Security-X
Forum Security-X => Désinfections => Discussion démarrée par: keredo le mai 31, 2015, 12:47:33
-
bjr de la bretagne nord , jai un copain qui a ete voire dans mon ordi il ma dit que j'avait choper "CRYPTOWALL.TRACE_DECRYPT" il pârait que c'est un dure de dure virus que faire docteur? je ne suis pas specialiste! de ca!!
-
Bonjour keredo,
Bienvenue sur Security-X,
Effectivement, Cryptowall fait partie des ransmoware crypteur, des famille d'infection qui prennent en otage les fichiers contre une rançon.
A l'heure actuelle, il n'y a aucun moyen de récupérer ces fichiers, car ils sont chiffré avec une clé unique quasiment impossible à déchiffrée avec des moyens "normaux"
La seule chose possible est de supprimer l'infection sur le système.
:AAN
-
Salut Hyunkel et salut Keredo.
Désolée de m'immiscer dans la conversation mais j'ai un gros doute vu que Keredo (je crois) vient de me parler au tél de copier un contenu de bloc-note sur son bureau vers FRST etc.
Et à lire ce fil et le suivant, il me semble qu'il y a un peu de mélange...
"Keredo" : suis les instructions de Hyunkel sur ce seul sujet de conversation ; le reste ne concerne pas ton ordi.
Apparemment, il faut "supprimer l'infection sur le système"... Hyunkel va te donner des instructions ici si c'est possible.
Et pense à lui demander de vérifier tes extensions (disques durs externes, clés etc.)
Biz à tous
-
:) Bonjour TCM,
C'est toujours compliqué quand on a plusieurs interlocuteurs c'est sûr ...
Mais si les fichiers ne s'ouvrent plus, c'est pratiquement certain que ce soit ce que je dis, donc aucun moyen de les récupérer, on peut juste supprimer l'origine de l'infection.
à faire dans ce cas là :
Télécharge Farbar Recovery Scan Tool (de Farbar) sur ton Bureau.
Attention: Tu dois lancer la version compatible avec ton système : 32 ou 64bits.
Clique ici pour la version 32 bits (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/dl/81/)
Clique ici pour la version 64 bits (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/dl/82/)
Info : comment savoir quelle version j'utilise ? (http://windows.microsoft.com/fr-fr/windows7/find-out-32-or-64-bit)
Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même
- Double-clique sur l'outil pour le lancer. Quand l'outil se lance, clique sur Yes pour accepter le disclamer.
- Clique sur le bouton Scan.
- L'outil va créer un rapport nommé FRST.txt, enregistré dans le même dossier que l'outil.
- A son premier lancement, l'outil va aussi créer un fichier nommé Addition.txt).
Poste les deux rapports générés.
- Pour les rapports, merci d'utiliser ce service de rapport en ligne (http://security-x.fr/up/) : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
Une aide à l'utilisation ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)
-
ok , merci, mais comment procéder pour supprimer l'infection
-
:) Faire déjà la procédure demandée dans ma réponse précédente pour commencer un premier diagnostic ;)
-
voici le deuxieme rapport http://up.security-x.fr/file.php?h=R449fc34efb43265ec06e1feec24143f5
-
Re,
Il me manque le rapport Addition.txt s'il te plait, il se trouve ici :
C:\Documents and Settings\François\Mes documents\Addition.txt
Une autre question, c'est bien sur le pc sur lequel tu viens de faire l'analyse qu'est l'infection et les fichiers impossibles à ouvrir ?
-
http://up.security-x.fr/file.php?h=R7023ed92752d3cc74e540c706b3021de voici l'autre rapport
-
http://up.security-x.fr/file.php?h=R7023ed92752d3cc74e540c706b3021de deuxieme papport
-
Re,
Je sais que ces situations sont toujours stressantes, mais il faut faire les procédures calmement, et bien lire tout ce que je demande, et au besoin demander si tu ne comprends pas quelque chose. Inutile de se précipiter.
