Zwer est une famille d’infections de type rançongiciel DJVU1. Le virus a chiffré des fichiers personnels importants (vidéo, photos, documents). Les fichiers infectés peuvent être suivis par une extension “.zwer” spécifique. Vous ne pouvez donc pas du tout les utiliser.
Dans ce tutoriel, je vais essayer de vous aider à supprimer gratuitement le virus Zwer. En prime, je vous aiderai à décoder vos fichiers cryptés.
Qu’est-ce que “Zwer”?
Zwer peut être correctement identifié comme une infection par un rançongiciel.
Ransomware est un type spécifique de virus qui chiffre vos documents et vous oblige à payer pour les restaurer. La famille de DJVU (aka STOP) ransomware a été révélée et analysée pour la première fois par l’analyste de virus Michael Gillespie2.Zwer est similaire à d’autres ransomwares comme: Kkll, Nlah, Zipe. Il a crypté tous les types de fichiers courants. Par conséquent, les utilisateurs ne peuvent pas utiliser vos documents. Zwer ajoute son extension “.zwer” particulière dans tous les fichiers. Par exemple, le fichier “video.avi” sera changé en “video.avi.zwer”. Dès que le cryptage est terminé, Zwer crée un fichier texte spécifique “_readme.txt” et l’ajoute à tous les dossiers contenant les fichiers modifiés.
Voici l’info du virus Zwer:
| Famille de Ransomware3 | DJVU/STOP4 ransomware |
| Extension | .zwer |
| Ransomware note | _readme.txt |
| Ransom | De 490$ à 980$ (en Bitcoins) |
| Une rançon | helpmanager@mail.ch, restoremanager@airmail.cc |
| Détection5 | Generic.MSIL.LimeRAT.D40CCBF5, Zusy.299012, Trojan:Win32/Obfuscator.QW!MTB |
| Symptômes | Vos fichiers (photos, vidéos, documents) ont une extension .zwer et vous ne pouvez pas l’ouvrir |
| Fix Tool | Voir si votre système a été affecté par le virus de fichier .zwer |
Ce texte demandant le paiement est de restaurer des fichiers via une clé de décryptage:
L’alerte effrayante exigeant des utilisateurs de payer la rançon pour décrypter les données encodées contient ces avertissements frustrants
L’algorithme de cryptographie utilisé par Zwer est AES-256. Donc, si vos fichiers ont été chiffrés avec une clé de déchiffrement spécifique, qui est totalement distincte et il n’y a pas d’autres copies. La triste réalité est qu’il est impossible de restaurer les informations sans la clé unique disponible.
Si Zwer fonctionnait en mode en ligne, il vous est impossible d’accéder à la clé AES-256. Il est stocké sur un serveur distant appartenant aux fraudeurs qui distribuent le virus Zwer.
Pour recevoir la clé de déchiffrement, le paiement doit être de 980 $. Pour obtenir les détails du paiement, les victimes sont encouragées par le message à contacter les fraudes par email helpmanager@mail.ch
Ne payez pas pour Zwer!
S’il vous plaît, essayez d’utiliser les sauvegardes disponibles ou l’outil Decrypter
Le fichier _readme.txt indique également que les propriétaires d’ordinateurs doivent prendre contact avec les représentants Zwer pendant 72 heures à partir du moment où les fichiers sont cryptés. À condition d’entrer en contact dans les 72 heures, les utilisateurs bénéficieront d’une remise de 50%, le montant de la rançon sera ainsi réduit à 490$). Pourtant, évitez de payer la rançon!
Je vous recommande fortement de ne pas contacter ces escrocs et de ne pas payer. L’une des solutions de travail les plus réelles pour récupérer les données perdues – en utilisant simplement les sauvegardes disponibles ou en utilisant Decrypter tool.
La particularité de tous ces virus applique un ensemble similaire d’actions pour générer la clé de déchiffrement unique pour récupérer les données chiffrées.
