Security-X

Forum Security-X => Désinfections => Discussion démarrée par: hichamove88 le mars 05, 2014, 19:27:42

Titre: Besoin d'aide pour récupérer mes fichiers urgent
Posté par: hichamove88 le mars 05, 2014, 19:27:42
Bonjour

Merci de bien vouloir m'aider à résoudre ce problème, je pense que mon Pc est atteint d'un virus qui a crypté tout mes fichiers,ceci dit que  tous mes fichiers sont sous extension .LOCKED,et dans chaque repertoire je trouve un fichier txt dont ecrit:
Your files are locked and encrypted with a unique RSA-1024 key!
To regain access you have to obtain the private key (password).
++++++++++++++++++++
To receive your private key (password):
Go to http://u5ubeuzamg54x5f3.onion.to and follow the instructions.
You will receive your private key (password) within 24 hours.
Your ID# is 28403489

If you can't find the page, install the Tor browser (https://www.torproject.org/projects/torbrowser.html.en) and browse to
http://u5ubeuzamg54x5f3.onion
++++++++++++++++++++
BEWARE - this is NOT a virus.
The ONLY way to unlock your files/data is to obtain your private key (password) or you may consider all your data lost.
You have just 5 days before the private key (password) is deleted from our server, leaving your data irrevocably broken.
++++++++++++++++++++
LOCKED ON POSSESSION OF COPYRIGHTED MATERIAL AND SUSPICION OF (CHILD)PORNOGRAPHIC MATERIAL.

 est ce que quelqu'un a une idée comment je pourrais recuperer mes fichiers?je vous serez trés reconnaissante.

Cordialement
Titre: Re : Besoin d'aide pour récupérer mes fichiers urgent
Posté par: hichamove88 le mars 06, 2014, 09:56:12
Voici les liens des rapports :

http://pjjoint.malekal.com/files.php?id=20140305_e10d5j10g8m5
http://pjjoint.malekal.com/files.php?id=20140306_v5t13x6u11k8

merci de me repondre svp
Titre: Re : Besoin d'aide pour récupérer mes fichiers urgent
Posté par: hyunkel30 le mars 06, 2014, 15:45:24
Bonjour,

Bienvenue sur Security-X,

Déjà :
- Windows 7 Ultimate ... Il est légal, activé ?

Et puis :
Citer
Nitro Pro v9.0.5.9 + Crack.zip
Ne pas s'étonner de se retrouver avec ce genre de déboire ensuite ...


Concernant l'infection par crypteur, si c'est la variante Howdecrypt, il n'y aura malheureusement rien à faire pour décrypter les fichiers.

Comment se nomme le fichier texte dont tu as mis le teste dans ta première réponse ?

à faire ensuite :

Télécharge Farbar Recovery Scan Tool (de Farbar) sur ton Bureau.

Attention: Tu dois lancer la version compatible avec ton système : 32 ou  64bits.

Clique ici pour la version 32 bits (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/dl/81/)
Clique ici pour la version 64 bits (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/dl/82/)

Info : comment savoir quelle version j'utilise ? (http://windows.microsoft.com/fr-fr/windows7/find-out-32-or-64-bit)

Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même

Poste les deux rapports générés.

Titre: Re : Besoin d'aide pour récupérer mes fichiers urgent
Posté par: hichamove88 le mars 06, 2014, 18:40:33
Merci pr votre rpnse voici les deux rapport:

http://up.security-x.fr/file.php?h=R29f3012f0d0380f5a213da61b3e020ba
http://up.security-x.fr/file.php?h=R56ef9b0c6096cc2173f33dabf722942d

et merci infiniment
Titre: Re : Besoin d'aide pour récupérer mes fichiers urgent
Posté par: hyunkel30 le mars 06, 2014, 21:41:33
Re,

Tu ne m'as pas répondu :
Citer
- Windows 7 Ultimate ... Il est légal, activé ?


Pour les fichier crypté, on testera un utilitaire (attention, cela ne veut pas dire qu'on pourra récupérer les fichiers crypté ! ), mais il faut d'abord nettoyer le pc qui est toujours contaminé.

