Une toute nouvelle souche de Locky ransomware a été détectée du jour au lendemain par des chercheurs de logiciels malveillants après la découverte de la variante avec l’extension .shit. Les auteurs du virus ont décidé de ramener le thème de la mythologie nordique à leurs projets de ransomware et nous pouvons voir l’extension .thor ajoutée aux fichiers chiffrés. Pour voir comment supprimer le virus et comment essayer de restaurer vos fichiers, lisez l’article complet.
Résumé du Virus
| Nom | .thor files |
| Type | Ransomware, Cryptovirus |
| Brève description | Le ransomware crypte vos données, puis il affiche un message aléatoire avec des instructions pour le paiement. |
| Symptômes | Les fichiers cryptés auront l’extension .thor jointe à eux. |
| Méthode de distribution | Les e-mails de spam, Pièces jointes de courrier électronique (.wsf, .js, .hta, .zip, .vbs, .bin), Documents Google |
| Outil de détection |
Voir si votre système a été affecté par Locky .thor files Download
Malware Removal Tool
|
| Outil de récupération de données | Windows Data Recovery by Stellar Phoenix Avis! Ce produit scanne les secteurs des disques durs pour récupérer des fichiers perdus. Il est possible qu’il ne puisse pas récupérer 100% des fichiers cryptés, mais seulement quelques-uns d’entre eux, en fonction de la situation et si vous avez reformaté le disque. |
LockyRansomware – Distribution
La dernière souche malveillante du ransomware Locky utilise les serveurs de Commandement et Contrôle comme méthode de distribution. Les e-mails de spam avec un corps de texte vide contiennent des pièces jointes qui fournissent un téléchargeur sur votre PC. Dès lors, le téléchargeur assemble le ransomware et crypte vos données. Les pièces jointes de courrier électronique ressemblent à des documents légitimes, tandis que le nom, l’adresse et le courrier électronique de l’expéditeur peuvent être falsifiés par rapport aux entreprises réelles et aux données de leurs employés. Les pièces jointes sont des détenteurs de scripts ou des téléchargeurs, et les types de fichiers utilisés sont: .wsf, .js, .hta, .zip, .vbs et .bin.
Voici un exemple d’un tel fichier détecté par Payload Security:
Locky ransomware pourrait également être diffusé autour des réseaux sociaux et des sites de partage de fichiers. Une des plateformes signalées pour la livraison des fichiers malveillants est Google Docs. N’ouvrez pas les liens, les pièces jointes et les fichiers qui sont suspects ou dont l’origine est inconnue. Avant d’ouvrir des fichiers, assurez-vous qu’ils ne sont pas des types de fichiers répertoriés ci-dessus, y compris les fichiers .exe. En outre, effectuez toujours un scan avec un outil de sécurité et vérifiez les fichiers pour leurs signatures et taille. Vous devriez consulter le sujet sur les conseils de prévention des ransomware écrits dans notre forum.
LockyRansomware – Description
Locky ransomware utilise une nouvelle extension sur les fichiers chiffrés et c´est l’extension .thor . On peut dire que les auteurs du cryptovirus reviennent à ses racines – c’est-à-dire que la mythologie nordique était dans l’esprit des cybercriminels. La plupart des extensions utilisées par le ransomware portaient le nom de Thor, Odin, et Loki, qui sont tous des Dieux dans la mythologie nordique. Cependant, les escrocs auraient pu avoir les bandes dessinées de Marvel et le portrait de films des Dieux à l’esprit. Ce qui est encore plus intéressant – Heimdallr est aussi un Dieu norvégien (fils d’Odin) et Heimdal Security est nommé d’après lui. Les créateurs de logiciels malveillants se moquent de Heimdal Security? Ou des programmes contre logiciels malveillants en général?
