impossible d'ouvrir mes fichiers!!

[keredo]

bjr de la bretagne nord , jai un copain qui a  ete voire  dans mon ordi il ma dit que j'avait choper  "CRYPTOWALL.TRACE_DECRYPT" il pârait que c'est un dure de dure virus que faire docteur? je ne suis pas specialiste! de ca!!

[hyunkel30]

Bonjour keredo,

Bienvenue sur Security-X,

Effectivement, Cryptowall fait partie des ransmoware crypteur, des famille d'infection qui prennent en otage les fichiers contre une rançon.
A l'heure actuelle, il n'y a aucun moyen de récupérer ces fichiers, car ils sont chiffré avec une clé unique quasiment impossible à déchiffrée avec des moyens "normaux"

La seule chose possible est de supprimer l'infection sur le système.

 

[TCM]

Salut Hyunkel et salut Keredo.

Désolée de m'immiscer dans la conversation mais j'ai un gros doute vu que Keredo (je crois) vient de me parler au tél de copier un contenu de bloc-note sur son bureau vers FRST etc.
Et à lire ce fil et le suivant, il me semble qu'il y a un peu de mélange...
"Keredo" : suis les instructions de Hyunkel sur ce seul sujet de conversation ; le reste ne concerne pas ton ordi.
Apparemment, il faut "supprimer l'infection sur le système"... Hyunkel va te donner des instructions ici si c'est possible.

Et pense à lui demander de vérifier tes extensions (disques durs externes, clés etc.)

Biz à tous

[hyunkel30]

  Bonjour TCM,

C'est toujours compliqué quand on a plusieurs interlocuteurs c'est sûr ...
Mais si les fichiers ne s'ouvrent plus, c'est pratiquement certain que ce soit ce que je dis, donc aucun moyen de les récupérer, on peut juste supprimer l'origine de l'infection.

à faire dans ce cas là :

Télécharge Farbar Recovery Scan Tool (de Farbar) sur ton Bureau.

Attention: Tu dois lancer la version compatible avec ton système : 32 ou  64bits.

Clique ici pour la version 32 bits
Clique ici pour la version 64 bits

Info : comment savoir quelle version j'utilise ?

Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même

• Double-clique sur l'outil pour le lancer. Quand l'outil se lance, clique sur Yes pour accepter le disclamer.
  
• Clique sur le bouton  Scan.
  
• L'outil va créer un rapport nommé FRST.txt, enregistré dans le même dossier que l'outil.
  
• A son premier lancement, l'outil va aussi créer un fichier nommé Addition.txt).

Poste les deux rapports générés.

• Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
  Une aide à l'utilisation ici
  

[keredo]

ok ,  merci, mais comment procéder pour supprimer l'infection

[hyunkel30]

  Faire déjà la procédure demandée dans ma réponse précédente pour commencer un premier diagnostic

[keredo]

voici le deuxieme rapport  http://up.security-x.fr/file.php?h=R449fc34efb43265ec06e1feec24143f5

[hyunkel30]

Re,

Il me manque le rapport Addition.txt s'il te plait, il se trouve ici :
C:\Documents and Settings\François\Mes documents\Addition.txt

Une autre question, c'est bien sur le pc sur lequel tu viens de faire l'analyse qu'est l'infection et les fichiers impossibles à ouvrir ?

[keredo]

http://up.security-x.fr/file.php?h=R7023ed92752d3cc74e540c706b3021de voici  l'autre rapport

[keredo]

http://up.security-x.fr/file.php?h=R7023ed92752d3cc74e540c706b3021de   deuxieme papport

[hyunkel30]

Re,

Je sais que ces situations sont toujours stressantes, mais il faut faire les procédures calmement, et bien lire tout ce que je demande, et au besoin demander si tu ne comprends pas quelque chose. Inutile de se précipiter.

Par exemple, tu postes deux fois pour le même rapport, mais tu ne réponds pas à ma question :

c'est bien sur le pc sur lequel tu viens de faire l'analyse qu'est l'infection et les fichiers impossibles à ouvrir ?

[keredo]

oui oui  ce probleme est bien sur   le pc  en question   

[keredo]

pas d souci  on va esseyer d y aller  cool si je reussit je serait  bien contant car je ni  connais rien!!  merci encore!!

[hyunkel30]

Re,

Ok, à suivre :


1) Désinstalle les programmes suivants dans ta liste des programmes (si présents) :

Note : Si tu rencontres une erreur passe au suivant et poursuis la procédure

- Google Toolbar for Internet Explorer (barre d'outil, sauf réel intérêt)

- Advanced File Optimizer (adware : sponsor publicitaire)
- coupONpEak (adware)
- ddealstEr (idem)
- Humble New Tab Page (idem)
- leass2Pay (idem)
- shopndropp (idem)
- SofTCoup (idem)

• Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes)
  
• Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes
  
  

