Security-X
Forum Security-X => Désinfections => Discussion démarrée par: Teknowlogy le février 27, 2014, 02:10:43
-
J'ai eu un virus et les photo et fichier texte sont encrypté et le lien proposé ne fonctionne pas alors je cherche ce programme MIRACLE ;)
Merci beaucoup pour votre aide, cela est très apprécié :)
-
Bonjour aussi ;)
Bienvenue sur Security-X,
Ce programme est spécifique à une certaine variante de crypteur, es-tu certains que ce soit adapté ?
Comment se présente les fichiers crypté ?
As-tu désinfecté ton système avant de passer à la tentative de décryptage ?
-
oui car avec un site internet j'ai faite faire l'analyse de un de mes fichiers crypté et avec la réponse du problème j'ai faite une recherche et ca ma conduit à ce programme :)
est-ce possible de l'avoir le programme ? svp
-
hahahaha oui ! Bonjour ;)
-
Re,
Il te faudra contacter directement le développeur, Tigzy, il semble avoir retiré l'outil actuellement :
http://www.adlice.com/contact/
Tu peux écrire en français, il l'est ;)
Néanmoins, j'ai des doutes sur l'efficacité, car la variante qui encrypté de cette manière n'existe plus actuellement ...
N'hésite pas si tu veux qu'on diagnostic ton système ou les fichiers crypté ;)
-
aurais tu un moyen de savoir quelle est l'encryptage ?
-
Re,
Selon les fichiers d'infection sur le système, le type de fichier touché avec le changement dessus, et/ou son analyse, oui.
Mais attention, cela ne signifie pas qu'on pourra les décrypter, car certaines variantes de crypteur et ses conséquences restent à ce jour impossible à traiter
Pour un premier diagnostic, merci de faire ceci :
Télécharge Farbar Recovery Scan Tool (de Farbar) sur ton Bureau.
Attention: Tu dois lancer la version compatible avec ton système : 32 ou 64bits.
Clique ici pour la version 32 bits (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/dl/81/)
Clique ici pour la version 64 bits (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/dl/82/)
Info : comment savoir quelle version j'utilise ? (http://windows.microsoft.com/fr-fr/windows7/find-out-32-or-64-bit)
Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même
- Double-clique sur l'outil pour le lancer. Quand l'outil se lance, clique sur Yes pour accepter le disclamer.
- Clique sur le bouton Scan.
- L'outil va créer un rapport nommé FRST.txt, enregistré dans le même dossier que l'outil.
- A son premier lancement, l'outil va aussi créer un fichier nommé Addition.txt).
Poste les deux rapports générés.
- Pour les rapports, merci d'utiliser ce service de rapport en ligne (http://security-x.fr/up/) : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
Une aide à l'utilisation ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)
-
ok je vais le faire et mettre les fichiers sur un server mais avant j'aimerais savoir comment scanné mon disque F: car le problème n'est pas sur mon C: entk je pense car j'ai aucun fichier brisé sur mon C:
merci
-
Re,
Les fichiers endommagé sont sur un serveur ?
L'infection serait venue d'où ?
D'un pc connecté sur le réseau ?
D'un fichier infecté sur le serveur ?
-
j'ai un SSD qui est mon C: et j'ai un Passeport 1 terra qui lui a des fichier de texte et des photos de crypté (brisé)
-
les liens pour les deux fichiers :)
http://pjjoint.malekal.com/files.php?id=20140227_y15r15w5u8k14
http://pjjoint.malekal.com/files.php?id=20140227_y7l5u10j12j12
-
Re,
Heu ... on doit pas avoir lu la même procédure ;D
1) Je demandas pas OTL mais FRST
2) Je donnais un autre site d'hébergement ... (à la rigueur, ça c'est moins grave ;) )
Merci de me refaire la procédure indiqué, avec FRST.exe
-
ok desolé je pensais c'était pareille :/ dsl je refait la chose
-
et voilà le bon :D
http://up.security-x.fr/file.php?h=R0ff27a802e6a00b169b4ab3e9e29eaff
-
Re,
Et il me manque maintenant le rapport Addition.txt"
Par contre :
Windows Se7en Titan (X64)
Déjà je te préviens, pour des raisons éthique, légale et technique, nous ne prenons généralement pas en charge les système illégaux/cracké ...