Le virus utilise des serveurs C2 (Command and Control) servers pour la livraison de ses fichiers payload comme décrit dans la section précédente. Les fichiers contiennent un script malveillant qui télécharge un fichier .dll sur votre ordinateur. Une fois exécuté, votre système informatique devient infecté. Vous pouvez consulter certains des serveurs C2, ici:
- 185.102.136.77:80/linuxsucks.php
- 91.200.14.124:80/linuxsucks.php
- 91.226.92.225:80/linuxsucks.php
- 77.123.14.137:221/linuxsucks.php
- yptehqhsgdvwsxc.biz/linuxsucks.php
- fvhnnhggmck.ru/linuxsucks.php
- krtwpukq.su/linuxsucks.php
- tdlqkewyjwakpru.ru/linuxsucks.php
Lockyransomware peut être téléchargé à partir de nombreux sites de téléchargement, dont certains sont répertoriés ci-dessous.
Une fois execute le fichier .DLL, il chiffrera vos fichiers et affichera une note de rançon. Des copies de cette note seront diffusées dans des répertoires avec des fichiers cryptés avec le nom _WHAT_is. L’un est un fichier .bmp et l’autre est un fichier .html, où le fichier image sera défini comme fond de votre bureau.
La note de rançon du virus est la même que celle de l’extension .shit:
Et quand vous chargez le fichier_WHAT_is.html, il ressemblera au suivant:
Le texte est le suivant:
!!! INFORMATION IMPORTANTE!!!
Tous vos fichiers sont cryptés avec RSA-2048 et chiffrements AES-128.
Plus d’informations sur le RSA et AES peut être trouvée ici:
https://en.wikipedia.org/wiki/RSA_(cryptosystem)
https://en.wikipedia.org/wiki/Advanced_Encryption_Standard
Le décryptage de vos fichiers est seulement possible avec une clé privée et une programme de décryptage, qui se trouvent sur notre serveur secret.
Pour recevoir votre clé privée suivre l’un des liens:
1. http://jhomitevd2abj3fk.tor2web.org/5DYGW6MQXIPQSSBB2.
2. http://jhomitevd2abj3fk.onion.to/5DYGW6MQXIPQSSBB
Si toutes ces adresses ne sont pas disponibles, procédez comme suit:
1. Téléchargez et installez le Navigateur Tor: https://www.torproject.org/download/download-easy.html
2. Après l’installation, lancez le navigateur et attendez l’initialisation.
3. Tapez dans la barre d’adresse: jhomitevd2abj3fk.onion/5DYGW6MQXIPQSSBB
4. Suivez les instructions sur le site.
!!! Votre ID d’identification personnel: 5DYGW6MQXIPQSSBB !!!
Le virus Locky emmène au service avec les instructions de paiement que nous avons vu dans les variantes passées. Le service peut être consulté si vous entrez le nom d’un fichier chiffré (ceci est fait pour limiter l’accès au service). Vous pouvez voir le site caché sur le réseau TOR dans l’image ci-dessous:
Le Lockyransomware n’a pas de variantes qui ont été décryptées, et le code pour celui-ci est issu par les mêmes auteurs. Les utilisateurs précédemment infectés par une variante plus ancienne de ce virus ont rapporté qu’ils n’ont pas pu récupérer leurs données, même après avoir payé la rançon. Pour ce motif, il n’y a aucune raison de contacter les fraudeurs ni penser à les payer. Évidemment, les escrocs continueront simplement à faire d’autres virus de ransomware.