Code: [Sélectionner]

start
CloseProcesses:
EmptyTemp:
CreateRestorePoint:
C:\Documents and Settings\François\Local Settings\Application Data\Conduit
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:373E1720
StandardProfile\AuthorizedApplications: [C:\Program Files\SweetIM\Communicator\SweetPacksUpdateManager.exe] => Enabled:SweetPacksUpdateManager
C:\Program Files\SweetIM
HKLM\...\Run: [uptt4fr7.exe] => C:\Documents and Settings\François\Local Settings\Application Data\tuto4pc_fr_7\uptt4fr7.exe -runhelper
C:\Documents and Settings\François\Local Settings\Application Data\tuto4pc_fr_7
HKLM\...\Run: [Advanced File Optimizer] => [X]
HKU\S-1-5-21-854245398-583907252-839522115-1004\...\Run: [msnmsgr] => ~"C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
HKU\S-1-5-21-854245398-583907252-839522115-1004\...\Run: [MSMSGS] => "C:\Program Files\Messenger\msmsgs.exe" /background
HKU\S-1-5-21-854245398-583907252-839522115-1005\...\Run: [msnmsgr] => "F:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
Startup: C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Raccourci vers Analyse virus jf.lnk [2015-05-29]
ProxyEnable: [.DEFAULT] => Internet Explorer proxy is enabled
ProxyServer: [.DEFAULT] => http=127.0.0.1:1934;https=127.0.0.1:1934;
URLSearchHook: [S-1-5-21-854245398-583907252-839522115-1004] ATTENTION ==> Default URLSearchHook is missing.
URLSearchHook: HKU\S-1-5-21-854245398-583907252-839522115-1004 - (No Name) - {EEE6C35D-6118-11DC-9C72-001320C79847} - No File
URLSearchHook: HKU\S-1-5-21-854245398-583907252-839522115-1005 - (No Name) - {cfcb809c-3a22-4616-a916-6c007bd9d920} - No File
HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs: "about:newtab" <======= ATTENTION
SearchScopes: HKU\S-1-5-21-854245398-583907252-839522115-1004 -> {AFDBDDAA-5D3F-42EE-B79C-185A7020515B} URL =
BHO: No Name -> {cfcb809c-3a22-4616-a916-6c007bd9d920} -> No File
Toolbar: HKLM - No Name - {cfcb809c-3a22-4616-a916-6c007bd9d920} - No File
Toolbar: HKU\S-1-5-21-854245398-583907252-839522115-1004 -> No Name - {CFCB809C-3A22-4616-A916-6C007BD9D920} - No File
Toolbar: HKU\S-1-5-21-854245398-583907252-839522115-1005 -> No Name - {CFCB809C-3A22-4616-A916-6C007BD9D920} - No File
FF SelectedSearchEngine: sweet-page
FF SearchPlugin: C:\Program Files\mozilla firefox\browser\searchplugins\sweet-page.xml [2015-04-02]
S1 aweptubr; \??\C:\WINDOWS\system32\drivers\aweptubr.sys [X]
S1 cgrehdes; \??\C:\WINDOWS\system32\drivers\cgrehdes.sys [X]
S1 fqkunsfp; \??\C:\WINDOWS\system32\drivers\fqkunsfp.sys [X]
S1 gbxekzds; \??\C:\WINDOWS\system32\drivers\gbxekzds.sys [X]
S1 gesgqeux; \??\C:\WINDOWS\system32\drivers\gesgqeux.sys [X]
S1 hitizrkh; \??\C:\WINDOWS\system32\drivers\hitizrkh.sys [X]
S1 jvrvbkyh; \??\C:\WINDOWS\system32\drivers\jvrvbkyh.sys [X]
S1 qtpqrnzg; \??\C:\WINDOWS\system32\drivers\qtpqrnzg.sys [X]
S1 suauwjnh; \??\C:\WINDOWS\system32\drivers\suauwjnh.sys [X]
end

• Enregistre le fichier sur ton Bureau (au même endroit que FRST) sous le nom fixlist.txt
  
• Ferme toutes les applications, y compris ton navigateur
  
• Double-clique sur FRST.exe
  
• Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
  
  
• Le pc va demander à redémarrer, accepte.
  
• L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\

[keredo]

bjr alors!! jai bien mois le fichier sur mon bureau sous le nom de fixlist.txt  apres jai mis aussi sur mon bureau Frst.exe  alors quand je clic sur   fix  voici  le message que l'on me met   Farbar recovery scan tool  N .fixlist.txt found        the fixlist.txt shouldbe  in the same folder/directory  the tool is located                                                                                                         

[hyunkel30]

Re,

Cela indique que le fichier de correction fixlist n'est pas au même endroit que FRST.exe

Ce dernier est ici :
C:\Documents and Settings\François\Mes documents\Téléchargements

C'est donc probablement qu'un raccourci que tu as sur le bureau, il faut faire la procédure dans le dossier "téléchargements", ou copier FRST.exe sur ton bureau

 

[keredo]

alors jai bien copier les deux fichiers sur mon bureau  FRST  quand je  l'ouvre le dossier est bien dedans      sur le bureau toujours je clique sur frst. exe   l l'necart souvre bien avec  la case fix  je clique dessus et  toujours le meme message!!!

[keredo]

 ji fait la meme manipe dans le dossier telechargement les fichiers sont bien la   mais  toujours le meme message!!