à suivre :



1) Désinstalle les programmes suivants dans ta liste des programmes (si présents) :

Note : Si tu rencontres une erreur passe au suivant et poursuis la procédure

- IB Updater 2.0.0.578 (adware : logiciel publicitaire)
- IB Updater Service (idem)
- Internet Speed Tracker Toolbar (barre d'outil sponsorisée)


/!\ Crée un point de restauration manuel avant d'appliquer le correctif - Tutoriel en images (http://forum.security-x.fr/windows-7/%28tutoriel%29-creer-un-point-de-restauration-sous-windows-7/) /!\

Code: [Sélectionner]
start
() C:\Program Files\IB Updater\ExtensionUpdaterService.exe
() C:\Windows\system32\dmwu.exe
() C:\Windows\System32\jmdp\stij.exe
HKU\S-1-5-21-3842736235-1153698447-1389799081-1000\...\Run: [Certificate Policy Engine] - C:\Users\hicham\AppData\Roaming\Microsoft\Windows\Templates\CertPolEng.exe [7680 2013-01-17] (Microsoft Corporation)
Startup: C:\Users\hicham\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\README TO UNLOCK.txt ()
HKCU\Software\Microsoft\Internet Explorer\Main,bProtector Start Page = http://search.babylon.com/?babsrc=HP_def_din2g&mntrId=4E0970F395AD9C1D&affID=119546&tsp=4922
SearchScopes: HKLM - {BB74DE59-BC4C-4172-9AC4-73315F71CFFE} URL = http://websearch.helpmefindyour.info/?l=1&q={searchTerms}&pid=943&r=2013/04/15&hid=2217391619&lg=EN&cc=MA
SearchScopes: HKCU - DefaultScope {CFF4DB9B-135F-47c0-9269-B4C6572FD61A} URL = http://mystart.incredibar.com/?a=6PQXGNxIq6&loc=skw&search={searchTerms}
SearchScopes: HKCU - bProtectorDefaultScope {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}
SearchScopes: HKCU - {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://search.babylon.com/?q={searchTerms}&babsrc=SP_def_din2g&mntrId=4E0970F395AD9C1D&affID=119546&tsp=4922
SearchScopes: HKCU - {BB74DE59-BC4C-4172-9AC4-73315F71CFFE} URL = http://websearch.helpmefindyour.info/?l=1&q={searchTerms}&pid=943&r=2013/04/15&hid=2217391619&lg=EN&cc=MA
SearchScopes: HKCU - {CFF4DB9B-135F-47c0-9269-B4C6572FD61A} URL = http://mystart.incredibar.com/?a=6PQXGNxIq6&loc=skw&search={searchTerms}
BHO: IB Updater - {336D0C35-8A85-403a-B9D2-65C292C39087} - C:\Program Files\IB Updater\Extension32.dll ()
BHO: Incredibar.com Helper Object - {6E13DDE1-2B6E-46CE-8B66-DC8BF36F6B99} - C:\Program Files\Incredibar.com\incredibar\1.5.11.14\bh\incredibar.dll (Montera Technologeis LTD)
BHO: RightSurf - {88be1aa9-6740-461c-9e3e-f35eb8fa741c} - C:\Program Files\RightSurf\RightSurfBHO.dll No File
BHO: No Name - {C4743D3E-20D7-4B52-84F2-5E4E277B2D82} - No File
Toolbar: HKLM - Incredibar Toolbar - {F9639E4A-801B-4843-AEE3-03D9DA199E77} - C:\Program Files\Incredibar.com\incredibar\1.5.11.14\incredibarTlbr.dll (Montera Technologeis LTD)
FF user.js: detected! => C:\Users\hicham\AppData\Roaming\Mozilla\Firefox\Profiles\dlt6o5et.default\user.js
FF NewTab: hxxp://www.incredibar-search.com/?a=6PQXGNxIq6&i=26&loc=skw
FF SearchEngineOrder.1: Delta Search
FF SelectedSearchEngine: MyStart
FF Homepage: hxxp://www.incredibar-search.com/?a=6PQXGNxIq6&i=26&loc=skw
FF Keyword.URL: hxxp://mystart.incredibar.com/?a=6PQXGNxIq6&i=26&loc=skw&search=
FF SearchPlugin: C:\Users\hicham\AppData\Roaming\Mozilla\Firefox\Profiles\dlt6o5et.default\searchplugins\babylon.xml
FF SearchPlugin: C:\Users\hicham\AppData\Roaming\Mozilla\Firefox\Profiles\dlt6o5et.default\searchplugins\delta.xml
FF SearchPlugin: C:\Users\hicham\AppData\Roaming\Mozilla\Firefox\Profiles\dlt6o5et.default\searchplugins\MyStart Search.xml
FF SearchPlugin: C:\Users\hicham\AppData\Roaming\Mozilla\Firefox\Profiles\dlt6o5et.default\searchplugins\MyStart.xml
FF SearchPlugin: C:\Users\hicham\AppData\Roaming\Mozilla\Firefox\Profiles\dlt6o5et.default\searchplugins\README TO UNLOCK.txt
FF SearchPlugin: C:\Users\hicham\AppData\Roaming\Mozilla\Firefox\Profiles\dlt6o5et.default\searchplugins\WebSearch.xml