Ainsi, à moins que le ransomware ne soit encore au stade de développement ou ne présente des défauts difficiles à suivre, la récupération manuelle des données chiffrées est une chose que vous ne pouvez pas vraiment effectuer. La seule solution pour éviter la perte de vos précieuses données est de faire régulièrement des sauvegardes de vos fichiers cruciaux.
Notez que même si vous maintenez régulièrement de telles sauvegardes, elles doivent être placées dans un emplacement spécifique sans flâner, sans être connectées à votre poste de travail principal.
Par exemple, la sauvegarde peut être conservée sur le lecteur flash USB ou sur un autre stockage de disque dur externe alternatif. Facultativement, vous pouvez vous référer à l’aide du stockage d’informations en ligne (cloud).
Inutile de mentionner que lorsque vous conservez vos données de sauvegarde sur votre appareil commun, elles peuvent être chiffrées de la même manière ainsi que d’autres données.
Pour cette raison, localiser la sauvegarde sur votre ordinateur principal n’est certainement pas une bonne idée.
Comment j’ai été infecté?
Zwer a différentes méthodes à intégrer à votre système. Mais peu importe quelle méthode concrète a sa place dans votre cas.
Attaque par rançongiciel Zwer suite à une tentative de phishing réussie.
- installation cachée avec d’autres applications, en particulier les utilitaires qui fonctionnent comme freeware ou shareware;
- lien douteux dans les e-mails de spam menant au programme d’installation de Zwer;
- ressources d’hébergement gratuites en ligne;
- utilisation de ressources P2P (peer-to-peer) illégales pour télécharger des logiciels piratés
Il y a eu des cas où le virus Zwer a été déguisé en un outil légitime, par exemple, dans les messages demandant de lancer des logiciels indésirables ou des mises à jour du navigateur. C’est généralement la manière dont certaines fraudes en ligne visent à vous forcer à installer manuellement le rançongiciel Zwer, en vous faisant réellement participer directement à ce processus.
Certes, l’alerte de mise à jour bidon n’indiquera pas que vous allez réellement injecter le rançongiciel Zwer. Cette installation sera cachée sous une alerte mentionnant que vous devriez mettre à jour Adobe Flash Player ou un autre programme douteux.
Bien sûr, les applications fissurées représentent également les dégâts. L’utilisation de P2P est à la fois illégale et peut entraîner l’injection de divers logiciels malveillants, y compris le ransomware Zwer.
Pour résumer, que pouvez-vous faire pour éviter l’injection du rançongiciel Zwer dans votre appareil? Même s’il n’y a pas de garantie à 100% pour empêcher votre PC d’être endommagé, il y a certains conseils que je veux vous donner pour empêcher la pénétration de Zwer. Vous devez être prudent lors de l’installation de logiciels gratuits aujourd’hui.
Assurez-vous de toujours lire ce que les installateurs proposent en plus du programme gratuit principal. Évitez d’ouvrir des pièces jointes douteuses. N’ouvrez pas les fichiers des destinataires inconnus. Bien sûr, votre programme de sécurité actuel doit toujours être mis à jour.
Le malware ne parle pas ouvertement de lui-même. Il ne sera pas mentionné dans la liste de vos programmes disponibles. Cependant, il sera masqué sous un processus malveillant s’exécutant régulièrement en arrière-plan, à partir du moment où vous lancez votre ordinateur.
Le message du rançongiciel Zwer indique les informations frustrantes suivantes:
ATTENTION! Don't worry, you can return all your files! All your files like photos, databases, documents and other important are encrypted with strongest encryption and unique key. The only method of recovering files is to purchase decrypt tool and unique key for you. This software will decrypt all your encrypted files. What guarantees you have? You can send one of your encrypted file from your PC and we decrypt it for free. But we can decrypt only 1 file for free. File must not contain valuable information. You can get and look video overview decrypt tool: https://we.tl/t-WJa63R98Ku Price of private key and decrypt software is $980. Discount 50% available if you contact us first 72 hours, that's price for you is $490. Please note that you'll never restore your data without payment. Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours. To get this software you need write on our e-mail: helpmanager@mail.ch Reserve e-mail address to contact us: restoremanager@airmail.cc Your personal ID: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
The image below gives a clear vision of how the files with “.zwer” extension look like:
Exemple de fichiers .zwer chiffrés
Comment supprimer le virus Zwer?
