Fichiers Microsoft Office + pdf corrompus

[mazoun]

Bonjour,
la totalité de mes fichiers word, Excel, ppt etc sont modifiés à la même date.
J'obtiens un message du type "impossible d'ouvrir le fichier XXX car son extension ou son format n'est pas valide..."
En cherchant sur le forum, j'ai l'impression que mon souci est lié à un ransomware mais aucune certitude vu que je n'ai aucun message faisant état d'une demande de rançon.
Je m'en remets donc à votre expertise et vous remercie par avance de votre aide pour identifier la cause, la neutraliser et surtout nous aider à recouvrer nos fichiers pour lesquels nous n'avons aucune sauvegarde (10 ans d'archives )

[mazoun]

Je suis désolé, mais je viens de voir que mon message manque de précisions.
Tout d'abord, je complète le titre vu que mes photos jpg sont également corrompues.
Mon système d'exploitation est Windows 7 intégral 32 b.
J'ai fais des scans avec kaspersky mais ne comprends pas grand chose à ce qu'il remonte.
J'espère que vous pourrez m'aider.

[hyunkel30]

Bonsoir,

Bienvenu sur Security-X,

Effectivement, vu ce que tu décris, cela ressemble fortement à une infection par ransomware.

Je m'en remets donc à votre expertise et vous remercie par avance de votre aide pour identifier la cause, la neutraliser et surtout nous aider à recouvrer nos fichiers pour lesquels nous n'avons aucune sauvegarde (10 ans d'archives )

ça c'est vraiment une erreur, il faut toujours faire des sauvegardes, ne serais-ce que parce qu'un disque dur qui plante, c'est courant aussi ...

à faire pour un premier diagnostic :

Télécharge Farbar Recovery Scan Tool (de Farbar) sur ton Bureau.

Attention: Tu dois lancer la version compatible avec ton système : 32 ou  64bits.

Clique ici pour la version 32 bits
Clique ici pour la version 64 bits

Info : comment savoir quelle version j'utilise ?

Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même

• Double-clique sur l'outil pour le lancer. Quand l'outil se lance, clique sur Oui pour accepter le disclaimer.
  
• Clique sur le bouton  Analyser.
  
• L'outil va créer un rapport nommé FRST.txt, enregistré dans le même dossier que l'outil.
  
• A son premier lancement, l'outil va aussi créer un fichier nommé Addition.txt).

Poste les deux rapports générés.

• Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
  Une aide à l'utilisation ici
  

[mazoun]

Bonsoir,
merci pour ton aide.
Je fais de suite ce qui est demandé et reviens vers toi.

[mazoun]

Bonsoir,
voici les liens demandés
FRST = >
https://up.security-x.fr/file.php?h=R2d39c6d32818de5c9a93f04934098d40

Addition = > https://up.security-x.fr/file.php?h=Rfe40211fc7bfa14c78a927e0cd0b56e9

Merci encore

[hyunkel30]

Re,

C'est un pc professionnel ?

[mazoun]

Re,
Non perso

[hyunkel30]

Re,

Task: {6F3200E2-256D-42F3-8299-2606769EA917} - \AutoKMS -> Pas de fichier <==== ATTENTION

Activateur illégal de Windows et/ou Office ...

C'est quoi qui est cracké ? le système Windows 7 ou Office pro ?


Pour le reste, aucune trace de l'infection, donc difficile de dire si c'est un ransomware ou pas.

C'est arrivé comment ?
Suite à l'ouverture d'une pièce jointe d'un mail ou autre ?

[mazoun]

Windows 7 cracké mais Office pro officiel.
Je n'ai vraiment aucune idée de comment cela s'est produit.
Ma fille m'a dit qu'elle a eu une page web alerte infection vers 7h30 le 22 février à partir de mon pc principal sur lequel il y avait 3 Disques durs.
Tous les fichiers Excel de ce pc sont modifiés le 22/02 à 9h11, les word à 9h20 , les ppt 9h36 ...
J'ai pensé à un problème avec office alors je l'ai remis à jour puis après une tentative de redémarrage, le pc ne voulait plus redémarrer car le DD où il y avait le système n'est plus reconnu.
Du coup j'ai transféré les deux autres disques sur mon pc secondaire, celui duquel je t'écris actuellement et qui a été scanné.
Sais tu s'il est possible de récupérer les fichiers ? Merci

[hyunkel30]

Re,

Sache déjà qu'en temps normal, nous ne prenons pas en charge les systèmes activés illégalement, cela pour des raisons légales, éthiques, et techniques (risque de plantage lié au procédure )

Sur les rapports, on voit effectivement des modifications sur des fichiers aux dates que tu indiques, mais rien n'indique l'infection (ransomware ou pas), donc impossible de dire si c'est récupérable ou pas. Probable aussi que le changement de disque fasse qu'on a pas les fichiers infectieux du système initialement touché.

Peux-tu me fournir un des fichier illisible (un qui ne soit pas sensible, ne contient pas de donées perso, etc ...) sur cette adresse mail :
hyunkel30 a security-x.fr (tu enlèves les espace et remplace le "a" par @ )

[mazoun]

Re,
je viens de t'envoyer deux fichiers une version Ok récupérée d'un mail et une version KO.
Merci

[hyunkel30]

Re,

Le fichier est crypté, c'est certain, mais rien ne me permet de définir quelle variante de ransomware.

Dans tous les cas, il y a très peu de variante de ransomware à l'heure actuelle qui ont une solution de décryptage.
Désolé.

Pour définir la variante, il me faudrait des infos du système initialement infecté, on peut le tenter par LiveCD/USB si le système ne démarre plus
Mais si c'est le disque qui est endommagé comme tu disais, non.

