Problem Suite a Un Virus Qui A Crypter Tout Mes Dossier Photo

[Yamato.K]

Et Aufaite J ai pas de photo original et j'ai 30 Gigas de photo et j ai tiens vraiment a les recupperé si quelque un sait m'aider svp

[chantal11]

Bonjour Yamato.K et bienvenue sur le forum,

Voilà, c'est mieux comme cela, comme je te l'ai expliqué en réponse à ton MP, on ne fait d'interventions en privé, c'est toujours au sein du forum.

Nous allons voir pour tes photos cryptées, mais tout dépend de la variante.

Quelle est l'extension de ces photos maintenant ? Ça se termine comment ?
Tu as un exemple pour une photo, comment est-elle nommée maintenant ?

Tu as lancé un outil pour neutraliser le ransomware ?
Il faudrait que tu postes les rapports que tu as obtenus.

On va déjà contrôler le système avec cet outil :

---------------------------------------------------------------------------------------------

  FRST :

• Sur cette page, télécharge la version FRST de Farbar, compatible avec ton système et enregistre le fichier sur ton Bureau
  Comment savoir quelle version 32 bits ou 64 bits est exécutée sur mon système ?
  
• Ferme toutes les applications, y compris ton navigateur
  
• Double-clique sur FRST.exe et clique sur Oui pour accepter le Disclaimer
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  
• Sur le menu principal, clique sur Scan et patiente le temps de l'analyse
  
  
• A la fin du scan, les rapports FRST.txt et Addition.txt sont créés.
  
• Héberge ces rapports sur ce site d'hébergement de fichiers et indique les liens fournis dans ta réponse. Aide en images
  Les rapports sont enregistrés au même emplacement que l'outil et sous C:\FRST\Logs

---------------------------------------------------------------------------------------------

Sont attendus les rapports :
 - des outils que tu as utilisés
 - FRST.txt et Addition.txt

@+

[Yamato.K]

http://up.security-x.fr/file.php?h=R155b6804b80b7d764ce1612921be8c67

[Yamato.K]

http://up.security-x.fr/file.php?h=R72fad48be00b2af2a7f0352603e86606

[chantal11]

Bonjour,

Je ne peux pas accéder aux rapports, tu as mis un mot de passe que je n'ai pas 

@+

[Yamato.K]

LE MOT DE PASSE EST 020285 VOILA TOUT LOL

[chantal11]

Re,

OK, j'accède au rapport FRST.txt que je vais regarder, mais le mot de passe ne fonctionne pas pour le 2ème rapport Addition.txt.

Tu peux l'héberger à nouveau sans mot de passe s'il te plaît ?

@+

[chantal11]

Re,

Je peux avoir le rapport Addition.txt s'il te plaît ?

@+

[Yamato.K]

http://up.security-x.fr/file.php?h=R155b6804b80b7d764ce1612921be8c67

[chantal11]

Re,

Non, je n'ai toujours pas accès, le mot de passe que tu m'as indiqué ne fonctionne pas, j'obtiens l'erreur Error 403: Forbidden

Pourquoi mets-tu un mot de passe ?
C'est inutile.

@+

[Yamato.K]

TENEZ           http://up.security-x.fr/file.php?h=R846791a80cc1962a118fa78d283c5677

[chantal11]

Re,

OK, j'ai bien accès au rapport cette fois-ci.

Il n'y a pas d'antivirus sur ce système ?

Avant de commencer la procédure, il faut que tu désinstalles ou supprimes tous les téléchargements et applications illégales, ainsi que les cracks.
Le danger des cracks !

Tu m'indiques quand c'est fait.

@+

[Yamato.K]

voila  j ai tout desinstaller ainsi que les  crack

[Yamato.K]

Ben je suis pret tout est desinstaller et crack supprimé

[chantal11]

Bonjour,

OK, alors on y va 

Pas d'antivirus sur ce système ?
Il faudra en installer un, nous verrons cela par la suite.

Ton système a été infecté car des failles de sécurité ont été exploitées, comme Java qui n'est pas à jour.
Nous nous en occuperons aussi par la suite.