En plus d’encoder les fichiers d’une victime, l’infection Zwer a également commencé à installer le Azorult Spyware. Sur l’ordinateur pour voler des informations d’identification de compte, des portefeuilles de crypto-monnaie, des fichiers de bureau, etc.
Raisons pour lesquelles je recommanderais GridinSoft6
Il n’y a pas de meilleur moyen de reconnaître, supprimer et empêcher les ransomwares que d’utiliser un logiciel anti-malware de GridinSoft7.
Télécharger l’outil de suppression.
Vous pouvez télécharger GridinSoft Anti-Malware en cliquant sur le bouton ci-dessous:
Exécutez le fichier d’installation.
Une fois le téléchargement du fichier d’installation terminé, double-cliquez sur le fichier setup-antimalware-fix.exe pour installer GridinSoft Anti-Malware sur votre système.
User Account Control vous demandant d’autoriser GridinSoft Anti-Malware à apporter des modifications à votre appareil. Vous devez donc cliquer sur «Yes» pour continuer l’installation.
Appuyez sur le bouton “Install”.
Une fois installé, Anti-Malware s’exécutera automatiquement.
Attendez la fin de l’analyse anti-malware.
GridinSoft Anti-Malware commencera automatiquement à analyser votre système pour détecter les infections Zwer et d’autres programmes malveillants. Ce processus peut prendre 20 à 30 minutes, je vous suggère donc de vérifier régulièrement l’état du processus de numérisation.
Cliquez sur “Clean Now”.
Une fois l’analyse terminée, vous verrez la liste des infections détectées par GridinSoft Anti-Malware. Pour les supprimer, cliquez sur le bouton «Nettoyer maintenant» dans le coin droit.
Comment décrypter les fichiers .zwer?
Solution de restauration pour les gros “fichiers .zwer“
Essayez de supprimer l’extension .zwer sur quelques gros fichiers et de les ouvrir. Soit le ransomware Zwer a lu et n’a pas chiffré le fichier, soit il a buggé et n’a pas ajouté le marqueur de fichier. Si vos fichiers sont très volumineux (2 Go +), ce dernier est très probable. S’il vous plaît, faites-moi savoir dans les commentaires si cela fonctionnera pour vous.
Les dernières extensions publiées vers la fin août 2019 après que les criminels aient apporté des modifications. Ceci comprend Pezi, Covm, Koti, etc.
En raison des modifications apportées par les criminels, STOPDecrypter n’est plus pris en charge. Tt a été supprimé et remplacé par le Emsisoft Decryptor for STOP Djvu Ransomware développé par Emsisoft et Michael Gillespie.
Vous pouvez télécharger gratuitement l’outil de décryptage ici: Decryptor for STOP Djvu.
Téléchargez et exécutez l’outil de décryptage.
Commencez à télécharger l’outil de décryptage.
Assurez-vous de lancer l’utilitaire de déchiffrement en tant qu’administrateur. Vous devez accepter les conditions de licence qui apparaîtront. Pour cela, cliquez sur le bouton “Yes“:
Dès que vous acceptez les termes de la licence, l’interface utilisateur principale du décrypteur apparaît:
Sélectionnez les dossiers à déchiffrer.
Sur la base des paramètres par défaut, le déchiffreur remplira automatiquement les emplacements disponibles afin de déchiffrer les lecteurs actuellement disponibles (ceux connectés), y compris les lecteurs réseau. Des emplacements supplémentaires (facultatifs) peuvent être sélectionnés à l’aide du bouton “Add”.