Donc j'attends juste le rapport pour te dire s'il y a une infection ou pas, ainsi qu'un exemple de fichier crypté pour voir si on peut déterminer le type de crypteur, mais c'est tout ...
Si possible, fournis-moi donc aussi un échantillon d'un fichier crypté, par exemple via sont analyse ici :
http://www.virustotal.com/fr/
-
ok d'accord,
voici le lien pour Addition ; http://up.security-x.fr/file.php?h=Rea965965708bef8e808007e1458b97e7
-
et voici le résultat de l'analyse du fichier ;
MD5 5b7c26da8db281c2e79002e3ec5dc343
SHA1 888dc33bf56fbb63154b935c520d026d75cb2e1f
SHA256 cfb90de815337daf2b605f0176f2691e19cd541405277d738be0dc5d78475629
ssdeep6:I+g7cylTkcXwlGHdw+g1JIdpc11vEBVH7Egj3FCqT5vphYNLZbl2/UO6IRY6lQ:dg7DTHQGiEyTpgX5vP2LZ0/X6Iej
File size 342 octets ( 342 bytes )
File type unknown
Magic literaldata
TrID Unknown!
VirusTotal metadata
First submission 2014-02-28 16:41:51 UTC (il y a 2 minutes)
Last submission 2014-02-28 16:41:51 UTC (il y a 2 minutes)
Noms du fichier panete lumiere password.txt
ExifTool file metadata
FileAccessDate2014:02:28 17:41:55+01:00
FileCreateDate2014:02:28 17:41:55+01:00
-
Re,
Il me faudrait le lien de la page de résultat directement s'il te plait ;)
Et si possible, poste-moi en pièce jointe dans ton prochain message une copie du fichier en question
:AAN
-
le lien pour virus total; https://www.virustotal.com/fr/file/92c33a0b7673041abac9f31a16fff7ea56fad9b4245282f091682dee3630033a/analysis/1393609836/
-
Re,
Ok, pas d'ajout d'extension ou renommage.
Poste-moi un fichier crypté en pièce jointe comme j'avais demandé s'il te plait ;)
(option "Fichiers joints et autres options" lorsque tu réponds ici)
-
et voici le lien pour le fichier ; http://up.security-x.fr/file.php?h=R2bf9ef87951b0920badef8cbb07b83ea
-
je vais envoyer une photo crypté aussi , ca c'était un fichier .txt
lien pour la photo ; http://up.security-x.fr/file.php?h=R199247b8366c95c86ce322cb628f9c99
-
image
-
Re,
C'est le fichier en lui même qu'il me faut, pour pouvoir l'éditer et voir les en-tête ;)
Si tu ne peux l'envoyer tel quel en pièce jointe, insère-le dans un fichier compressé (clic-droit -> envoyer vers -> dossier compressé)
Puis héberge le fichier sur un service comme celui-ci :
https://www.wetransfer.com/
Mon adresse mail :
hyunkel30 [a] security-x.fr (tout attaché, le [a] = @ )
-
je colle ton adresse du H aller jusqu'au FR mais ca dit adresse invalide , je doit tu remplacer ton [a] par @ ?
-
Re,
Oui, comme une adresse normale, c'est juste pour éviter le spam automatique par robot en laissant mon adresse en claire ici ;)
-
et voilà les fichiers sont envoyés
-
Re,
Bien reçu.
Déjà je peux te dire une chose, malheureusement, ce n'est pas du tout la variante que traitait ExtSigChecker.exe
Ce ne sont pas les premiers octet du fichier qui sont modifié, mais bien tout l'entête au moins, voir la totalité ...
Extrait de l'entête traduit de l'hexa :
!.c.r.y.p.t.e.d.!
J'ai donc bien peur qu'on soit plus sur les variantes de crypteur actuel, auxquels il y a peu de solution.
Initialement, comment avais-tu analysé ton fichier ?
Et surtout, comment as-tu traité l'infection, comment s'est-elle présenté ? (message d'alerte, demande de rançon, etc ...)
-
quelle est la solution possible que je pourrais essayer même si elle est longue j'ai du temps :/
-
Re,
J'ai testé certains outils pour certaines variantes de crypteur, mais cela ne donne rien.
Si c'est du Cryptolocker, on ne pourra rien en tirer de toute manière.
Par contre, pour connaitre la variante, j'aurais bien apprécié la réponse à mes questions ;)
Initialement, comment avais-tu analysé ton fichier ?
