Security-X
Forum Security-X => Désinfections => Discussion démarrée par: Forever le octobre 18, 2012, 18:25:47
-
Bonjour,
Suite à une contamination d'un virus variante gendarmerie mon ami a sauvegardé les fichiers en mode sans eched sur un Disque dur externe et a réinstallé windows (oui oui je sais il n'a pas eu la patience de chercher la solution ^^). Or mes fichiers sur le disque dur sont renommés avec plusieurs lettres sans extension et sont illisibles. J'ai utilisé les 2 utilitaires sur un autre pc (portable) qu'un de vos membres admin a conseillé : rannohdecryptor et matsnu1decrypt. Je selectionne donc les 2 fichiers identiques, l un infecté et l'autre sain et j'ai des messages d erreur que je vais vous citer :
matsnu1decrypt : no match between files found. second file should be like first, just encrypted (traduction : pas de correspondance entre les fichiers trouvés. second fichier devrait ressembler premier, juste crypté)
rannohdecryptor : cannot find description key. May be unkown trojan program modification (traduction : ne peut pas trouver la clé description. Peut-être la modification inconnu cheval de Troie).
Le virus ne s'appelait pas gendarmerie mais y ressemblait fortement au démarrage il demandait un code ukach de 100 € , mon ami m'a dit qu il a ouvert un mail avec un fichier excel contenant une facture d'appareil photo d'un montant de 4000 € et a ouvert le fichier joint de type excel. Le pc a redémarré à ce moment là avec le blocage au démarrage. En mode sans echec il a copié les fichiers a sauvegarder et a réinstallé windows. Il existe toujours dans les fichiers systeme le dossier windows old que je n'ai pu restaurer donc j'ai tenté les 2 utilitaires ci dessus et impossible de trouver une solution.
Merci par avance si vous pouviez me conseiller car il s'agit d'importants documents professionnels.
Cordialement
-
Bonsoir,
Bienvenu sur Security-X,
Sache qu'il n'est pas du tout certain de pouvoir récupérer ces fichiers selon la variante.
Il nous faudrait un exemple de fichier crypté/renommé pour voir de quelle variante il s'agit.
Mais vu le type de contamination par pièce jointe, c'est sans doute celle qui n'est pas décryptable ...
-
Bonsoir et merci pour l'accueil ainsi que la réponse :)
Comment puis je fournir un exemple du ficier crypté/ renomé?
Merci
-
Re,
Soit tu m'écris comme ça dans le sujet le nom originel et celui une fois crypté, soit tu me fais une copie d'écran avec des fichiers renommés ;)
Comment faire et envoyer une copie d'écran (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport)
-
Hello :)
Merci pour la capture je sais faire et la voici : (https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fnsa31.casimages.com%2Fimg%2F2012%2F10%2F19%2Fmini_121019025313226438.jpg&hash=29006e7bad6c7201f9cb2a307de397a729bb18b3) (http://www.casimages.com/img.php?i=121019025313226438.jpg)
Je vois que tu t'y connais bien apparemment je crains ta réponse...
Cordialement
-
Re,
Oui, quand tu m'as dit le mode de propagation, j'ai tout de suite compris, un seul ransomware se transmet ainsi ... et ta capture confirme mes craintes :
http://www.malekal.com/2012/07/10/trojan-trustezeb-ransomware-virus-coder-de-windows/
La seule solution était de récupérer la clé de cryptage au moment de l'infection, et seule les entreprise qui conserve des LOG de connexion peuvent le faire.
Donc désolé, mais l'ensemble des fichiers renommés sont définitivement perdu.
Je ne répèterais jamais assez :
- sauvegarder
- n'ouvrez pas les pièces jointes inconnues
- maintenez les pc et logiciels à jour.
-
Arf :( :AAM
Merci beaucoup pour ton aide précieuse je garde les fichiers au cas ou et plus qu'à refaire le boulot perdu.
Bonne continuation et bon courage à tous :)