FF Extension: Giant Savings Extension - C:\Users\hicham\AppData\Roaming\Mozilla\Firefox\Profiles\dlt6o5et.default\Extensions\extension21810@extension21810.com [2013-11-21]
FF Extension: incredibar.com - C:\Users\hicham\AppData\Roaming\Mozilla\Firefox\Profiles\dlt6o5et.default\Extensions\ffxtlbr@incredibar.com [2012-12-31]
FF Extension: BrowSoee2save - C:\Users\hicham\AppData\Roaming\Mozilla\Firefox\Profiles\dlt6o5et.default\Extensions\puuagzq8-bm@tzihk-uia.org [2013-05-01]
FF Extension: SeaRch-aNewwTabb - C:\Users\hicham\AppData\Roaming\Mozilla\Firefox\Profiles\dlt6o5et.default\Extensions\vgjrw8@eeuyhzql.org [2013-05-01]
FF Extension: Searceh-NewTuaobe - C:\Users\hicham\AppData\Roaming\Mozilla\Firefox\Profiles\dlt6o5et.default\Extensions\vts42pw.9@oeyiyuiwsht.org [2013-04-15]
FF Extension: BBrowusse22savve - C:\Users\hicham\AppData\Roaming\Mozilla\Firefox\Profiles\dlt6o5et.default\Extensions\zhntjoeyhg@ei-iyeaie.co.uk [2013-04-15]
FF Extension: Torntv - C:\Users\hicham\AppData\Roaming\Mozilla\Firefox\Profiles\dlt6o5et.default\Extensions\torntv@torntv.com.xpi [2013-01-10]
FF HKLM\...\Firefox\Extensions: [{336D0C35-8A85-403a-B9D2-65C292C39087}] - C:\Program Files\IB Updater\Firefox
FF Extension: IB Updater - C:\Program Files\IB Updater\Firefox [2012-12-31]
FF HKLM\...\Firefox\Extensions: [ocr@babylon.com] - C:\Program Files\Babylon\Babylon-Pro\Utils\ocr@babylon.com
FF Extension: Babylon Translation Activation - C:\Program Files\Babylon\Babylon-Pro\Utils\ocr@babylon.com [2013-01-05]
FF HKLM\...\Firefox\Extensions: [{FE1DEEEA-DB6D-44b8-83F0-34FC0F9D1052}] - C:\Program Files\IB Updater\Firefox
FF Extension: IB Updater - C:\Program Files\IB Updater\Firefox [2012-12-31]
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKLM\...\Chrome\Extension: [dlnembnfbcpjnepmfjmngjenhhajpdfd] - C:\Program Files\IB Updater\source.crx [2012-12-31]
CHR HKLM\...\Chrome\Extension: [goghkjdcbbbdfbjgakmgdhiglddeneep] - C:\Program Files\InternetSpeedTracker_9t Chrome Extension\bar\InternetSpeedTracker@mindspark.com.gen1 [2014-03-05]
CHR HKLM\...\Chrome\Extension: [jbpkiefagocgkmemidfngdkamloieekf] - C:\Program Files\TornTV.com\torn11.crx [2014-03-05]
R2 IB Updater; C:\Program Files\IB Updater\ExtensionUpdaterService.exe [188760 2013-01-29] ()
R2 IBUpdaterService; C:\Windows\system32\dmwu.exe [1527600 2014-02-04] ()
S1 cvaxkleu; \??\C:\Windows\system32\drivers\cvaxkleu.sys [X]
S1 sdhilnfq; \??\C:\Windows\system32\drivers\sdhilnfq.sys [X]
S1 vzvbyvxb; \??\C:\Windows\system32\drivers\vzvbyvxb.sys [X]
2014-03-05 11:47 - 2013-04-19 23:28 - 00000000 ____D () C:\ProgramData\SeaRch-aNewwTabb
2014-03-05 11:47 - 2013-04-19 23:27 - 00000000 ____D () C:\ProgramData\BrowSoee2save
2014-03-05 11:47 - 2013-04-15 14:50 - 00000000 ____D () C:\ProgramData\Searceh-NewTuaobe
2014-03-05 11:47 - 2013-04-15 14:45 - 00000000 ____D () C:\ProgramData\BBrowusse22savve
C:\Users\hicham\AppData\Local\Temp\Nitro Pro 9.0.3.2 Full Serial Keygen__4928_il644.exe
C:\Users\hicham\AppData\Local\Temp\password.exe
C:\Program Files\RightSurf
C:\Program Files\Incredibar.com
C:\Program Files\GoforFiles
C:\Users\hicham\AppData\Local\Updater21810
C:\Users\hicham\AppData\Roaming\BabSolution
C:\Program Files\IB Updater
C:\Windows\system32\dmwu.exe
C:\Windows\System32\jmdp
Task: {3C3BE464-E0D2-4C81-8E18-481B3EB7F8C2} - System32\Tasks\BitGuard => Sc.exe start BitGuard <==== ATTENTION
Task: {72C95043-4E01-4F53-A0C0-179679ABD782} - System32\Tasks\GoforFilesUpdate => C:\Program Files\GoforFiles\GFFUpdater.exe <==== ATTENTION
Task: {BDB1BE85-6BAD-4E2A-AAD7-C610AAC1DC73} - System32\Tasks\Updater21810.exe => C:\Users\hicham\AppData\Local\Updater21810\Updater21810.exe [2013-03-01] (215 Apps) <==== ATTENTION
Task: {EC3D18D2-B62E-4297-851A-C0CAE2BBEDDE} - System32\Tasks\EPUpdater => C:\Users\hicham\AppData\Roaming\BabSolution\Shared\BabMaint.exe [2013-06-06] () <==== ATTENTION
end/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\


