Virus ransomware extension .vvv et how_recover+ybh

Cela ne m'étonne pas =)

oui c'est bien cela.

Salut MacWinux,

C'est vraiment volontaire le fait d'avoir Baidu Antivirus ??



Voici la correction à  effectuer avec FRST.
Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/#fix

Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK.
Copie/colle dedans ce qui suit :

HKU\S-1-5-21-2579682028-4231300233-3490792781-1000\...\Run: [Acronis] => C:\Users\Cyril\AppData\Roaming\nfqhm-bc.exe
ProxyEnable: [.DEFAULT] => Proxy est activé.
ProxyServer: [.DEFAULT] => http=127.0.0.1:50039;https=127.0.0.1:50039 [Attention - Possible Proxy Malicieux]
Hosts: Il y a plus d'un élément dans hosts. Voir la section Hosts de Addition.txt
C:\ProgramData\OACFKVRUXMRL.dat
HKU\S-1-5-21-2579682028-4231300233-3490792781-1000\...\Run: [Acrndtd] => C:\Users\Cyril\AppData\Roaming\hydobacroic.exe
Startup: C:\Users\Cyril\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+erq.html [2015-12-15] ()
Startup: C:\Users\Cyril\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+erq.txt [2015-12-15] ()
Startup: C:\Users\Cyril\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+xhw.html [2015-12-07] ()
Startup: C:\Users\Cyril\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+xhw.txt [2015-12-07] ()
C:\Users\Cyril\AppData\Roaming\hydobacroic.exe

Une fois, le texte collé dans le bloc-note.
Menu Fichier puis Enregistrer sous.
A gauche, place toi sur le bureau.
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.

Relance FRST et clic sur le bouton Corriger / Fix
Selon comment un redémarrage est nécessaire (pas obligatoire).
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur

Faire une recherche de fichiers sur Windows, pour supprimer tous les how_recover

Faudra sécuriser l'ordinateur, voir mon premier message : https://forums.commentcamarche.net/forum/affich-32965243-virus-ransomware-extension-vvv-et-how-recover-ybh#1

Pour la récupération des fichiers, voir ce message : https://forums.commentcamarche.net/forum/affich-32965243-virus-ransomware-extension-vvv-et-how-recover-ybh#15

voici les résultats du FRST
Résultats de correction de Farbar Recovery Scan Tool (x64) Version:10-01-2015 01
Exécuté par Cyril (2016-01-11 14:33:47) Run:1
Exécuté depuis C:\Users\Cyril\Desktop
Profils chargés: Cyril (Profils disponibles: Cyril)
Mode d'amorçage: Normal
==============================================

fixlist contenu:

HKU\S-1-5-21-2579682028-4231300233-3490792781-1000\...\Run: [Acronis] => C:\Users\Cyril\AppData\Roaming\nfqhm-bc.exe
ProxyEnable: [.DEFAULT] => Proxy est activé.
ProxyServer: [.DEFAULT] => http=127.0.0.1:50039;https=127.0.0.1:50039 [Attention - Possible Proxy Malicieux]
Hosts: Il y a plus d'un élément dans hosts. Voir la section Hosts de Addition.txt
C:\ProgramData\OACFKVRUXMRL.dat
HKU\S-1-5-21-2579682028-4231300233-3490792781-1000\...\Run: [Acrndtd] => C:\Users\Cyril\AppData\Roaming\hydobacroic.exe
Startup: C:\Users\Cyril\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+erq.html [2015-12-15] ()
Startup: C:\Users\Cyril\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+erq.txt [2015-12-15] ()
Startup: C:\Users\Cyril\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+xhw.html [2015-12-07] ()
Startup: C:\Users\Cyril\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+xhw.txt [2015-12-07] ()
C:\Users\Cyril\AppData\Roaming\hydobacroic.exe

HKU\S-1-5-21-2579682028-4231300233-3490792781-1000\Software\Microsoft\Windows\CurrentVersion\Run\\Acronis => valeur non trouvé(e).
HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable => valeur supprimé(es) avec succès
HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyServer => valeur supprimé(es) avec succès
C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.
C:\ProgramData\OACFKVRUXMRL.dat => déplacé(es) avec succès
HKU\S-1-5-21-2579682028-4231300233-3490792781-1000\Software\Microsoft\Windows\CurrentVersion\Run\\Acrndtd => valeur non trouvé(e).
C:\Users\Cyril\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+erq.html => déplacé(es) avec succès
C:\Users\Cyril\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+erq.txt => déplacé(es) avec succès
C:\Users\Cyril\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+xhw.html => déplacé(es) avec succès
C:\Users\Cyril\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_recover+xhw.txt => déplacé(es) avec succès
"C:\Users\Cyril\AppData\Roaming\hydobacroic.exe" => non trouvé(e).

Fin de Fixlog 14:33:59

De rien, décrypte les fichiers et sécurise ton ordinateur : http://forum.malekal.com/comment-securiser-son-ordinateur.html