---------------------------------------------------------------------------------------------

   Désinstalle via Panneau de configuration -> Programmes et fonctionnalités (si présents) :

Ask Toolbar
Giant Savings Extension
SpyHunter  http://forum.malekal.com/faux-blogs-securite-spyhunter-spyware-doctor-t12847.html

Windows Live Messenger (obsolète, a été remplacé par Skype)
Désinstalle aussi les autres modules de la suite Windows Live que tu n'utilises pas, hormis Windows Live Mail si utilisée :
Comment faire pour supprimer et réinstaller Windows Live

Si un programme ne veut pas se désinstaller, tu passes au suivant.

---------------------------------------------------------------------------------------------

  AdwCleaner - Suppression :

• Télécharge AdwCleaner de Xplode et enregistre le fichier sur ton Bureau
  
• Ferme toutes les applications, y compris ton navigateur
  
• Double-clique sur l'icône AdwCleaner.exe pour lancer l'installation
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  Sous IE9, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même
  
• Sur le menu principal, clique sur Suppression et patiente le temps de l'analyse
  
• A la fin du scan, un rapport AdwCleaner(S).txt s'ouvre. Poste ce rapport dans ta prochaine réponse
  Le rapport se trouve sous C:\AdwCleaner(S).txt

Tutoriel d'utilisation AdwCleaner en images

---------------------------------------------------------------------------------------------

  FRST - Correctif :

/!\ Crée un point de restauration manuel avant d'appliquer le correctif - Tutoriel en images /!\

• Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes)
  
• Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes
  
  

Code: [Sélectionner]

start
(Enigma Software Group USA, LLC.) C:\PROGRA~1\ENIGMA~1\SPYHUN~1\SH4SER~1.EXE
URLSearchHook: (No Name) - {05eeb91a-aef7-4f8a-978f-fb83e7b03f8e} - No File
SearchScopes: HKCU - {A8DF7F0B-2634-436A-94F5-CD91053DFC97} URL = http://www.claro-search.com/?q={searchTerms}&affID=114506&tt=4212_2&babsrc=SP_clro&mntrId=984bf2d800000000000000030d3c2145
SearchScopes: HKCU - {CFF4DB9B-135F-47c0-9269-B4C6572FD61A} URL = http://mystart.incredibar.com/mb192/?search={searchTerms}&loc=IB_DS&a=6PQN79c2Or&i=26
SearchScopes: HKCU - {EBE4001A-F976-4DD2-9115-864F9286F4E4} URL = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2851639
BHO: Giant Savings Extension - {11111111-1111-1111-1111-110211181110} - C:\Program Files\Giant Savings Extension\Giant Savings Extension.dll (215 Apps)
BHO: Ask Toolbar - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (Ask.com)
Toolbar: HKLM - Ask Toolbar - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (Ask.com)
Toolbar: HKCU -No Name - {05EEB91A-AEF7-4F8A-978F-FB83E7B03F8E} - No File
FF SearchPlugin: C:\Users\Yamato.K\AppData\Roaming\Mozilla\Firefox\Profiles\rlymmnii.default\searchplugins\MyStart Search.xml
FF SearchPlugin: C:\Users\Yamato.K\AppData\Roaming\Mozilla\Firefox\Profiles\rlymmnii.default\searchplugins\SweetIM Search.xml
FF Extension: Brouwse2saave - C:\Users\Yamato.K\AppData\Roaming\Mozilla\Firefox\Profiles\rlymmnii.default\Extensions\mstiui@zcwredl.net
FF Extension: Ask Toolbar - C:\Users\Yamato.K\AppData\Roaming\Mozilla\Firefox\Profiles\rlymmnii.default\Extensions\toolbar@ask.com
FF Extension: torntv2 - C:\Users\Yamato.K\AppData\Roaming\Mozilla\Firefox\Profiles\rlymmnii.default\Extensions\torntv2@torntv.com.xpi
FF HKLM\...\Firefox\Extensions: [{336D0C35-8A85-403a-B9D2-65C292C39087}] C:\Program Files\IB Updater\Firefox
FF HKLM\...\Firefox\Extensions: [{FE1DEEEA-DB6D-44b8-83F0-34FC0F9D1052}] C:\Program Files\IB Updater\Firefox
CHR Extension: (Brouwse2saave) - C:\Users\Yamato.K\AppData\Local\Google\Chrome\User Data\Default\Extensions\befceokockcdfbbpdpglnhhmfpgncoja\1
CHR Extension: (Giant Savings Extension) - C:\Users\Yamato.K\AppData\Local\Google\Chrome\User Data\Default\Extensions\halffneccaebicfdfajnbfgpglahfgoe\1.21.14_0
R2 SpyHunter 4 Service; C:\PROGRA~1\ENIGMA~1\SPYHUN~1\SH4SER~1.EXE [770432 2013-05-07] (Enigma Software Group USA, LLC.)
2013-07-03 18:26 - 2013-07-03 18:27 - 00000000 ____D C:\Program Files\Ask.com
2013-07-02 21:25 - 2013-07-02 21:25 - 00002252 ____A C:\Users\Yamato.K\Desktop\SpyHunter.lnk
2013-07-02 21:25 - 2013-07-02 21:25 - 00000000 ____D C:\sh4ldr
2013-07-02 21:25 - 2013-07-02 21:25 - 00000000 ____D C:\Program Files\Enigma Software Group
2013-07-02 21:23 - 2013-07-02 21:25 - 00000000 ____D C:\Windows\E89498D814304A2BA76A4A71326981E9.TMP
2013-07-02 21:23 - 2013-07-02 21:23 - 00000000 ____D C:\Program Files\Common Files\Wise Installation Wizard
2013-07-02 21:21 - 2013-07-02 21:21 - 00726464 ____A (Enigma Software Group USA, LLC.) C:\Users\Yamato.K\Downloads\SpyHunter-Installer.exe
Task: {3E800FD4-AC78-4C0D-96F0-E56FCE2EFBA9} - System32\Tasks\Scheduled Update for Ask Toolbar => C:\Program Files\Ask.com\UpdateTask.exe [2010-02-04] ()
Task: {C4A14E82-8764-46A3-BC4F-44B5B1CE7ADF} - System32\Tasks\SpyHunter4Startup => C:\Program Files\Enigma Software Group\SpyHunter\Spyhunter4.exe [2013-05-07] (Enigma Software Group USA, LLC.)
Task: {E071C9E5-F918-473E-80BD-5F768C259122} - System32\Tasks\4921 => C:\Windows\System32\wscript.exe [2009-07-14] (Microsoft Corporation)
Task: {EF162A19-D3F1-4997-A0DB-EECD265DDC3C} - System32\Tasks\0 => c:\program files\internet explorer\iexplore.exe [2013-06-26] (Microsoft Corporation)
end

