fichiers cryptés apres un virus

[laubea]

bonjour,
apres une installation de xp, sans antivirus, mon ecran s'est bloqué sur la fameuse page hadopi.Je m'en suis sorti en analysant le disque dur avec avg sur un autre ordi.depuis j'ai réinstallé un antivirus ( avg) mais je me suis aperçu que mes fichiers etaient cryptés.
en parcourant le forum, j'ai essayé rannohdecryptor.exe,te94decrypt.exe ou encore matsnu1decrypt.exe sans succes.
les fichiers n'ont pas ete renommés, j'ai des milliers de fichiers .temp sur le disque qui , a premiere vue correspondent aux octets remplacés au debut de mes fichiers ( apres analyse avec un editeur hexa).
 je possede une sauvegarde de la plupart de mes fichiers sauf quelques un que je serais tres heureux de recuperer.

je suis pret a tout formater et reinstaller mais j'aimerais recuperer ces fichiers auparavant.
pouvez vous m'aider? ...

[hyunkel30]

Bonjour laubea,

Bienvenue sur Security-X,

Ce n'est pas le fait de ne pas avoir d'antivirus qui a engendré l'infection, ce type d'infection vient d'un système et de logiciel non à jour, en visitant des sites contenant des malvertising (publicité infectieuses), et c'est généralement sur les sites de streaming/téléchargement illégaux, ou via P2P

Si tu dois formater, on ne va pas s'attarder sur les restes possible d'infection donc.

Concernant tes fichiers, il nous faudrait connaitre la variante de crypteur pour s'orienter vers un outils.

AVG a-t-il conservé le rapport d'analyse/nettoyage ? Avec les noms de l'infection par exemple ?

 

[laubea]

en effet, j'ai ce rapport.mais comment  le faire partager?
je n'ai le detail de chaque infections qu'en cliquant dessus.existet il un moyen de vous faire parvenir toute la liste ( details y compris).

merci pour votre reponse.

[hyunkel30]

Re,

Tu peux me faire des copies d'écran et me les fournir

Pas besoin de tous me donner, surtout si le nom de l'infection est le même :

Faire et héberger une copie d'écran

[laubea]

voici les copies d'ecran.j'ai 19 rapport du meme type que le premier : http://up.security-x.fr/file.php?h=R4ae6c234eadd7799613d43b94bbbc962
et voici les deux autres.
http://up.security-x.fr/file.php?h=R5957d75419357b9a58028d82a03007be
http://up.security-x.fr/file.php?h=R57c638b91b13e9366659c861c149b596
je me suis concentré a ce qui affectait le c , ou se trouve le systeme.

[hyunkel30]

Re,

Rien de très parlant ...

Pour voir :

Télécharge Farbar Recovery Scan Tool (de Farbar) sur ton Bureau.

Attention: Tu dois lancer la version compatible avec ton système : 32 ou  64bits.

Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même

• Double-clique sur l'outil pour le lancer. Quand l'outil se lance, clique sur Yes pour accepter le disclamer.
  
• Clique sur le bouton  Scan.
  
• L'outil va créer un rapport nommé FRST.txt, enregistré dans le même dossier que l'outil.
  
• A son premier lancement, l'outil va aussi créer un fichier nommé Addition.txt).

Poste les deux rapports générés.

• Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
  Une aide à l'utilisation ici
  

[laubea]

http://up.security-x.fr/file.php?h=R06019edc7c6afbb0faa571daedb83689
http://up.security-x.fr/file.php?h=R9462dcee3a53afba5b5f3b225124da7c

bon courage...

[hyunkel30]

Re,

Service pack 2 ...
Il est certain que si vous vous baladez sur Internet avec un système, même fraichement installé, mais pas à jour, l'infection est quasiment assuré en moins d'une journée ...
L'antivirus n'y fera rien ...

Le système est encore infecté, il y a aussi des adwares (sponsors publicitaires)

Donc pour le reste je confirme, c'est du cryptorbit :
http://www.malekal.com/2014/01/27/cryptorbit-howdecrypt/

Aucun espoir de récupérer les fichiers

Afin d'aider à la détection et la recherche sur ce crypteur, peux-tu me dire ce que tu faisais quand c'est arrivé :
- As-tu ouvert une pièce jointe d'un mail ?
- Étais-tu en train de lire des vidéos sur des sites de streaming ou téléchargement ?
- Installer un fichier issus du p2p ou de site de téléchargement ?

On débuteras ensuite le nettoyage du système.

Il te faudra penser à modifier, une fois la procédure terminée, tout tes mots de passes utilisé sur ce système !

 

[laubea]

bonjour,
je pense que c'est apres l'ouverture d'une fenetre sur emuleisland que mes ennuis ont commencé.
je prends note de l'impossibilité actuelle de recuperer mes fichiers.
je vais donc garder le disque dur de coté en esperant des jours meilleurs.est il necessaire que je garde egalement le disque dur ou etait le systeme?
il n'est donc pas necessaire de nettoyer ce systeme puisque j'ai deja tout reinstallé sur un disque flambant neuf.
merci pour toutes vos reponses.
a bientot

[hyunkel30]

Re,

Merci pour les infos, je transmettrais.

Pour le disque système, conserve si tu le peux quelques temps, au cas ou j'aurais à te demander des échantillons de l'infection par exemple.

