Un nouveau ransomeware appelé TeslaCrypt vise les utilisateurs de Windows. Comme vous le savez déjà sans doute, un ransomware est un virus qui va crypter tous vos fichiers personnels sur votre ordinateur et vous demander une rançon afin que vous puissiez y accéder à nouveau.
Tout comme Cryptowall ou Cryptolocker, une fois sur votre PC, TeslaCrypt va chercher des fichiers à crypter en fonction de leur type, privilégiant les fichiers words, excel, les photos bref tout ce qui peut avoir de la valeur à vos yeux. Mais TeslaCrypt ne s’arrête pas là, il va aussi crypter les sauvegardes de jeux vidéo installées sur votre machine. En effet TeslaCrypt peut chiffrer les sauvegardes de plus de 40 jeux dont Call of Duty, Star Craft 2, Diablo, Fallout 3, Minecraft, Half-Life 2, Dragon Age: Origins, Skyrim, WarCraft 3 pour ne citer que les plus connus.
Une autre différence majeure avec ce ransomware est que pour la première fois ce type d’infection accepte non seulement les bitcoins pour la payer rançon, mais accepte aussi les paiements via PayPal My Cash Card. Ce sont des cartes qui peuvent être achetées dans des magasins américains pour être alimentées avec de l’argent qui peut après être transféré sur un compte PayPal. Payer la rançon avec des cartes PayPal My Cash Card revient à 1000 $, en payant avec des bitcoins la rancon est fixée à 500 $.
TeslaCrypt se diffuse via des pages web malveillantes qui utilisent Flash et un système d’iframe pour infecter le visiteur. Une fois qu’un ordinateur est infecté il va scanner tous les disques de ce PC et crypter certains types de fichiers en utilisant le cryptage AES. Tous les fichiers qui seront cryptés auront l’extension .ecc ajoutées à la fin du nom des fichiers. Une fois que toutes vos données seront chiffrées, il exécutera une commande pour supprimer toutes les copies de sauvegarde de Windows et points de restauration qui se trouve sur l’ordinateur. Ceci dans le simple but que vous ne puissiez plus restaurer vos données à partir des points de restauration de Windows.
Enfin, TeslaCrypt va modifier votre fond d’écran afin d’afficher la demande de rançon et créer également un fichier appelé HELP_TO_DECRYPT_YOUR_FILES.txt sur votre bureau. Un écran apparaît alors expliquant que toutes vos données ont été chiffrées et que vous avez trois jours pour effectuer le paiement. Cet écran de verrouillage contient des boutons qui vous permettent de vérifier si un paiement a été accepté, la possibilité d’entrer vos clés de décryptage, et un lien vers un site de paiement TOR où vous pouvez effectuer un décryptage de fichiers gratuit en guise de test.
Comment supprimer TeslaCrypt ?
Supprimer TeslaCrypt avec MalwareBytes Anti-Malware
Malwarebytes Anti-Malware est un programme qui va effacer de votre système les malwares que des anti-virus classiques ne détectent généralement pas (comme les publiciels et les spywares, entre autres). Si vous souhaitez être défendu contre ce genre d'ennuis, la version Premium de MalwareBytes Anti-Malware est un très bon investissement qui placera votre système à l'abri (le le programme est vendu 22.95 euros et vous pouvez l'installer sur 3 de vos PC).
- Téléchargez MalwareBytes Anti-Malware :
Version Premium Version Gratuite (sans fonctionnalité de protection) - Double-cliquez sur le fichier téléchargé pour lancer l'installation de MalwareBytes Anti-Malware.
- Cliquez sur le bouton orange Corriger Maintenant à droite de la mention Aucun examen n'a été réalisé sur votre système
- Une fois que le scan est fini, cliquez sur le bouton Supprimer la selection.
- Rédémarrez votre PC une fois le scan terminé si l'utilitaire vous le demande.
Supprimer TeslaCrypt avec le programme HitmanPro
Hitman Pro est un logiciel gratuit puissant qui peut être utilisé en plus des anti-virus classiques et qui élimine les indésirables qu'ils peuvent laisser en utilisant la technologie et les bases de données de cinq anti-virus différents. Utilisez HitmanPro si vous n'avez constaté aucun changement sur votre PC.
- Téléchargez HitmanPro (32 ou 64 bits en fonction de votre système):
Téléchargez HitmanPro - Dès que le fichier est téléchargé doublez-cliquez dessus pour lancer le logiciel.
- Faites Suivant et acceptez la licence d'utilisation, validez avec le bouton Suivant.
- Un scan de votre ordinateur va commencer, une fois terminé cliquez sur Suivant et saisissez votre email pour activer la licence gratuite.
- Rédémarrez votre système à la fin de la suppression si Hitman Pro vous le propose.
Récuperez une ancienne version de vos fichiers
Windows crée des copies instantanées qui comportent des vos fichiers datant du moment où la sauvegarde du système a été effectuée. Ces sauvegardes peuvent vous permettre de retrouver une version précédente de vos fichiers avant qu’ils n’aient été cryptés par TeslaCrypt. Néanmoins cette méthode n’est pas infaillible, car même si arrivez à retrouvez des fichiers non cryptés, il se peut que ce ne soit pas la dernière version du fichier qui vous souhaitiez. Il est également probable que TeslaCrypt ait effacé ces sauvegardes. Notez également que les sauvegardes instantanées sous Windows ne sont créées qu’avec Windows XP Service Pack 2, Windows Vista, Windows 7, 8 et Windows 10. Pour plus de simplicité nous allons utiliser ShadowExplorer.
- Téléchargez ShadowExplorer en cliquant sur le bouton ci-dessous :
Télécharger ShadowExplorer - Faites un clic-droit sur le fichier téléchargé et sélectionnez Exécuter en tant qu’administrateur.
- Suivez la procédure d’installation du logiciel.
- Toujours exécuter cet utilitaire en tant qu’administrateur, donc faites un clic-droit sur le programme, allez dans les Propriétés, onglet Compatibilité, cochez la case Exécuter en tant qu’administrateur, et Appliquer.
- Désormais, en lançant ShadowExplorer, vous pouvez avoir accès à des copies enregistrées de vos fichiers personnels si Windows a précédement créé des images instantanées de ces fichiers.
Décrypter les fichiers avec TeslaCrack
- Téléchargez et installez Python 2.6
- Téléchargez et installez PyCrypto en fonction de l’architecture 32/64 bits de votre Windows
- Dézipper TeslaCrack sur votre bureau
- Dézipper Yafu sur votre bureau
- Ouvrez une fenêtre de commande et tapez :
cd Users\%votre-nom-de-profil%\Desktop\TeslaCrack-master
puis
c:\python26\python teslacrack.py
TeslaCrack va vous donner deux clefs, notez les 2. - Lancez yafu-Win32.exe ou yafu-64bits.exe si vous êtes en 64bits et tapez la commande suivante :
factor(0xvotre-premiere-clef) - Notez ensuite tous factors trouvés pour lancer la commande suivante sur un de vos fichiers crypté :
c:\python26\pythonunfactor.py fichier-crypte.pdf.vvv valeur-P1 valeur-P1 valeur-P1 valeur-P1 valeur-P2 valeur-P2 valeur-P4 etc ..
Une clef AES devrait vous être alors retournée, éditez alors le fichier teslacrack.py et la partie known_keys pour ajouter la clef AES. - Enregistrez le fichier teslacrack.py puis lancez la commande suivante :
c:\python26\python teslacrack.py
Si vous obtenez un access denied, tentez de faire la même manipulation avec la seconde clef que vous avez obtenu au début, sinon c’est que c’est tout bon !