Les types de fichiers actuellement chiffrés par le ransomware Locky sont plus de 400 et ont les extensions suivantes:
txt, .pdf, .html, .rtf, .avi, .mov, .mp3, .mp4, .dwg, .psd, .svg, .indd, .cpp, .pas, .php, .java, .jpg, .jpeg, .bmp, .tiff, .png, .doc, .docx, .xls, .xlsx, .ppt, .pptx, .yuv, .ycbcra, .xis, .wpd, .tex, .sxg, .stx, .srw, .srf, .sqlitedb, .sqlite3, .sqlite, .sdf, .sda, .s3db, .rwz, .rwl, .rdb, .rat, .raf, .qby, .qbx, .qbw, .qbr, .qba, .psafe3, .plc, .plus_muhd, .pdd, .oth, .orf, .odm, .odf, .nyf, .nxl, .nwb, .nrw, .nop, .nef, .ndd, .myd, .mrw, .moneywell, .mny, .mmw, .mfw, .mef, .mdc, .lua, .kpdx, .kdc, .kdbx, .jpe, .incpas, .iiq, .ibz, .ibank, .hbk, .gry, .grey, .gray, .fhd, .ffd, .exf, .erf, .erbsql, .eml, .dxg, .drf, .dng, .dgc, .des, .der, .ddrw, .ddoc, .dcs, .db_journal, .csl, .csh, .crw, .craw, .cib, .cdrw, .cdr6, .cdr5, .cdr4, .cdr3, .bpw, .bgt, .bdb, .bay, .bank, .backupdb, .backup, .back, .awg, .apj, .ait, .agdl, .ads, .adb, .acr, .ach, .accdt, .accdr, .accde, .vmxf, .vmsd, .vhdx, .vhd, .vbox, .stm, .rvt, .qcow, .qed, .pif, .pdb, .pab, .ost, .ogg, .nvram, .ndf, .m2ts, .log, .hpp, .hdd, .groups, .flvv, .edb, .dit, .dat, .cmt, .bin, .aiff, .xlk, .wad, .tlg, .say, .sas7bdat, .qbm, .qbb, .ptx, .pfx, .pef, .pat, .oil, .odc, .nsh, .nsg, .nsf, .nsd, .mos, .indd, .iif, .fpx, .fff, .fdb, .dtd, .design, .ddd, .dcr, .dac, .cdx, .cdf, .blend, .bkp, .adp, .act, .xlr, .xlam, .xla, .wps, .tga, .pspimage, .pct, .pcd, .fxg, .flac, .eps, .dxb, .drw, .dot, .cpi, .cls, .cdr, .arw, .aac, .thm, .srt, .save, .safe, .pwm, .pages, .obj, .mlb, .mbx, .lit, .laccdb, .kwm, .idx, m11, .html, .flf, .dxf, .dwg, .dds, .csv, .css, .config, .cfg, .cer, .asx, .aspx, .aoi, .accdb, .7zip, .xls, .wab, .rtf, .prf, .ppt, .oab, .msg, .mapimail, .jnt, .doc, .dbx, .contact, .mid, .wma, .flv, .mkv, .mov, .avi, .asf, .mpeg, .vob, .mpg, .wmv, .fla, .swf, .wav, .qcow2, .vdi, .vmdk, .vmx, .wallet, .upk, .sav, .ltx, .litesql, .litemod, .lbf, .iwi, .forge, .das, .d3dbsp, .bsa, .bik, .asset, .apk, .gpg, .aes, .arc, .paq, .tar.bz2, .tbk, .bak, .tar, .tgz, .rar, .zip, .djv, .djvu, .svg, .bmp, .png, .gif, .raw, .cgm, .jpeg, .jpg, .tif, .tiff, .nef, .psd, .cmd, .bat, .class, .jar, .java, .asp, .brd, .sch, .dch, .dip, .vbs, .asm, .pas, .cpp, .php, .ldf, .mdf, .ibd, .myi, .myd, .frm, .odb, .dbf, .mdb, .sql, .sqlitedb, .sqlite3, .pst, .onetoc2, .asc, .lay6, .lay, .sldm, .sldx, .ppsm, .ppsx, .ppam, .docb, .mml, .sxm, .otg, .odg, .uop, .potx, .potm, .pptx, .pptm, .std, .sxd, .pot, .pps, .sti, .sxi, .otp, .odp, .wks, .xltx, .xltm, .xlsx, .xlsm, .xlsb, .slk, .xlw, .xlt, .xlm, .xlc, .dif, .stc, .sxc, .ots, .ods, .hwp, .dotm, .dotx, .docm, .docx, .dot, .max, .xml, .txt, .csv, .uot, .rtf, .pdf, .xls, .ppt, .stw, .sxw, .ott, .odt, .doc, .pem, .csr, .crt, .key
Tous les fichiers cryptés auront l’extension .thor ajoutée à eux et leurs noms seront changés en symboles aléatoires. L’algorithme de cryptage que Locky prétend utiliser selon sa note de rançon est RSA-2048 avec des chiffres 128-bit AES et cela semble être vrai.