Et surtout, comment as-tu traité l'infection, comment s'est-elle présenté ? (message d'alerte, demande de rançon, etc ...)
-
excuse moi je n'avait pas vu la quastion en noir foncé. Bien ca commencé que j'ai formaté mon C: et que j'ai voulu installer le programme Propellerhead reason 5 mais mon key pour l'installer était sur mon F: et c'est la que j'ai vu que le fichier texte était brisé. Je n'at jamais eu de fenêtre ou il me demandait une rancon et ce n'est pas dans mon email car je n'ouvre pas les fichiers donc je ne connais pas. Soit je l'ai attrapé sur un site porno ou bien je l'ai attrapé en downloadant un KEY sur un site pas sure ?
J'me suis rendu compte qu'il n'a pas pu finir l'encryptage, est-ce possible parce que ya un moment donné j'ai déconnecté mon disque dur parce qu'il ne fonctionnait pas après le formatage dans le USB 3.0 alors j'ai essayer un autre dans un USB 2.0.
-
rapport de quarantaine de malwarebyte en image ; http://up.security-x.fr/file.php?h=R042839bd0fd544c3c2f8fb655df8e003
-
j'aimerais savoir si il est possible de savoir quel ransomware j'ai eu car je ne trouve pas de trace et aucune image de rancon ne ma été demandé ?
Je ne connais pas comment fonctionne les ransomwares mais est-ce possible que j'ai arrêté l'action du virus en déconnectant mon Disque dur portable (Passeport) ? car il y en a quelque une de pas crypté.
et j'me demandais si pour cette raison que le virus n'a pas pu finir le travail, je n'est pas eu l'image de demande de rancon ?
Merci beaucoup pour votre aide les amis :)
-
Re,
La raison peut être que ce disque F: a été contaminé via un autre pc.
C'est un disque dur réseau ?
D'autres personnes l'utilisent ?
(la quarantaine MBAM ne montre rien, juste des restes d'adwares, logiciels publicitaires)
-
Non c'est seulement un disque dur que je me sert pour stocké mes films , mes jeux , mes photos et mes documents important.
Mon ordinateur est seulement un ordinateur de bureau.
Quelqu'un ma parlé d'un décrypteur qui peux décrypte presque n'importe quoi mais ca peut-être très très très long est-ce possible ?
Merci :)
-
Re,
Oui et non ...
Oui, "techniquement" si c'est une variante Bitcrypt avec une clé de sécurité RSA-426, il existe une solution :
http://blog.cassidiancybersecurity.com/post/2014/02/Bitcrypt-broken
Mais impossible de le savoir pour le moment sans plus d'info sur le crypteur original et avec ce que tu m'as envoyé, les fichiers n'ayant pas l'extension .bytcript,
Et même si c'était le cas, le decryptage reste très long, et assez difficile à mettre en oeuvre.
Bref, je n'ai aucune solution à te proposer pour le moment malheureusement.
:AAN
-
je crois que j'ai trouvé quelque chose qui ne vous plaira pas :(
en fesant une recherche de toute les fichiers texte, j'ai trouvé un fichier qui a retenu mon attention il s'appel (clé d'activation de bitlocker)
j'ai regarder un peu sur le net et je vois que c'est un programme microsoft alors là je doit trouver comment unlocker les fichiers à l'aide d'un key mais je sais pas comment faire pour le moment mais bien-sure si ya un mot de passe c'est sûrement un que j'utilise fréquemment.
quand je fais un clic droit sur le lecteur F: il me demande d'activer Bitlocker alors là ...... je suis perdu
-
Re,
Alors là, malheureusement, ce n'est plus une infection effectivement, et pour ma part, je ne peux plus faire grand chose, si c'est un cryptage "légal".
Il va falloir trouver comment bitlocker a pu être mis en place sans le savoir, et qui a mis le mot de passe.
:AAN
-
Je sais pas qui aurais pu le faire je suis seul chez moi mais bon j'ai le fichier de décryptage de bitlocker sauf qu'il était sur le disque que bitlocker protégeait donc le fichier est crypté lloll mais bon je vais essayer de trouver comment déchiffrer ce fichier en demandant à microsoft directement car c'est leurs logiciel.
Mais je te remercie beaucoup pour l'aide apporter c'est apprécié, les réponses arrivent vite ici :)
-
Y'a pas de quoi ;)
Bon courage.
:AAN