N'oublie pas de modifier tes mots de passes si certains ont été utilisé ou étaient enregistré sur le système infecté

 

[hyunkel30]

Re,

En fait pour des besoin d'analyse de l'infection, il faudrait que tu me fasses une procédure supplémentaire, ensuite je te demanderais peut-être de me transférer des fichiers/dossiers selon le résultat.

à faire donc :

• Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes)
  
• Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes
  
  [fixed]start
  Folder: C:\Documents and Settings\Administrateur\Local Settings\Temp
  Folder: C:\Documents and Settings\All Users\Application Data\yfuspw
  Folder: C:\Documents and Settings\All Users\Application Data\fbbergu
  File: C:\WINDOWS\shvimjh.hqn
  end[/fixed]
  
  
• Enregistre le fichier sur ton Bureau (au même endroit que FRST) sous le nom fixlist.txt
  
• Ferme toutes les applications, y compris ton navigateur
  
• Double-clique sur FRST.exe
  
• Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
  
  
• L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\

• Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
  Une aide à l'utilisation ici

[laubea]

bonjour, voici le lien
http://up.security-x.fr/file.php?h=Re952320468c70fe3be14f44b7fbeee60

je garde au chaud le contenu de mes trois disques durs "défectueux" .

bon courage.

[hyunkel30]

Bonsoir,

Super, y'a des choses intéressante dedans, je vais donc te demander de me fournir certaines choses :

Copie-moi s'il te plait ces fichiers et dossiers (si présents), puis met l'ensemble dans un dossier compressé .zip ou autre :

C:\Documents and Settings\Administrateur\Local Settings\Temp

C:\Documents and Settings\All Users\Application Data\der
C:\Documents and Settings\All Users\Application Data\fbbergu
C:\Documents and Settings\All Users\Application Data\hmxrx
C:\Documents and Settings\All Users\Application Data\hqnpqs
C:\Documents and Settings\All Users\Application Data\whj
C:\Documents and Settings\All Users\Application Data\yfuspw

C:\WINDOWS\pdmy.bnh
C:\WINDOWS\shvimjh.hqn
C:\WINDOWS\tblqan.thw

Dis-moi la taille du dossier compressé ensuite, je te donnerais selon les cas la procédure pour me le fournir.

Merci d'avance.
 

[laubea]

bonjour,
le fameux disque dur ne démarrant plus, ilm'a fallu une autre machine ppour aller chercher ces fichiers.
la taille du fichier compressé est de 750 Ko.
a bientôt

[hyunkel30]

Re,

OK, c'est bien peu je trouve ...

Tu as trouvé tous les fichiers et dossier que j'ai signalé ?
Notamment et surtout celui-ci ?
C:\Documents and Settings\Administrateur\Local Settings\Temp

S'il fait si peu, regarde dans ta prochaine réponse, en dessous du cadre de réponse, tu as l'option "Fichier joints et autres options"
Tu cliques sur le + et tu verras "joindre"
Tu sélectionne le fichier compressé puis "ajouter un fichier" en dessous
Et tu postes ta réponse.

Merci d'avance.
 

[laubea]

bonjour,
en effet, j'avais oublié le plus lourd.donc....apres ajout du fichier temp dans l'archive, mon fichier pèse 64 630 Ko.
a bientôt pour le lien de telechargement.

[hyunkel30]

Re,

Ok, mais là, donc ça ne passera plus sur le forum

Il faudrait me le transférer par ce service :
https://www.wetransfer.com/

Tu ajoutes le fichiers compressé

Tu me mets en adresse mail : hyunkel30[a]security-x.fr (tu remplaces [a] par @ )

Tu mets ton adresse mail, et tu valides le tout.

 

[laubea]

le transfert a été effectué...

[hyunkel30]

  Bien reçu, un grand merci à toi, encore désolé de n'avoir pu faire plus, mais face à ces infections, pas grand chose de possible ...

Pense surtout à l'avenir à bien tenir à jour ton système, tes logiciels et plugin de navigateur et suivre les conseils de sécurité :

• Attention lors de l'installation de logiciel :
  Veiller à toujours lire les conditions d'utilisation (CLUF), afin de déceler la gestion des données personnelles, l'installation de sponsors publicitaires ou tout autre atteintes à la vie privée. Refuser les toolbars et autres addons proposés.
  A lire ! et à lire
  
  
• Firefox et/ou Chrome offrent une meilleure sécurité par rapport à Internet Explorer, surtout si on les complète de quelques plugins très intéressant : Noscript et WOT par exemple. (pour Chrome : NoScript ; WOT )
  
  
• Maintenir ses logiciels et son système à jour :
  De nombreuses infections sont dû à des failles de windows, mais aussi de logiciel tiers, comme Sun Java, Adobe Acrobat Reader, etc
  Tu peux faire un scan de vulnérabilité pour connaitre tes logiciels présentant des failles non corrigées ou à mettre à jour.
  Ou utiliser un outil comme SXCU pour vérifier occasionnellement.
  
  Enfin, le plus important reste ton comportement sur ton PC, tu restes la plus importante protection : Évites les comportement à risque : P2P, cracks, téléchargements et installations douteux via des pubs, les messageries instantanées, ou des sites inconnu, sites pornographiques.
  A lire !
  Ici aussi !