Les déchiffreurs proposent normalement plusieurs options compte tenu de la famille de logiciels malveillants spécifiques. Les options actuellement possibles sont présentées dans l’onglet Options et peuvent y être activées ou désactivées. Vous pouvez trouver une liste détaillée des options actuellement actives ci-dessous.
Cliquez sur le bouton “Decrypt”.
Dès que vous ajoutez tous les emplacements souhaités pour le décryptage dans la liste, cliquez sur le bouton “Decrypt” afin de lancer la procédure de décryptage.
Notez que l’écran principal peut vous faire passer à une vue d’état, vous permettant de connaître le processus actif et les statistiques de décryptage de vos données:
Le déchiffreur vous avertira dès que la procédure de déchiffrement sera terminée. Si vous avez besoin du rapport pour vos papiers personnels, vous pouvez le sauvegarder en cliquant sur le bouton “Save Log”. Notez qu’il est également possible de le copier directement dans votre presse-papiers et de le coller dans des e-mails ou des messages de forum si vous en avez besoin.
Questions Fréquemment Posées
Comment puis-je ouvrir des fichiers “.zwer“?
Les fichiers zwer contiennent des informations importantes. Comment puis-je les décrypter de toute urgence?
Sinon, vous pouvez essayer de les restaurer via la fonction système – Restore Point .
Toutes les autres méthodes nécessitent de la patience.
Vous avez conseillé d’utiliser GridinSoft Anti-Malware pour supprimer Zwer. Est-ce à dire que le programme supprimera mes fichiers cryptés?
Vous avez besoin de GridinSoft Anti-Malware pour supprimer les infections du système actives. Le virus qui a crypté vos fichiers est probablement encore actif et périodiquement, exécute un test pour la capacité de crypter encore plus de fichiers. De plus, ces virus installent souvent des enregistreurs de frappe et des portes dérobées pour de nouvelles actions malveillantes (par exemple le vol de mots de passe, de cartes de crédit).
Decryptor n’a pas décrypté tous mes fichiers, ou tous n’ont pas été décryptés. Que devrais-je faire?
Nous vous tiendrons informés lorsque de nouvelles clés Zwer ou de nouveaux programmes de décryptage apparaissent.
Que puis-je faire maintenant?
- In the United States: On Guard Online;
- In Canada: Canadian Anti-Fraud Centre;
- In the United Kingdom: Action Fraud;
- In Australia: SCAMwatch;
- In New Zealand: Consumer Affairs Scams;
- In France: Agence nationale de la sécurité des systèmes d’information;
- In Germany: Bundesamt für Sicherheit in der Informationstechnik;
- In Ireland: An Garda Síochána;
Video Guide
C’est mon tutoriel vidéo préféré: Comment utiliser GridinSoft Anti-Malware et Emsisoft Decryptor pour corriger les infections de ransomware.
Si le guide ne vous aide pas à supprimer l’infection Zwer, téléchargez le GridinSoft Anti-Malware que j’ai recommandé. De plus, vous pouvez toujours me demander dans les commentaires pour obtenir de l’aide. Bonne chance!
User Review
( votes)References
- Ransomware-type infection: https://fr.wikipedia.org/wiki/Ransomware
- Twitter: https://twitter.com/demonslay335
- Mes fichiers sont cryptés par un ransomware, que dois-je faire maintenant?
- À propos de DJVU (STOP) Ransomware.
- Encyclopédie des menaces.
- GridinSoft Anti-Malware Review du site HowToFixe: https://howtofix.guide/gridinsoft-anti-malware/
- Plus d’informations sur les produits GridinSoft: https://gridinsoft.com/comparison
Anglais 
Allemand 
Japonais 
Espagnol 
Portugais - du Brésil 
Turc 
Chinois traditionnel 
Coréen