[hyunkel30]

Re,

C'est que soit le fichier n'est pas nommé comme il faut (fixlist.txt), soit FRST.exe (et non .txt qui est un rapport), n'est pas au même endroit que le fichier fixlist.txt, il n'y a pas d'autre raison

Refais calmement et entièrement la procédure, au besoin, télécharge de nouveau FRST.exe et cette fois-ci enregistre-le directement sur ton bureau.

 

[keredo]

http://up.security-x.fr/file.php?h=R7efe40f9fae7e8804698bb2244737eeb   ouff voici le fameux rapport je m'etai planter sur  l'endroit    du fichier je restait sur telechargement il fallait  effectivement que  je  selectionne bureau!! ouff ca yest   je patauge pas mal!! lol 

[hyunkel30]

Re,

Ok pour le rapport.

Tu avais déjà utilisé Malwarebyte's sur ce pc ?
Il avait nettoyé des trucs non ? car je ne vois pas les fichiers normalement associé à cette infection ...

Peux-tu me fournir le rapport Malwarebyte's de sa dernière analyse ? (n'en refais pas une nouvelle ! )

• Suis le tutoriel suivant pour exporter le rapport
  
• Poste-le dans ta prochaine réponse.
• Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
  Une aide à l'utilisation ici
  

[keredo]

http://up.security-x.fr/file.php?h=R608e0a505e0673df29fc35fbd87b7272      le voici en effet  tu a raison  javais fait tellement de trucs pour retouver mes fichiers perdues!!!

[hyunkel30]

Re,

Ok, j'avais un doute, mais là, c'est bien cryptowall ...

Pour voir ce qui a été encrypté :

Télécharge cet outil :
http://www.bleepingcomputer.com/download/listcwall/

Double-clic dessus pour le lancer

Poste-moi le rapport qui va être créé sur ton bureau : ListCWall.txt

• Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
  Une aide à l'utilisation ici

[keredo]

alors la encore un truc nouveau !! jai bien  telecharger le fichier en question , des que je veux 'lexecuter  un petit ecran noir apparait bien avec  un rapport  avec a cote un message qui dit    no fofiles encrypted by cryptowall were found  in the registry  et faire  ok en desous  la tout disparait une fois que 'lon a fait ok! donc je ne peux le poster apparemment il  l'arrive pas   a se lancer completement pour me faire un rapport utilisable!

[hyunkel30]

Re,

Non, il est plutôt probable qu'il ne repère pas la clé de registre qui permet de récupérer la liste des fichiers crypté, car Malwarebyte's ou autre l'ont peut-être supprimée, c'est pour ça que cela m'embête quand on vient ici après avoir fait soi-même plusieurs manipulations

Niveau infection, on est ok, néanmoins on reste au même point pour les fichiers.

Je voulais une

liste pour voir afin de les récupérer par un autre moyen, car je vois que tu as Dropbox d'installé
Tu l'as déjà utilisé et activé ? (c'est un service de Cloud/sauvegarde en ligne)

[keredo]

non je me souviens pas davoir utilise  ce fichiers de sauvegarde en ligne pourquoi  ? il faux que  je l'utilise ?

[keredo]

ha oui effectivement je  le vois sur mon bureaux!! exact!!

[keredo]

 c est vrais jai fait plein de manips et en plus  jy connais rien alors t(imagine le chantier!!  !! on est pas sortie de  l'auberge!! 

[keredo]

en fait je viens de  cliquer sur dropfox et je  vois que je  n'avait pas fini son installation ! il est sur le bureau mais pas actif!

[keredo]

de plus   je n'arrive pas non plus a imprimer ce me met ,, impossible d'imprimer le document,,  alors que  tout est bien brancher et connecter il y a til  un line avec le probleme des fichiers perdue ??

[hyunkel30]

Re,

Ce serait possible d'éviter les multi-post d'affilé ?
Répond en une seule fois avec toutes les informations nécessaires.

Si Dropbox n'est pas actif, et que tu ne possèdes aucune sauvegarde, alors tes fichiers sont perdus.

Nous encourageons toujours les utilisateurs à faire régulièrement des sauvegardes pour éviter ce genre de drame ...

Ton pc n'est plus infecté, mais nous ne pourrons rien faire pour tes documents.
Pour le soucis d'impression, oui il est possible que le chiffrement de tes données ai engendré des problèmes, il faudra voir à réinstaller ton imprimante.

Désolé,

 

[keredo]

ok merci  pour tout je reinstalle 

[keredo]

encore une petit question qqmeme si je derange pas!!   pendant que   l ordi etait infecter  jy ai brancher une cle usb avec des photos  ya til un risque  que la cle  a recu des dommages si oui comment le savoir et la reparer ,   merci

[hyunkel30]

Re,

Si les disque dur/clé usb étaient branché durant la phase de chiffrement des fichiers, ils peuvent avoir été touché, mais l'infection ne sera pas active dessus, donc tu peux les rebrancher sans danger, et voir si tu as accès aux fichiers qu'ils contiennent ou pas.