Qu'est-ce que le ransomware PyLocky? Et comment exécute-t-il son attaque?
Le rançongiciel PyLocky est un logiciel malveillant de verrouillage de fichier créé afin de verrouiller des fichiers importants et d'exiger une rançon des victimes en échange de la récupération de données. Ce nouveau ransomware utilise l'extension .lockymap pour marquer les fichiers qu'il crypte. Il commence à exécuter son attaque en supprimant la charge utile malveillante suivante dans le système:
Nom: facture_4739149_08.26.2018.exe
SHA256:8655f8599b0892d55efc13fea404b520858d01812251b1d25dcf0afb4684dce9
Taille: 5.3 MB
Après avoir abandonné sa charge utile malveillante, ce crypto-malware connecte l'ordinateur infecté à un serveur distant où il télécharge plus de fichiers malveillants et les place dans les dossiers système. Il applique ensuite un module de collecte de données utilisé pour collecter des données sur l'utilisateur et l'ordinateur. Les fichiers malveillants téléchargés précédemment ainsi que les données obtenues sont utilisés pour un autre module appelé protection furtive. Cela permet au ransomware PyLocky d'exécuter son attaque sans être détecté par les programmes de sécurité ou antivirus installés dans le système. Il modifie également certaines clés de registre et entrées dans le registre Windows telles que:
- PanelDesktop HKEY_CURRENT_USERControl
- HKEY_USERS.DEFAULTPanneau de configurationBureau
- HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
- HKEY_CURRENT_USERLogicielsMicrosoftWindowsCurrentVersionRun
- HKEY_LOCAL_MACHINELogicielMicrosoftWindowsCurrentVersionRunOnce
- HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce
Une fois toutes les modifications effectuées, le rançongiciel PyLocky commencera à chiffrer ses fichiers ciblés à l'aide d'un chiffrement de chiffrement sophistiqué. Après le cryptage, il ajoute l'extension .lockymap à chacun des fichiers cryptés et libère une note de rançon nommée "LOCKY-README.txt" qui contient le contenu suivant:
"Veuillez noter :
Tous vos fichiers, images, documents et données ont été cryptés avec le cryptage de qualité militaire RSA ABS-256.
Vos informations ne sont pas perdues. Mais crypté.
Pour que vous puissiez restaurer vos fichiers, vous devez acheter un décrypteur.
Suivez ces étapes pour restaurer vos fichiers.
1 * Téléchargez le navigateur Tor. (Tapez simplement google "Télécharger Tor"
2 'Accédez à l'URL: http://4wcgqlckaazungm.onion/index.php
3 * Achetez le Decryptor pour restaurer vos fichiers.
C'est très simple. Si vous ne pensez pas que nous pouvons restaurer vos fichiers, vous pouvez restaurer gratuitement 1 fichier de format d'image.
Soyez conscient que le temps passe. Le prix sera doublé toutes les 96 heures, alors utilisez-le judicieusement.
Votre identifiant unique:
ATTENTION:
N'essayez pas de modifier ou de supprimer un fichier crypté car il sera difficile de le restaurer.
SUPPORT :
Vous pouvez contacter le support pour vous aider à décrypter vos fichiers.
Cliquez sur le support à http://4wcgqlckaazungm.onion/index.php ”
Comment le ransomware PyLocky se propage-t-il sur le Web?
Le ransomware PyLocky se propage à l'aide de campagnes d'e-mails de spam malveillants. Les créateurs de cette menace intègrent une pièce jointe infectée aux courriers indésirables et les envoient à l'aide d'un spam. Les escrocs peuvent même utiliser des tactiques trompeuses pour vous inciter à ouvrir immédiatement le logiciel malveillant, ce que vous ne devez pas faire. Ainsi, avant d'ouvrir des e-mails, assurez-vous de les avoir soigneusement vérifiés.
Pour effacer avec succès le rançongiciel PyLocky de votre ordinateur, reportez-vous au guide de suppression présenté ci-dessous.
- Étape 1 : Lancez le Gestionnaire des tâches en appuyant simplement sur les touches Ctrl + Maj + Échap de votre clavier.
- Étape 2 : Sous le Gestionnaire des tâches, accédez à l'onglet Processus et recherchez le processus nommé facture_4739149_08.26.2018.exe et tout processus suspect qui prend la plupart des ressources de votre CPU et est probablement lié au ransomware PyLocky.
- Étape 3 : Après cela, fermez le Gestionnaire des tâches.
- Étape 4 : Appuyez sur Win + R, saisissez appwiz.cpl et cliquez sur OK ou appuyez sur Entrée pour ouvrir la liste des programmes installés du Panneau de configuration.
- Étape 5 : Dans la liste des programmes installés, recherchez le ransomware PyLocky ou quelque chose de similaire, puis désinstallez-le.
- Étape 6 : Ensuite, fermez le Panneau de configuration et appuyez sur les touches Win + E pour lancer l'explorateur de fichiers.
- Étape 7 : Accédez aux emplacements suivants ci-dessous et recherchez les composants malveillants du rançongiciel PyLocky tels que facture_4739149_08.26.2018.exe et LOCKY-README.txt ainsi que d'autres fichiers suspects, puis supprimez-les tous.
% TEMP%
% WINDIR% System32Tasks
% APPDATA% MicrosoftWindowsTemplates
% USERPROFILE% Téléchargements
% USERPROFILE% Desktop
- Étape 8 : Fermez l'explorateur de fichiers.
- Étape 9 : Appuyez sur Win + R pour ouvrir Exécuter, puis tapez Regedit dans le champ et appuyez sur Entrée pour afficher le Registre Windows.
- Étape 10 : Accédez au chemin suivant:
PanelDesktop HKEY_CURRENT_USERControl
HKEY_USERS.DEFAULTPanneau de configurationBureau
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
HKEY_CURRENT_USERLogicielsMicrosoftWindowsCurrentVersionRun
HKEY_LOCAL_MACHINELogicielMicrosoftWindowsCurrentVersionRunOnce
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce
- Étape 11 : Supprimez les clés et sous-clés de registre créées par le rançongiciel PyLocky.
- Étape 12 : Fermez l'Éditeur du Registre et videz la corbeille.
Essayez de récupérer vos fichiers cryptés à l'aide des copies du volume fantôme
Restauration de vos fichiers cryptés à l'aide de Windows Versions précédentes La fonctionnalité ne sera efficace que si le rançongiciel PyLocky n'a pas supprimé les clichés instantanés de vos fichiers. Mais tout de même, c'est l'une des meilleures méthodes gratuites qui soit, donc ça vaut vraiment le coup.
Pour restaurer le fichier crypté, clic-droit sur et sélectionnez Propriétés, une nouvelle fenêtre s'ouvrira, puis passez à Versions précédentes. Il chargera la version précédente du fichier avant sa modification. Après son chargement, sélectionnez l'une des versions précédentes affichées dans la liste, comme celle de l'illustration ci-dessous. Et puis cliquez sur le Restaurer .