à tester sinon :


Télécharge Farbar Recovery Scan Tool x64 (de Farbar) et enregistre-le sur une clé USB.

Note : si le téléchargement ne démarre pas automatiquement, cliquer sur "click here"

Branche la clé USB dans le PC infecté.

Ouvre les Options de récupération système.

Pour ouvrir les Options de récupération système depuis les Options de démarrage avancées:

• Fait redémarrer le PC.
• Dès que le BIOS est chargé, commence à tapoter sur la touche F8 jusqu'à l'apparition des Options de démarrage avancées.
  
• Utilise les flèches du clavier pour sélectionner l'élément de menu Réparer l'ordinateur.
  
• Choisis Français comme paramètre de langue et de clavier, puis clique sur Suivant.
  
• Sélectionne le système d'exploitation à réparer, puis clique sur Suivant.
  
• Sélectionne ton compte d'utilisateur et clique sur Suivant.

Dans le menu Options de récupération système tu verras les options suivantes:
Réparation du démarrage
Restaurer le système
Restauration de l'ordinateur Windows
Outil Diagnostics de la mémoire Windows
Invite de commandes

• Sélectionne Invite de commandes
  
• Dans la fenêtre de commande, tape notepad puis appuie sur Entrée.
  
• Le Bloc-notes s'ouvre. Dans le menu Fichier, sélectionne Ouvrir.
  
• Clique sur "Poste de travail"/"Ordinateur", cherche la lettre associée à la clé USB et ferme le Bloc-notes.
• Dans la fenêtre de commande, tape e:\frst64 puis appuie sur Entrée
  Note: Remplace la lettre e par la lettre de lecteur associée à la clé USB au besoin.
  
• L'outil va commencer à s'exécuter.
• Au démarrage de l'outil, à l'affichage du message "Disclaimer of warranty" clique sur Oui.
• Puis clique sur le bouton Analyser.
  
• Ceci va créer un rapport d'analyse (FRST.txt) sur la clé USB. Copie/colle ce rapport dans ta réponse.

• Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
  Une aide à l'utilisation ici
  
  

[mazoun]

Re,
je n'ai pas pu faire ce que tu as demandé mais j'ai pu brancher le disque supposé infecté en usb et lancer un scan avec FRST
Ci-dessous les deux liens vers FRST et addition
J'espère que cela nous en dira plus...

https://up.security-x.fr/file.php?h=R06eff8810716ae477db5b7f0b6ef3863
https://up.security-x.fr/file.php?h=Rc2b13dee92dc56e8a08f11f127299b54

Dis moi si je dois m'y prendre autrement pour le scan.

Merci

[mazoun]

Bon en regardant de plus près, j'ai trouvé un lien htm bizarre créé à 9h10 soit 12 min avant la corruption de mes docs words.
Il s'agit du Spora Ransomware 
J'espère que pour celui-ci on a une chance de décrypter les fichiers !
Dans tous les cas, j'ai déconnecté le DD infecté. Il faudra le désinfecter je pense mais je n'ose plus rien faire !

A te lire.

Merci encore pour ton aide

[hyunkel30]

Re,

Alors désolé, mais il fait parti de la grande liste de ceux qui n'ont aucun moyen à l'heure actuelle pour décrypter :
http://www.silicon.fr/spora-ransomware-chiffre-hors-connexion-pique-marketing-167165.html

Comme toujours, l'infection est initialement issue de l'ouverture d'une pièce jointe de mail
Il faudra faire la leçon aux utilisateurs du pc.

Pour le reste, tu normalement peu de chance pour que le ransomware soit encore actif après son chiffrement des données.

Néanmoins, on peut vérifier cela en me fournissant le rapport comme demandé précédemment, mais il faut que ce soit à partir du système touché, cela ne marchera pas si tu lances depuis un autre système.
En effet dans ce cas là, je n'ai pas accès au donnée du système touché, mais seulement celui actif.

 

[mazoun]

Bonjour,
C'est bien ce qui me semblait. J'ai été sur le site de spora.Ils me donnent 5 jours avant suppression de la clé de décryptage disponible pour 250 dollars.
Penses tu qu'il y a une chance d'avoir un décrypter publié vu la méthode utilisée ?
Concernant le rapport je n'arrive pas à l'exécuter à partir du système infecté. Il est inaccessible.
Merci pour ton aide.

[hyunkel30]

Re,

Je ne peux choisir pour toi.

Personnellement je suis contre la paiement des rançons, car tu n'as aucune certitude de récupérer les données malgré tout. (et pour d'autres raisons, plus éthiques)

Concernant le rapport je n'arrive pas à l'exécuter à partir du système infecté. Il est inaccessible.
Merci pour ton aide.

Malgré la méthode donnée, via la console de récupération ?

[mazoun]

Re ,
Oui au démarrage le disque n'est pas reconnu.
Je ne le vois même pas dans le BIOS.
C'est comme ça une fois sur deux. Quand il est reconnu, il ne s'affiche pas dans la liste des partitions windows.je ne sais pas si je suis clair.
Sinon j'ai vu sur le site de dr Web une proposition de décryptage avec vente de licence à 150 euros. Éditeur russe tu connais ? Qu'en penses tu?
Merci

[hyunkel30]

Re,

Alors c'est que tu as de manière non liée à cette infection, un souci de disque, là je ne peux rien faire, c'est matériel.

Sinon j'ai vu sur le site de dr Web une proposition de décryptage avec vente de licence à 150 euros. Éditeur russe tu connais ? Qu'en penses tu?

C'est un acteur connu des logiciels de sécurité oui, mais j'ai des doutes qu'ils puissent décrypter cette variante à codage fort ...
Après, c'est à toi de voir.

[mazoun]

OK
Merci dans tous les cas pour ton assistance !