[RansomWare] Gendarmerie Nationale

Comment supprimer le ransomware 
"Gendarmerie Nationale"

Ce Ransomware / Screenlocker prend tout l'écran, empêchant tout action de l'utilisateur.

Il peut être présent sous plusieurs variantes: 

1.  Ajout d'une clé RUN lui permettant de se relancer au démarrage du PC
2.  Remplacement du fichier %windir% / explorer.exe avec copie préalable dans %windir% / twexx32.dll
3. Ajout d'un raccourci dans le dossier de démarrage

En fonction de ces variantes, plusieurs méthodes existent. Pour savoir quelle variante est présente (et la supprimer), suivre la démarche suivante:

Télécharger :                 Malwarebytes          RogueKiller

****** Variante utilisant une clé RUN ou ajoutant un raccourci ******

 

• Démarrer en mode sans échec avec prise en charge réseau. Si le malware est présent, ce n'est pas cette variante : passer à la suite

• Télécharger et lancer RogueKiller en mode Scan puis Suppression 

• Vous devriez avoir le rapport suivant et être capable de redémarrer normalement:

RogueKiller V6.2.0 [12/12/2011] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur: **** [Droits d'admin]
Mode: Recherche -- Date : 17/12/2011 11:27:31

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 7 ¤¤¤
[SUSP PATH] HKCU\[...]\Run : w25zxz84.exe (C:\Users\dary\AppData\Roaming\w25zxz84.exe) -> DELETE
[SUSP PATH] HKUS\S-1-5-21-2280558674-1678247186-3373966309-1000[...]\Run : w25zxz84.exe (C:\Users\dary\AppData\Roaming\w25zxz84.exe) -> DELETE
[SUSP PATH] ctfmon.lnk @Lauro : C:\WINDOWS\system32\rundll32.exe|C:\DOCUME~1\ALLUSE~1\APPLIC~1\4454F1A831D76E378B738CBDF0422CE.exe.tmp -> DELETED
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> DELETE
[HJ] HKCU\[...]\ClassicStartMenu : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> DELETE
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> DELETE
[HJ] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> DELETE
[HJ] HKCU\[...]\ClassicStartMenu : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> DELETE

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

•   Lancer un scan avec Malwarebytes et tout supprimer

****** Variante modifiant la clé SHELL ******

EDIT du 24/05/2012:

Parfois le mode sans échec peut être inaccessible. Si c'est le cas, alors nous sommes dans le cas d'une modification de la clé Shell. Il va falloir graver un live CD.

RogueKiller peut maintenant désinfecter les systèmes depuis un live CD OTLPE.
Suivre la vidéo pour s'en débarrasser:

Télécharger en plus OTLPE et suivre les explications de la vidéo.

****** Variante remplaçant explorer.exe ******

• Si vous pensez être en présence de cette variante (méthodes précédentes n'ayant pas fonctionné), suivre la vidéo suivante pour le supprimer (remplacement de explorer.exe). 
• Remarque : La méthode de la vidéo peut ne pas marcher. Si c'est le cas, voir en dessous.

• Le raccourci clavier CTRL + ALT + PAUSE peut également marcher pour débloquer le bureau

• La méthode de la vidéo ne marche pas tout le temps (en particulier avec des version récentes de IE). Si c'est le cas, il faut alors graver et démarrer sur un live CD (comme Ubuntu : http://ubuntu-fr.org/telechargement , ou encore OTLPE). Puis :
  

1. Une fois sur le live CD, aller dans le disque local appartenant à windows
2. Trouver le fichier C:/windows/twexx32.dll (S'il n'existe pas, ne pas faire ce qui suit!)
3. Supprimer C:/windows/explorer.exe
4. Renommer twexx32.dll en explorer.exe
5. Redémarrer en mode normal, le problème doit être résolu

• On peut également utiliser une autre méthode pour réaliser la même chose sans graver de live CD

1. Démarrer en mode sans échec invite de commande 
2. Taper la commande suivante (si votre disque système est C:) et redémarrer:

copy /Y /B C:\windows\twexx32.dll /B C:\windows\explorer.exe