GEMA Virus

A new variant of ransomware after the Gendarmerie Virus: GEMA - Access to your computer has been closed GEMA is the equivalent of SACEM in Germany, so it's a ransomware that has been translated, since it already existed in a German version:https://www.malekal.com/2011/11/30/troj ... us-police/

The purpose here is therefore to make internet users believe they have been caught downloading songs illegally (piracy), hence the message: On your computer, there are songs that were downloaded illegally
Image unavailable (removed by its host) This latter drops a file C:/Windows/System32/InetAccelerator.exe
Of course the name will change over time with variants.

A Run key is created as well as modification of the Winlogon key. This means that the malware will be active in safe mode including the command prompt in safe mode.
Image unavailable (removed by its host)
Image unavailable (removed by its host) Disinfection

Windows Seven: System Restore

Only for those on Windows Seven: Launch a restore at startup via the F8 key, for more information, see the repair tab: https://forum.malekal.com/windows-recuper...ml#p166847

From a Live CD

You can try disinfection via Kaspersky Live CD: https://forum.malekal.com/kaspersky-live-...12133.html
If the latter detects the malware and cleans it at restart, you will be able to recover the system.
Kaspersky Live CD can be put on a USB key: https://support.kaspersky.com/faq/?qid=208285003

Boot on an alternative system (Live Linux CD) or OTLPE: https://forum.malekal.com/otlpe-live-t2 ... ml#p195540
This allows you to access the PC files.
Go to the system32 folder and sort the files by modification date, you should have the latest created files first and thus the malware.
If in doubt, do a scan on VirusTotal: https://www.virustotal.com
Rename the file in question
Restart the computer and see if the latter is inactive.

Note that you can also access the file system over the network if the PC is booted on the malware window.
From a PC on the network, in the taskbar, type: PCAddressc$WindowsSystem32
Same thing, sort the files by modification date to find the malware in question.

Source
Source

Une nouvelle variante d’un ransomware après le Virus Gendarmerie : GEMA – L’accès à votre ordinateur a été fermé GEMA est l’équivalent de la SACEM en allemagne, c’est donc un ransomware qui a été traduit, puisque ce dernier existait déjà en version allemande :https://www.malekal.com/2011/11/30/troj ... us-police/

Le but ici est donc de faire croire que l’internaute a été pris en train de télécharger des chansons illégalement (piratage), d’où le message : Sur votre ordinateur, il y a des chansons qui ont été téléchargées illégalement
Ce dernier droppe un fichier C:/Windows/System32/InetAccelerator.exe
Bien entendu le nom va changer dans le temps avec les variantes.

Une clef Run est crée ainsi que la modification de la clef Winlogon. Cela signifie que le malware va être actif en mode sans échec incluant l’invite de commande en mode sans échec.

Désinfection

Windows Seven : Restauration du système

Seulement pour ceux qui sont en Windows Seven : Lancer une restauration au démarrage via la touche F8, pour plus d’informations, se reporter à l’onglet réparation : https://forum.malekal.com/windows-recuper...ml#p166847

Depuis un CD Live

Vous pouvez tenter une désinfection via Kaspersky CD Live : https://forum.malekal.com/kaspersky-live-...12133.html
Si ce dernier détecte le malware et le nettoye au redémarrage, vous pourrez récupérer le système.
Le CD Live Kaspersky peux être mis sur clef USB : https://support.kaspersky.com/faq/?qid=208285003

Démarrer sur un système alternatif (CD Live Linux) ou OTLPE : https://forum.malekal.com/otlpe-live-t2 ... ml#p195540
Cela permet d’avoir accès au fichier du PC.
Aller dans le dossier system32 et trier les fichiers par date de modification, vous devriez avoir en premier les derniers fichiers créés et donc le malware.
Si doute, faire un scan sur VirusTotal : https://www.virustotal.com
Renommer le fichier en question
Redémarrer l’ordinateur et voyiez si ce dernier est inactif.

Notez que vous pouvez aussi accéder au système de fichier par le réseau si le PC est démarré sur la fenêtre du malware.
Depuis un PC sur le réseau, dans la barre de tâché, tapez : adresseduPCc$WindowsSystem32
Même chose, trier les fichiers par date de modification pour trouver le malware en question.

Source
Source

Right now the german police virus is up to its tricks, but well, tdskiller, rogue killer, malwarebytes and combofix make it regret ever coming to your pc.

En ce moment le virus gendarmerie allemande fait des siennes, mais bon, tds killler , rogue killer , malwarebytes et combo fix, lui font regretter d'etre venu sur votre pc.