• Enregistre le fichier sur ton Bureau (au même endroit que FRST) sous le nom fixlist.txt
  
• Ferme toutes les applications, y compris ton navigateur
  
• Double-clique sur FRST.exe
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  
• Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
  
  
• L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\

--------------------------------------------------------------------------------------------------------------

  Malwarebytes Anti-Malware :

• Télécharge Malwarebytes Anti-Malware et enregistre le sur le Bureau
  
• Double-clique sur le fichier mbam-setup.exe pour lancer l'installation
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  
• A la fin de l'installation, veille à ce que l'option Mettre à jour Malwarebytes' Anti-Malware soit cochée
  
• Clique sur Terminer
  
• Lance Malwarebyte's en double-cliquant sur l'icône sur le bureau
  /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  
• Les Mises à jour se téléchargent, puis ouvre Malwarebyte's
  
• Dans l'onglet Paramètres, puis Paramètres d'examen, sélectionne Afficher dans les résultats, pré-coché pour suppression pour les 2 actions Programmes potentiellement indésirables (PUP) et Modifications potentiellement indésirables (PUM)
  
• Dans l'onglet Recherche, coche Exécuter un examen complet puis clique sur Rechercher
  
• Sélectionne ton disque dur, puis clique sur Lancer l'examen
  
• A la fin du scan, clique sur Afficher les résultats
  
• Pour supprimer les éléments détectés, clique sur Supprimer la sélection
  
• Si un redémarrage est demandé, clique sur Yes
  
• Le rapport mbam-log[date-heure].txt s'ouvre. Poste ce rapport dans ta prochaine réponse

Tutoriel d'utilisation Malwarebytes en images

----------------------------------------------------------------------------------------------

Sont attendus les rapports :