Le cryptovirus Locky supprimera presque certainement les Shadow Volume Copies du système d’exploitation Windows avec la chaîne de commande suivante:
→vssadmin.exe delete shadows /all /Quiet
Continuez à lire pour voir comment supprimer ce ransomware et vérifier quelles méthodes vous pouvez utiliser pour essayer de décrypter certains de vos fichiers.
Eliminez LockyRansomware et Restaurez les Fichiers .thor
Si votre ordinateur a été infecté par le virus Locky ransomware, vous devriez avoir une certaine expérience dans la suppression des logiciels malveillants. Vous devriez vous débarrasser de cette ransomware aussi vite que possible avant qu’il puisse avoir la chance de se propager plus loin et infecter d’autres ordinateurs. Vous devez éliminer le ransomware et suivre le guide d’instructions étape par étape ci-dessous. Pour voir les moyens que vous pouvez essayer pour récupérer vos données, voir l’étape intitulé 2. Restaurer les fichiers chiffrés par Locky.
Remarque! Avis important concernant la menace du .thor files: l’élimination manuelle des nécessite des perturbations dans fichiers et registre du système. Donc, il pourrait provoquer des dommages à votre PC. Ne vous inquiétez pas, même si vos compétences en informatique ne sont pas sur le plan professionnel, vous pouvez effectuer l’élimination vous-même en 5 minutes à l’aide de l’instrument d’élimination de software malveillant.
1. Pour Windows 7, XP et Vista.
2. Pour Windows 8, 8.1 et 10.Pour les systèmes d’exploitation WindowsXP, Vista et 7:
1. Supprimer tous les CD et DVD et puis redémarrez votre ordinateur depuis le menu « Démarrer ».
2. Sélectionnez l’une des deux options ci-dessous:
– pour les ordinateurs avec un seul système d’exploitation: Appuyez plusieurs fois sur la touche “F8”, lors du redémarrage de votre ordinateur, après l’apparition du premier écran de démarrage. Au cas que vous voyez le logo de Windows à l’écran, vous devrez répéter les mêmes actions.
– pour les ordinateurs avec plusieurs systèmes d’exploitation : Les touches fléchées vous aideront à sélectionner le système d’exploitation que vous souhaitez démarrer en « mode sans échec ». Appuyez sur la touche « F8 » de la même manière que celle décrite ci-dessus pour les ordinateurs à un seul système d’exploitation.
3. Après l’affichage de l’écran avec les « Options de démarrage avancées », sélectionnez l’option de Mode sans échec souhaitée, à l’aide des touches fléchées. Une fois que vous avez fait votre choix, appuyez sur « Enter ».
4. Ouvrez une session sur votre ordinateur en utilisant votre compte d’administrateur.
Alors que votre ordinateur est en Mode sans échec, les mots « Mode sans échec » vont apparaitre dans chacun des quatre coins de votre écran.
Étape 1: Ouvrez le menu “Démarrage”.
Étape 2: En maintenant la touche Maj (Shift), cliquez sur la Puissance, puis Redémarrage Étape 3: Après le redémarrage, il apparaîtra sous le menu mentionne. À partir de là, vous devez sélectionner “Dépannage”.
Étape 3: Vous verrez le menu “Dépannage”. À partir de là, vous pouvez sélectionner la „Options avancées“.
Étape 4: Vous verrez le menu “Dépannage”. À partir de là, vous pouvez sélectionner la „Options avancées“.
Étape 5: Une fois le que le menu « Options avancées » apparaît, cliquez sur « Paramètres de démarrage».