Redémarre le pc


3) Télécharge AdwCleaner (http://www.bleepingcomputer.com/download/adwcleaner/dl/125/) (de Xplode) sur ton Bureau.

Titre: Re : Besoin d'aide pour récupérer mes fichiers urgent
Posté par: hichamove88 le mars 07, 2014, 09:27:34
bnjr, mercii our te rpnse voici le rapport fixlist.txt:

http://up.security-x.fr/file.php?h=R016cc6b00c4320f1bba3d65b1d59f2fc
 
pour Windows 7 Ultimate ul est activé mé je pense pa kily légale

 je vai poste le rapport adwcleaner apre le redémarrage de mon pc
Titre: Re : Besoin d'aide pour récupérer mes fichiers urgent
Posté par: hichamove88 le mars 07, 2014, 09:38:49
voila le fichier AdwCleaner :


http://up.security-x.fr/file.php?h=Raacbc2196ed56eadfa60bde3eba1f47c
Titre: Re : Besoin d'aide pour récupérer mes fichiers urgent
Posté par: hyunkel30 le mars 07, 2014, 09:55:37
Re,

Citer
pour Windows 7 Ultimate ul est activé mé je pense pa kily légale
Sache que je ne serais tenu responsable des problèmes que peuvent engendrer des prises en charge sur des OS illégaux ...


à suivre :

1) Relance Adwcleaner :

/!\ Désactive tes protections résidentes : antivirus, antispyware ... Ferme toutes les applications en cours (notamment ton navigateur)/!\

Titre: Re : Besoin d'aide pour récupérer mes fichiers urgent
Posté par: hichamove88 le mars 07, 2014, 16:08:27
déja fé voici les liens :

http://up.security-x.fr/file.php?h=R1887adaf3981557a71dfffc06757e9f7
http://up.security-x.fr/file.php?h=R2748a9b7912885efdff872047c08c505

merci
Titre: Re : Besoin d'aide pour récupérer mes fichiers urgent
Posté par: hyunkel30 le mars 07, 2014, 21:51:27
Re,

refais-moi ceci s'il te plait :

Relance FRST :

Poste les deux rapports générés.

Titre: Re : Besoin d'aide pour récupérer mes fichiers urgent
Posté par: hichamove88 le mars 08, 2014, 02:08:38
Re
voici lé deux

http://up.security-x.fr/file.php?h=R57028fc809832c83ffa7a2a6f35ac36d
http://up.security-x.fr/file.php?h=R55b9c974eca88030ac10afa494ac5643
 
j'ai fé cette etape mé il n y a aucun résultat  :'(

Titre: Re : Besoin d'aide pour récupérer mes fichiers urgent
Posté par: hyunkel30 le mars 08, 2014, 09:11:31
Re,

Essaye avec des fichiers de type jpeg/jpg (image) si tu en possèdes.

Si cela ne fonctionne pas non plus, alors tu es sur la variante Howdrecrypt, qui ne permet pas, à ce jour, de décryptage des fichiers.
Titre: Re : Besoin d'aide pour récupérer mes fichiers urgent
Posté par: hichamove88 le mars 08, 2014, 12:31:21
Re
donc il me reste que formaté le pc  :'( :'( j'ai perdu tout  :'( :'( :'( :'(
Titre: Re : Besoin d'aide pour récupérer mes fichiers urgent
Posté par: hyunkel30 le mars 08, 2014, 14:24:58
Re,

Non niveau pc, cela ne sert à rien de formater, ton système n'est pas atteint, après, tu fais comme tu veux ;)

Pour tes fichiers, c'est peu probable d'arriver à les décrypter à l'heure actuel, le cryptage, même s'il n'est pas aussi "fort" que ce qu'il indique, nécessite de lourd moyen pour décrypter, et cela n'est pas encore mis à dispo de tous le monde.
Il existe un script Python, mais je n'ai pas encore approfondi la manière de l'utiliser :
http://blog.cassidiancybersecurity.com/post/2014/02/Bitcrypt-broken