• AdwCleaner(S).txt
  
• Fixlog.txt
  
• mbam-log[date-heure].txt

@+

[Yamato.K]

Voici le rapport AdwCleaner[R1] http://up.security-x.fr/file.php?h=R0f06be2efceae403031d869feeeff2f7

[Yamato.K]

Voici le rapport mban http://up.security-x.fr/file.php?h=R2e7cc7960c42b326b2b678178fc92b24

[Yamato.K]

et pour le Fixlist il ne vaut pas le mettre mais mise appart cela j'ai tout suivi a la lettre comme vous me l'avez demander

[chantal11]

Re

J'ai besoin du rapport fixlog.txt

Il faut donc faire la procédure indiquée avec le fixlist.txt

Je réponds de mon téléphone,  je ne pourrais regarder les rapports que ce soir.

[Yamato.K]

ok il y a pas de soucie j'ai tout fait mais le fixlog ben il me dit tjr que il y a une erreure il veux pas apparament chez pas comment je peux faire autrement

[chantal11]

Re,

il me dit tjr que il y a une erreure

Qui ?
l'outil FRST ?
ou au moment d'héberger le rapport sur le site d'hébergement ?

Tu peux copier/coller le contenu du rapport Fixlog.txt dans ta prochaine réponse.

@+

[Yamato.K]

j ai un problem avec loutil frst il refusse de me faire le fistlist.txt

[chantal11]

Re,

Il faut que le fichier fixlist.txt soit enregistré au même endroit que FRST.

Dans ton cas, tu as FRST enregistré dans le dossier Téléchargements.
Il faut donc que ton fichier fixlist.txt soit enregistré aussi dans le dossier Téléchargements.
Puis tu exécutes FRST par clic-droit -> Exécuter en tant qu'administrateur

Refais la procédure pour appliquer le correctif et poste le rapport fixlog.txt.

@+

[Yamato.K]

ben voila j'ai reussie a avoir le fixlog voici le lien  http://up.security-x.fr/file.php?h=R8071a0d9298dfb4b043623943595b5c2

[chantal11]

Re,

OK pour le Fixlog.

Pour AdwCleaner, tu m'as posté un rapport de recherche.
Je t'avais demandé de passer l'outil directement en mode Suppression.

Tu peux le faire s'il te plaît et poster le nouveau rapport ?

On va y arriver   

[Yamato.K]

Voici le lien pour le rapport de adw http://up.security-x.fr/file.php?h=R32a7a09dfb619662c7f0d91758f71dd1

[chantal11]

Re,

OK pour le dernier rapport.

Nous allons faire une analyse de contrôle avec FRST, comme indiqué ici -> http://forum.security-x.fr/desinfections/problem-suite-a-un-virus-qui-a-crypter-tout-mes-dossier-photo/msg98928/#msg98928
Si l'outil te signale qu'une nouvelle version est disponible, il te faut accepter et télécharger la nouvelle version.

Seul un nouveau rapport FRST.txt sera créé, tu le postes dans ta prochaine réponse.

---------------------------------------------------------------------------------------------

  Installe la dernière version Java :

Télécharge et installe cette dernière version Java

---------------------------------------------------------------------------------------------

Pour tes photos cryptées, tu n'as pas répondu à ces questions :

Quelle est l'extension de ces photos maintenant ? Ça se termine comment ?
Tu as un exemple pour une photo, comment est-elle nommée maintenant ?

D'autre part as-tu tenté déjà des outils pour décrypter ces photos ?

@+

[Yamato.K]

je vous envoi une photo avec l'extension et les photo en elle meme http://up.security-x.fr/file.php?h=R8675b19117873a1f2552de8a525e0fc8 

ps j'ai deja essayer l outils kapersky et dr web

[chantal11]

Re,

Tu n'as pas posté le nouveau rapport FRST.

Pour les photos cryptées, la plupart des outils de décryptage nécessitent au moins un original pour déterminer la clé de cryptage.

Tu es sûr de ne pas avoir un original quelque part, en PJ dans un mail envoyé ou reçu, une sauvegarde ..... ?