Par exemple, tu postes deux fois pour le même rapport, mais tu ne réponds pas à ma question :
c'est bien sur le pc sur lequel tu viens de faire l'analyse qu'est l'infection et les fichiers impossibles à ouvrir ?
-
oui oui ce probleme est bien sur le pc en question
-
pas d souci on va esseyer d y aller cool si je reussit je serait bien contant car je ni connais rien!! merci encore!!
-
Re,
Ok, à suivre :
1) Désinstalle les programmes suivants dans ta liste des programmes (si présents) :
Note : Si tu rencontres une erreur passe au suivant et poursuis la procédure
- Google Toolbar for Internet Explorer (barre d'outil, sauf réel intérêt)
- Advanced File Optimizer (adware : sponsor publicitaire)
- coupONpEak (adware)
- ddealstEr (idem)
- Humble New Tab Page (idem)
- leass2Pay (idem)
- shopndropp (idem)
- SofTCoup (idem)
- Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes)
- Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes
start
CloseProcesses:
EmptyTemp:
CreateRestorePoint:
C:\Documents and Settings\François\Local Settings\Application Data\Conduit
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:373E1720
StandardProfile\AuthorizedApplications: [C:\Program Files\SweetIM\Communicator\SweetPacksUpdateManager.exe] => Enabled:SweetPacksUpdateManager
C:\Program Files\SweetIM
HKLM\...\Run: [uptt4fr7.exe] => C:\Documents and Settings\François\Local Settings\Application Data\tuto4pc_fr_7\uptt4fr7.exe -runhelper
C:\Documents and Settings\François\Local Settings\Application Data\tuto4pc_fr_7
HKLM\...\Run: [Advanced File Optimizer] => [X]
HKU\S-1-5-21-854245398-583907252-839522115-1004\...\Run: [msnmsgr] => ~"C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
HKU\S-1-5-21-854245398-583907252-839522115-1004\...\Run: [MSMSGS] => "C:\Program Files\Messenger\msmsgs.exe" /background
HKU\S-1-5-21-854245398-583907252-839522115-1005\...\Run: [msnmsgr] => "F:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
Startup: C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Raccourci vers Analyse virus jf.lnk [2015-05-29]
ProxyEnable: [.DEFAULT] => Internet Explorer proxy is enabled
ProxyServer: [.DEFAULT] => http=127.0.0.1:1934;https=127.0.0.1:1934;
URLSearchHook: [S-1-5-21-854245398-583907252-839522115-1004] ATTENTION ==> Default URLSearchHook is missing.
URLSearchHook: HKU\S-1-5-21-854245398-583907252-839522115-1004 - (No Name) - {EEE6C35D-6118-11DC-9C72-001320C79847} - No File
URLSearchHook: HKU\S-1-5-21-854245398-583907252-839522115-1005 - (No Name) - {cfcb809c-3a22-4616-a916-6c007bd9d920} - No File
HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs: "about:newtab" <======= ATTENTION
SearchScopes: HKU\S-1-5-21-854245398-583907252-839522115-1004 -> {AFDBDDAA-5D3F-42EE-B79C-185A7020515B} URL =
BHO: No Name -> {cfcb809c-3a22-4616-a916-6c007bd9d920} -> No File
Toolbar: HKLM - No Name - {cfcb809c-3a22-4616-a916-6c007bd9d920} - No File
Toolbar: HKU\S-1-5-21-854245398-583907252-839522115-1004 -> No Name - {CFCB809C-3A22-4616-A916-6C007BD9D920} - No File
Toolbar: HKU\S-1-5-21-854245398-583907252-839522115-1005 -> No Name - {CFCB809C-3A22-4616-A916-6C007BD9D920} - No File
FF SelectedSearchEngine: sweet-page
FF SearchPlugin: C:\Program Files\mozilla firefox\browser\searchplugins\sweet-page.xml [2015-04-02]
