Attaque RansonWare ?

[XavH]

Bonjour
MacBook Air M1 2020 sous OS Big Sur, après la dernière mise à jour système faite la nuit de vendredi à samedi, je n'ai pas trop utilisé le Mac dans la journée mais me suis aperçu qu'il était un peu chaud hier soir, ce qui est tout à fait inhabituel. Certes après un peu de vidéos, mais bon je ne mes suis pas plus inquiété que ça.
Ce matin encore un peu chaud - laissé allumé la nuit -, j'ai vérifié le moniteur d'activités et vu un thread "RansonWare" qui tournait à 125 % du proc'.
J'ai réussi à forcer à quitter sans problème, maintenant je me demande quels sont les dégâts et les risques.
J'ai lancé la dernière version de Malwarebyte, qui ne détecte rien.
J'ai tenté EtreCheck, qui me donnait jusque là toute satisfaction, mais je ne réussi pas à le lancer - seule la page du dernier rapport s'affiche, même après téléchargement de la dernière version.
Quels conseils me donneriez-vous pour la suite ?
Un énorme merci d'avance
Bonne journée
Xavier

 

[Sly54]

Bonjour,

Démarrage avec cmd R et formatage du disque, puis réinstallation de l'OS.
En espérant que tes sauvegardes soient à jour et pas infectées…

Il va bien falloir à un moment donné que tu branches un disque de sauvegarde pour récupérer tes données. et là je ne sais pas trop ce qui peut se passer.

Il me semblait que les attaques par Ransomware consistent à chiffrer ton disque interne. Peut être n'as tu pas été infecté ?

 

[XavH]

Bonjour,

Démarrage avec cmd R et formatage du disque, puis réinstallation de l'OS.
En espérant que tes sauvegardes soient à jour et pas infectées…

Il va bien falloir à un moment donné que tu branches un disque de sauvegarde pour récupérer tes données. et là je ne sais pas trop ce qui peut se passer.

Il me semblait que les attaques par Ransomware consistent à chiffrer ton disque interne. Peut être n'as tu pas été infecté ?

Merci pour ta réponse rapide.
Pour le moment pas vu d'effet mais vu le nombre de fichiers sur la machine...
Ce qui m'étonne, c'est que ni MalwareByte ni EtreChek (au final j'ai réussi à la lancer) n'ont détecté quelque chose... un peu inquiétant ? Il y a un logiciel autre qui serait utile pour vérifier l'intégralité du disque ?
Plusieurs sauvegardes - plus ou moins proches - mais difficile de savoir celles qui pourraient être infectées.
Xavier

 

[Sly54]

Ce qui m'étonne, c'est que ni MalwareByte ni EtreChek (au final j'ai réussi à la lancer) n'ont détecté quelque chose... un peu inquiétant ?

A jour tous les deux ?

Il y a un logiciel autre qui serait utile pour vérifier l'intégralité du disque ?

Je ne connais pas. Après c'est le Moniteur d'activité pour voir les process en cours (mais tu connais).

 

[XavH]

A jour tous les deux ?

Oui, tout fraichement téléchargés.

Je ne connais pas. Après c'est le Moniteur d'activité pour voir les process en cours (mais tu connais).

Yep, pour l'instant c'est calme. Je crois que je vais appréhender le prochain redémarrage.
Encore merci et bonne fin de dimanche !
Xavier

 

[XavH]

Oui, tout fraichement téléchargés.

Yep, pour l'instant c'est calme. Je crois que je vais appréhender le prochain redémarrage.
Encore merci et bonne fin de dimanche !
Xavier

Bon, RAS après passage Onyx et redémarrage... Je
Xavier

 

[XavH]

Des nouvelles : me serais-je fait peur pour rien ? Je viens de retrouver le process actif ajd... et c'est RansomWhere et non ransomware ! (voir capture d'écran).
Effectivement je l'avais certainement installé il y a quelques années (de chez Objective-see) - par contre je ne sais pas ce qui lui a pris de prendre 120 % du processeur pendant une journée alors qu'il ne m'avais jamais embêté depuis - à la réflexion, je me souviens de quelques rares alertes liées à la compression d'un logiciel de sauvegarde en ligne.
Bon, j'hésite à le conserver désormais...
Désolé, donc, pour le dérangement !
Xavier

 

[Sly54]

Je viens de retrouver le process actif ajd... et c'est RansomWhere et non ransomware !

Désolé, donc, pour le dérangement !

alors tout est bien qui finit bien

 

[nicomarcos]

après la dernière mise à jour système faite la nuit de vendredi à samedi

C'est peut-être la cause :

Q : Pourquoi RansomWhere utilise autant de CPU ?
A : Par conception, RansomWhere s'efforce d'utiliser le moins de ressources système possible. Cependant, quand RansomWhere est installé pour la première fois, l'outil s'enflétera pendant quelques minutes (traitement des processus en cours d'exécution, applications installées/basées, etc.). Cela ne devrait pas durer trop longtemps, et bientôt RansomWhere passera en mode "surveillance", qui consomme à peine n'importe quel processeur (~0,2 %