@+

[Yamato.K]

ben en gros je sait que il me faut l'original mais tout se que il a ete prie j'ai un dossier 317 mega et le virus 319 mais les date corresponde les heure aussi mais pas la taille du fichier

[chantal11]

Re,

Tu peux me poster le nouveau rapport FRST s'il te plaît ?

@+

[Yamato.K]

voila le rapport frst  http://up.security-x.fr/file.php?h=R54860e939148bd496099bea1e756fbf5

[chantal11]

Re,

Je suis désolée d'insister, mais ça vient d'où ceci ?

Code: [Sélectionner]

2013-07-02 18:25 - 2013-07-02 18:52 - 00000000 ____D C:\Users\Yamato.K\Downloads\Windows 8 PRO DVD x32 x64 French-SubZero
2013-07-02 18:18 - 2013-07-02 18:20 - 00000000 ____D C:\Users\Yamato.K\Downloads\windows seven + crack
2013-07-02 18:12 - 2013-07-02 18:54 - 3190749184 ____A C:\Users\Yamato.K\Downloads\Windows Vista X86 SP2 FRENCH OEM (All Editions) By FARGOUS.iso
2013-07-02 18:09 - 2013-07-02 18:32 - 659290112 ____A C:\Users\Yamato.K\Downloads\XP-French.iso
Tu avais dit avoir supprimé tous les téléchargements illégaux.

@+

[Yamato.K]

Je vien de tout mettre dans mon disque dur externe j ai plus rien mnt

[chantal11]

Re,

Je vien de tout mettre dans mon disque dur externe j ai plus rien mnt

Oui, enfin, tu les as en fait juste déplacer sur un disque externe , tu n'as rien supprimé.
Tu comptes bien utiliser ces téléchargements illégaux.
Tu te moques de moi !

Et ce Windows 7 sur lequel nous travaillons, est-il légal ?

Il ne faut pas s'étonner ensuite de récolter des infections coriaces.

Pour tes fichiers cryptés, d'après la capture que tu as postée, cela semble la variante pour laquelle il n'y a pas de solution pour décrypter les fichiers.
Tu peux tenter de faire parvenir un fichier crypté au laboratoire Dr Web par exemple pour analyse :

Les spécialistes de Doctor Web ont élaboré un utilitaire permettant de décoder les données. L’utilitaire est gratuit. Si les données restent codées après son utilisation, adressez-vous au Laboratoire Doctor Web pour faire analyser un fichier suspect à la rubrique « Soumettre un fichier suspect ». Ce service est gratuit.

[Yamato.K]

ben il dois y avoir une solution de tout facon le windows 7 il est officiel donc voila chez pas comment je vais essayer de decrypter cela 

[chantal11]

Re,

il dois y avoir une solution

Oui, celle que je t'ai indiqué, de faire parvenir une ou deux photos cryptées, pour analyse, à des éditeurs d'antivirus comme Dr.Web par exemple.

En plus je ne sais pas du tout comment tu t'es débarrassé du ransomware, il n'y a donc aucun échantillon à récupérer pour tester.

le windows 7 il est officiel

Quand je vois ceci
C:\Users\Yamato.K\Downloads\windows seven + crack
j'en doute fort !

De plus, aucun antivirus sur ce système .... pour quelle raison ?

[Yamato.K]

ben c normal aufaite ca sait pas passer sur mon pc mais sur celui de mon cousin et il a mie tt sur son isue dur externe le dossier virus et il me la donner a moi pour essayer de les decrypter et le con il avais laisser un autre disque dur externe avand celui ci et il sait fait infecter aussi c pour cela que j'ai aucun trace chez moi ca sait pas passer sur mon pc

[chantal11]

Re,

Fais un effort pour écrire en bon français, s'il te plaît.
Le style télégraphique, SMS ou autre est proscrit sur le forum.

ca sait pas passer sur mon pc

Tu ne penses pas que c'est une information que tu aurais pu me donner dès le départ ?

N'empêche que les téléchargements illégaux, ils sont bien sur ton PC, et que l'absence d'antivirus c'est bien sur ton PC.

Pour en revenir aux photos cryptées, si aucun des outils de décryptage ne fonctionne (ce qui semble logique si le fichier crypté est plus lourd que l'original), la seule solution est de faire parvenir quelques photos cryptées à un éditeur d'antivirus, comme indiqué précédemment.

@+