S1 aweptubr; \??\C:\WINDOWS\system32\drivers\aweptubr.sys [X]
S1 cgrehdes; \??\C:\WINDOWS\system32\drivers\cgrehdes.sys [X]
S1 fqkunsfp; \??\C:\WINDOWS\system32\drivers\fqkunsfp.sys [X]
S1 gbxekzds; \??\C:\WINDOWS\system32\drivers\gbxekzds.sys [X]
S1 gesgqeux; \??\C:\WINDOWS\system32\drivers\gesgqeux.sys [X]
S1 hitizrkh; \??\C:\WINDOWS\system32\drivers\hitizrkh.sys [X]
S1 jvrvbkyh; \??\C:\WINDOWS\system32\drivers\jvrvbkyh.sys [X]
S1 qtpqrnzg; \??\C:\WINDOWS\system32\drivers\qtpqrnzg.sys [X]
S1 suauwjnh; \??\C:\WINDOWS\system32\drivers\suauwjnh.sys [X]
end- Enregistre le fichier sur ton Bureau (au même endroit que FRST) sous le nom fixlist.txt
- Ferme toutes les applications, y compris ton navigateur
- Double-clique sur FRST.exe
- Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fup.security-x.fr%2Ffile.php%3Fh%3DR05cf1fa17f5d244a9c65be205bacfeab&hash=b3152d40400f1435eb46d75f6cf70ecc0edb4c0e)
- Le pc va demander à redémarrer, accepte.
- L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.
/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\
-
bjr alors!! jai bien mois le fichier sur mon bureau sous le nom de fixlist.txt apres jai mis aussi sur mon bureau Frst.exe alors quand je clic sur fix voici le message que l'on me met Farbar recovery scan tool N .fixlist.txt found the fixlist.txt shouldbe in the same folder/directory the tool is located
-
Re,
Cela indique que le fichier de correction fixlist n'est pas au même endroit que FRST.exe
Ce dernier est ici :
C:\Documents and Settings\François\Mes documents\Téléchargements
C'est donc probablement qu'un raccourci que tu as sur le bureau, il faut faire la procédure dans le dossier "téléchargements", ou copier FRST.exe sur ton bureau
:AAN
-
alors jai bien copier les deux fichiers sur mon bureau FRST quand je l'ouvre le dossier est bien dedans sur le bureau toujours je clique sur frst. exe l l'necart souvre bien avec la case fix je clique dessus et toujours le meme message!!!
-
ji fait la meme manipe dans le dossier telechargement les fichiers sont bien la mais toujours le meme message!!
-
Re,
C'est que soit le fichier n'est pas nommé comme il faut (fixlist.txt), soit FRST.exe (et non .txt qui est un rapport), n'est pas au même endroit que le fichier fixlist.txt, il n'y a pas d'autre raison ;)
Refais calmement et entièrement la procédure, au besoin, télécharge de nouveau FRST.exe et cette fois-ci enregistre-le directement sur ton bureau.
:AAN
-
http://up.security-x.fr/file.php?h=R7efe40f9fae7e8804698bb2244737eeb ouff voici le fameux rapport je m'etai planter sur l'endroit du fichier je restait sur telechargement il fallait effectivement que je selectionne bureau!! ouff ca yest je patauge pas mal!! lol
-
Re,
Ok pour le rapport.
Tu avais déjà utilisé Malwarebyte's sur ce pc ?
Il avait nettoyé des trucs non ? car je ne vois pas les fichiers normalement associé à cette infection ...
Peux-tu me fournir le rapport Malwarebyte's de sa dernière analyse ? (n'en refais pas une nouvelle ! )
- Suis le tutoriel suivant (http://forum.security-x.fr/tutoriels-317/tutoriel-malwarebytes-anti-malware-version-2/msg116398/#msg116398) pour exporter le rapport
- Poste-le dans ta prochaine réponse.
