminel indétectable), qui vous informera du montant de la rançon, de la quantité de fichiers cryptés, et vous donnera des instructions sur la façon de payer. Le coût de la rançon commence à environ 500 $ (USD) et est payable par l'intermédiaire de bitcoins. L'adresse Bitcoin que vous devez utiliser pour le paiement est différente pour chaque victime.
COUPEZ TOUT - NE TOUCHEZ A RIEN
COUPEZ votre ordinateur !
Ne faites rien dessus.
Sortez le disque dur et faites en un clone sur un banc de copie de manière à avoir la possibilité, si un jour un outil de déchiffrement gratuit existe, de récupérer vos fichiers.
Si vous avez une copie de sécurité de vos fichiers, analysez votre disque de sécurité sur une autre machine, ne contenant aucune donnée sensible, et elle-même totalement fiable et analysée : Procédure gratuite de décontamination anti-malwares, anti-crapwares, anti-adwares
En particulier, analyse avec Malwarebytes Anti-Malware (MBAM) et avec Hitman Pro (HitmanPro).
En principe, ne jamais payer car cela encourage les cybercriminels mais, si vous êtes obligé de passer au paiement, NE DETRUISEZ AUCUN FICHIER, NE MODIFIEZ RIEN sur votre ordinateur, dans la mesure où la procédure de déchiffrement, après paiement de la rançon, risque d'avoir besoin de ses fichiers inscrits sur votre disque dur.
Si vous choisissez de payer, le déchiffrement de vos fichiers risque d'être très long, selon leur nombre et la machine (plusieurs heures...).
Prévention :
Le bon sens
Les mises à jour officielles permanentes
Les sauvegardes off-line et les copies de sécurité.
La lute contre le virus PEBCAK (Virus Pebcak)
La version gratuite (ou plus) de http://www.bleepingcomputer.com/forums/t/572146/cryptomonitor-stop-all-known-crypto-ransomware-befor...
La version gratuite (ou plus) de Cryptoprevent Malware Prevention
Attention : à cause d'une censure automatique de certains mots, l'URL de Cryptoprevent Malware Prevention ne fonctionne pas. Recopiez l'URL suivante puis retirez les espaces
https://www.fooli s h i t.com/cryptoprevent-malware-prevention/
Un espoir (sans trop d'espoir)
Il existe un outil de déchiffrement gratuit, mais qui ne semble pas concerner votre version de chiffrement (concerne les fichiers chiffrés lorsqu'ils ont comme suffixe .ECC, EZZ et .EXX.
Vous pouvez télécharger http://download.bleepingcomputer.com/BloodDolly/TeslaDecoder.zip
Suivre ce fil de discussion à propos de cet outil :
http://www.bleepingcomputer.com/forums/t/576600/tesladecoder-released-to-decrypt-exx-ezz-ecc-files-e...
Cordialement
Pierre (aka Terdef)
https://assiste.com