Étape 6: Cliquez sur “Redémarrage”.
Étape 7: Un menu de redémarrage s’affiche. Vous devriez sélectionner Mode sans échec en appuyant sur le numéro correspondant, et de cette manière la machine va redémarrer.
Trouvez les fichiers malveillants créés par .thor files
1. Pour Windows 8, 8.1 et 10Pour les Systèmes d’Exploitation Windows plus récents
Étape 1:
Sur votre clavier appuyez sur + R et écrivez explorer.exe dans la zone de texte Run et puis appuyez sur le bouton Ok.
Étape 2:
Cliquez sur your PC de la barre d’accès rapide. Cela est généralement une icône avec un moniteur et son nom est “My Computer”, “My PC” ou bien “This PC” ou ce que vous l´avez nommé.
Étape 3:
Accédez à la zone de recherche en haut à droite de l’écran de votre ordinateur et tapez “fileextension:” puis tapez l’extension de fichier. Si vous cherchez des malveillants exécutables, un exemple peut être “fileextension:exe”. Après avoir fait cela, laissez un espace et tapez le nom de fichier que vous croyez que le malware a créé. Voici comment cela peut apparaître si votre fichier a été trouvé:
N.B. Nous vous recommandons d’attendre le chargement complet de la barre verte dans la zone de navigation au cas où l´ordinateur est à la recherche du fichier et il ne l’a pas encore trouvé.
Supprimer automatiquement .thor files en téléchargeant un programme anti-malware sophistiqué.
Installer SpyHunter, afin d’analyser et d’éliminer .thor files.
1. Installer SpyHunter, afin d’analyser et d’éliminer .thor files.2. Analysez avec SpyHunter, afin de detecter et supprimer .thor files.Etape 2: Guidez-vous par les instructions de téléchargement fournies pour chaque navigateur.
Etape 3: Une fois que vous avez installé SpyHunter, attendez pour qu’il se mette à jour lui-même.
Etape 1: Une fois que la mise à jour soit terminée, cliquez sur le bouton « Analyser l’ordinateur maintenant »
Etape 2: Après que Spy Hunter ait finit avec l’analyse de votre ordinateur pour les fichiers d’ .thor files cliquez sur le bouton “ « Fixer les menaces » afin de les éliminer automatiquement et en permanence.
Etape 3: Après que les infiltrations sur votre ordinateur sont supprimées, il est fortement recommandé de le redémarrer
STOPZilla Anti MalwareÉtape 1: Télécharger STOPZilla en cliquant ici..
Étape 2: Une fenêtre contextuelle apparaîtra. Cliquez sur le bouton «Enregistrer le fichier». Dans le cas où il n’est pas enregistré, cliquez sur le bouton Télécharger et ensuite et le sauvegardez ensuite. .
Étape 3:Une fois que vous avez téléchargé la configuration, il est nécessaire uniquement de l’ouvrir.
Étape 4: Il devrait apparaitre une pour l’installation. Cliquez sur le bouton «Suivant».
Étape 5: Marquez le cercle corespondant de « J’accepte l’accord », si vous avez examiné et acceptez les termes et conditions. Puis appuyez à nouveau sur le bouton « Suivant ».
Étape 6: Accédez à nouveau et puis cliquez sur le bouton ‘Installation’.
Étape 7: Une fois l’installation terminée, cliquez sur la touche ‘Finish’.
2. Analysez votre ordinateur avec STOPZilla Anti Malware, afin d’éliminer complètement tous les fichiers associés le .thor files
Étape 1: Demarrer le STOPZilla, si vous ne l’avez pas déjà fait après le processus d’installation.
Étape 2: Attendez que le logiciel de se mettre à jour automatiquement et puis cliquez sur le touché “Réparer maintenant”. Dans le cas où l’analyse automatique ne commence pas, cliquez sur « Scan maintenant ».
Étape 3: Après l’élimination de toutes les menaces et objets en rapport avec les logiciels malveillants, il est préférable de redémarrer votre ordinateur.