- Pour les rapports, merci d'utiliser ce service de rapport en ligne (http://security-x.fr/up/) : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
Une aide à l'utilisation ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)
-
http://up.security-x.fr/file.php?h=R608e0a505e0673df29fc35fbd87b7272 le voici en effet tu a raison javais fait tellement de trucs pour retouver mes fichiers perdues!!!
-
Re,
Ok, j'avais un doute, mais là, c'est bien cryptowall ...
Pour voir ce qui a été encrypté :
Télécharge cet outil :
http://www.bleepingcomputer.com/download/listcwall/
Double-clic dessus pour le lancer
Poste-moi le rapport qui va être créé sur ton bureau : ListCWall.txt
- Pour les rapports, merci d'utiliser ce service de rapport en ligne (http://security-x.fr/up/) : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
Une aide à l'utilisation ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)
-
alors la encore un truc nouveau !! jai bien telecharger le fichier en question , des que je veux 'lexecuter un petit ecran noir apparait bien avec un rapport avec a cote un message qui dit no fofiles encrypted by cryptowall were found in the registry et faire ok en desous la tout disparait une fois que 'lon a fait ok! donc je ne peux le poster apparemment il l'arrive pas a se lancer completement pour me faire un rapport utilisable!
-
Re,
Non, il est plutôt probable qu'il ne repère pas la clé de registre qui permet de récupérer la liste des fichiers crypté, car Malwarebyte's ou autre l'ont peut-être supprimée, c'est pour ça que cela m'embête quand on vient ici après avoir fait soi-même plusieurs manipulations ;)
Niveau infection, on est ok, néanmoins on reste au même point pour les fichiers.
Je voulais une
liste pour voir afin de les récupérer par un autre moyen, car je vois que tu as Dropbox d'installé
Tu l'as déjà utilisé et activé ? (c'est un service de Cloud/sauvegarde en ligne)
-
non je me souviens pas davoir utilise ce fichiers de sauvegarde en ligne pourquoi ? il faux que je l'utilise ?
-
ha oui effectivement je le vois sur mon bureaux!! exact!!
-
c est vrais jai fait plein de manips et en plus jy connais rien alors t(imagine le chantier!! !! on est pas sortie de l'auberge!!
-
en fait je viens de cliquer sur dropfox et je vois que je n'avait pas fini son installation ! il est sur le bureau mais pas actif!
-
de plus je n'arrive pas non plus a imprimer ce me met ,, impossible d'imprimer le document,, alors que tout est bien brancher et connecter il y a til un line avec le probleme des fichiers perdue ??
-
Re,
Ce serait possible d'éviter les multi-post d'affilé ? ;)
Répond en une seule fois avec toutes les informations nécessaires.
Si Dropbox n'est pas actif, et que tu ne possèdes aucune sauvegarde, alors tes fichiers sont perdus.
Nous encourageons toujours les utilisateurs à faire régulièrement des sauvegardes pour éviter ce genre de drame ...
Ton pc n'est plus infecté, mais nous ne pourrons rien faire pour tes documents.
Pour le soucis d'impression, oui il est possible que le chiffrement de tes données ai engendré des problèmes, il faudra voir à réinstaller ton imprimante.
Désolé,
:AAN
-
ok merci pour tout je reinstalle
-
encore une petit question qqmeme si je derange pas!! pendant que l ordi etait infecter jy ai brancher une cle usb avec des photos ya til un risque que la cle a recu des dommages si oui comment le savoir et la reparer , merci
-
Re,
Si les disque dur/clé usb étaient branché durant la phase de chiffrement des fichiers, ils peuvent avoir été touché, mais l'infection ne sera pas active dessus, donc tu peux les rebrancher sans danger, et voir si tu as accès aux fichiers qu'ils contiennent ou pas.
:AAN