Security-X

Forum Security-X => Désinfections => Discussion démarrée par: Elvisforever le juillet 16, 2016, 14:28:15

Titre: Décryptage après RSA4069
Posté par: Elvisforever le juillet 16, 2016, 14:28:15

Bonjour,
Je suis désolé d'avoir mis mon sujet à la suite d'un autres, ils me paraissaient identiques.
J'ai  eu un virus, la semaine dernière, qui a crypté mes fichiers photo ou .pdf (que je ne peux plus visualiser) ou texte (qui sont lisibles mais avec des caractères inconnus) ou . Il a rajouté à la racine de la plupart des dossiers 3 fichiers "readme", qui sont des demandes de rençons et parlent d'un cryptage RSA4059, avec les extensions : .txt .html et .bmp.
J'ai supprimé tous ces fichiers et j'ai passé Malwarebytes Anti-Malware sur mon ordinateur. A priori je n'ai plus rien puisque j'ai créé un fichier .txt depuis qui n'a pas bougé et je n'ai plus aucun message mais je ne suis pas certain du résultat en imaginant qu'il puisse s'agir d'un virus dormant. Comment faire pour savoir quel virus m'a infecté et s'il est encore présent sur mon ordinateur ou mes clefs?

En revanche, pour retrouver mes fichiers cryptés,  j'ai essayé les rakhnidecryptor et rannohdecryptor comme indiqué sur d'autres pages et, à moins d'une erreur de manipulation de ma part, je n'ai rien pu faire.
J'ai constaté qu'entre un fichier "infecté" et l'original, le corrompu avait 47 octets de plus.
.
En revanche devant cette criminalité j'aimerais bien savoir à qui on peut s'adresser pour le signaler car il s'agit tout de même d'un chantage ?
Merci pour votre aide.

Titre: Re : Décryptage après RSA4069
Posté par: hyunkel30 le juillet 16, 2016, 15:02:22

Bonjour,

Quelle extension a était ajouté au fichiers crypté s'il te plait ? (si une extension a été ajoutée)

Concernant l'infection, généralement une fois les fichiers cryptés, elle n'est plus active et ne le sera plus, mais je ne pourrais valider cela qu'après vérification :



Télécharge Farbar Recovery Scan Tool (de Farbar) sur ton Bureau.

Attention: Tu dois lancer la version compatible avec ton système : 32 ou  64bits.

Clique ici pour la version 32 bits (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/dl/81/)
Clique ici pour la version 64 bits (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/dl/82/)

Info : comment savoir quelle version j'utilise ? (http://windows.microsoft.com/fr-fr/windows7/find-out-32-or-64-bit)

Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même

• Double-clique sur l'outil pour le lancer. Quand l'outil se lance, clique sur Oui pour accepter le disclaimer.
  
• Clique sur le bouton  Analyser.
  
• L'outil va créer un rapport nommé FRST.txt, enregistré dans le même dossier que l'outil.
  
• A son premier lancement, l'outil va aussi créer un fichier nommé Addition.txt).

Poste les deux rapports générés.

• Pour les rapports, merci d'utiliser ce service de rapport en ligne (http://security-x.fr/up/) : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
  Une aide à l'utilisation ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)
  

Titre: Re : Décryptage après RSA4069
Posté par: Elvisforever le juillet 16, 2016, 16:59:32

Merci pour votre rapidité.
Mes fichiers n'ont eu aucune extension modifié, ils ont tous toujours l'extention d'origir.
Voila les deux liens pour les fichiers de rapports générés par FRST64 :
Pour Addition.txt
https://up.security-x.fr/file.php?h=R1fa3532b1c7a481493609cf1f99a5e45

et pour FRST.txt
https://up.security-x.fr/file.php?h=R526ec09d519db41063c0e54cf27be497
Merci encore

Titre: Re : Décryptage après RSA4069
Posté par: hyunkel30 le juillet 16, 2016, 17:28:09

Re,

Plus d'infection active.

Tu as conservé un des fichiers de demande de rançon ou pas ?

Titre: Re : Décryptage après RSA4069
Posté par: Elvisforever le juillet 16, 2016, 17:37:23

Oui j'ai les 3 fichiers qui étaient joints à toutes les racines des répertoires.
Je peux vous les mettre à disposition comme les fichiers de rapport de FRST64 si vous voulez ?

Titre: Re : Décryptage après RSA4069
Posté par: hyunkel30 le juillet 16, 2016, 17:41:18

Re,

Le contenu oui, et surtout le titre du fichier texte aussi

Titre: Re : Décryptage après RSA4069
Posté par: Elvisforever le juillet 16, 2016, 18:01:42

Les fichiers disent à peu prés la même chose :
Un Fichier README.bmp qui est une image,pèse 3,7Mo, ne peut pas être hébergé sur le site car trop gros.
Je  vous ai mis une capture du fichier ouvert "README.bmp" sous le nom Capture de README bmp.JPG
https://up.security-x.fr/file.php?h=Rcd0b475f8344aa7d594239bce12b8cce

Le deuxième fichier "README.html" le site d'hébergement me dit" An error occurred. This file is forbidden for security reasons."
Génère un accés à un explicatif : "http://en.wikiDedia.orQ/wiki/RSA" et à des liens vers des sites que j'ai capturé en image avec lle fichier "Capture README html.JPG":
https://up.security-x.fr/file.php?h=Reb2e8c7c5a7bba5d35b75ab770d6d363

Le troisième fichier "readme.txt" dont vous trouverez le lien ci dessous.
https://up.security-x.fr/file.php?h=R8f337decb0d1307a5cd2d9c2e27ff954

J'espère avoir été complet.

Titre: Re : Décryptage après RSA4069
Posté par: hyunkel30 le juillet 16, 2016, 18:42:53

Re,

C'est du CryptXXX :
http://www.bleepingcomputer.com/virus-removal/cryptxxx-ransomware-help-information

Seules les premières versions ont une solution pour les fichiers cryptées, mais pas la dernière.
Vu que Rannohdecryptor prenait en charge les premières versions, c'est donc que c'est la dernière.

A ce moment là, il n'y a donc aucune solution pour retrouver les fichiers pris en otage à l'heure actuelle

Désolé.

Titre: Re : Décryptage après RSA4069
Posté par: Elvisforever le juillet 16, 2016, 19:39:49

Merci beaucoup, je mets mes fichiers de coté en attendant des jours meilleurs.
Et merci encore pour le travail que vous avez accompli.
Bonne fin de journée.