Demande de déblocage 50 € fichier photos word et xls bloqué [Résolu]

[papymouso]

Bonjour a tous

merci de m'aider dans mon probleme
je suis sous Windows 7 Edition  intégrale service Pack 1 sytème 64 bits mémoire 6 GO
disque dur   C:271 GO E: 562 GO F: 562 GO
Anti virus  ESET smart sécurité 5.0.95.0

mon problème mes fichiers photos , word et xls sont inacessible par contre les PDF et text fonctionne
fichier joint   (3)         les proprietés sont modifier voir dans l'onglet détail  manque bits taille largeur longeur
tout mes fichiers bloqués sont en date de modification du 03/08/2012 18h42
je suis sur free  et mon disque sur la free box  dossier mes photos et également touché
il etait dans ordinateur: connecté un lecteur réseau

bitlocker que je n'utilise pas affiche que le lecteur C:    E et F sont invisible ?
sur une autre machine mais en 32 bit tous les lecteurs sont affiché

Eset na rien détecter de particulier
j'ai installer Malwarebytes et proceder a un scan
voici le resultat
Fichier(s) détecté(s): 2
C:\ProgramData\csrss.exe (Trojan.Agent) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Public\Desktop\MP3 Downloader.lnk (Rogue.Link) -> Mis en quarantaine et supprimé avec succès.

le plus important est la récupération des dossiers xls gestion banquaire et bourse

dans l'attente merci de votre aide

[chantal11]

Bonjour papymouso,

Bienvenue sur Security-X

Nous allons nous assurer d'abord que le ransomware n'est plus actif sur ton système.

   OTL :

• Télécharge OTL de OldTimer et enregistre le sur le Bureau
  
• Ferme toutes les autres fenêtres et double-clique sur OTL.exe
   /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  
• Vérifie que les cases Tous les utilisateurs, Recherche Lop et  Recherche Purity soient cochées
  
• Dans le cadre Personnalisation, copie-colle l'intégralité de ce qui suit
  

Code: [Sélectionner]

netsvcs
msconfig
activex
drivers32
/md5start
system.exe
explorer.exe
wininit.exe
winlogon.exe
userinit.exe
svchost.exe
services.exe
/md5stop
%SYSTEMDRIVE%\*.exe
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%systemroot%\*. /mp /s
%systemroot%\Tasks\*.* /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
nslookup http://www.google.fr /c
CREATERESTOREPOINT


• Clique ensuite sur Analyse et patiente le temps du scan
  
  
• A la fin de l'analyse, les rapports OTL.txt et Extras.txt s'affichent.
  
• Les rapports étant trop longs pour le forum, héberge-les sur pjjoint.fr et indique les liens fournis dans ta réponse.
  Aide en images : Héberger son rapport d'analyse
  Les rapports sont sauvegardés sur le Bureau.

Après désinfection, je te proposerai un fix pour tes fichiers bloqués, j'espère qu'il sera opérationnel sur ton système.
En attendant ne tente plus rien au niveau de ces fichiers bloqués.

@+

[papymouso]

Bonjour Chantal
merci de m'aider dans mon probleme
le scan a fonctionné mais un seul rapport OTL TX
voici le lien recu  http://pjjoint.malekal.com/files.php?id=20120813_d10e12d5w8q15

[chantal11]

Re,


Tu as lancé OTL 2 fois, c'est maintenant ou tu avais déjà utilisé OTL ?
Tu es suivi sur un autre forum ?

Regarde à cet endroit E:\Papy\Desktop si tu n'as pas le rapport Extras

Je regarde ton rapport OTL.

@+

[papymouso]

Tu as lancé OTL 2 fois, NON   
 c'est maintenant ou
 tu avais déjà utilisé OTL ?oui j'ai lancé OTL  le 9/08 vue sur les divers forum mais sans faire une quelque modification


Tu es suivi sur un autre forum ? je ne suis pas suivi sur un autre forum
merci des réponses rapide

[papymouso]

voici le fichier Extras.txt  du 09/08 a tout hazard
 http://pjjoint.malekal.com/files.php?id=20120813_z7n10b6x15v12

[chantal11]

Bonsoir,

OK merci pour le rapport Extras.
Même s'il n'est pas du jour, il fera l'affaire.

---------------------------------------------------------------------------------------------

   Désinstalle via Panneau de configuration -> Programmes et fonctionnalités (si présents) :

• Ask Toolbar
  
• Ask Toolbar Updater

---------------------------------------------------------------------------------------------

J'ai vu que tu avais utilisé RannohDecryptor, mais le décryptage n'a pas fonctionné ?
Cet outil est inadapté dans ton cas.
On tentera un fix qui a fonctionné pour d'autres utilisateurs.

----------------------------------------------------------------------------------------------

  OTL :

• Ferme toutes les autres fenêtres et double-clique sur OTL.exe
  /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  
• Copie l'intégralité de ce script ci-dessous (y compris la 1ère ligne :OTL)
  

Code: [Sélectionner]

:OTL
IE - HKU\S-1-5-21-1957374927-2606793384-697478488-1000\..\URLSearchHook: {00000000-6E41-4FD3-8538-502F5495E5FC} - C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll (Ask)
IE - HKU\S-1-5-21-1957374927-2606793384-697478488-1000\..\SearchScopes\{93DF9F9A-4E1B-4536-9DE9-C6D91B3B7682}: "URL" = http://websearch.ask.com/redirect?client=ie&tb=ATU2&o=14670&src=kw&q={searchTerms}&locale=fr_FR&apn_ptnrs=T8&apn_dtid=YYYYYYYYFR&apn_uid=2e6a2673-3d98-48d8-b46e-e5fef688d7aa&apn_sauid=953B0607-E515-4D3E-A167-14FB6DDE9DBC
O2 - BHO: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll (Ask)
O3 - HKLM\..\Toolbar: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll (Ask)
O3 - HKU\S-1-5-21-1957374927-2606793384-697478488-1000\..\Toolbar\WebBrowser: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll (Ask)
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1
[2 C:\Windows\SysNative\*.tmp files -> C:\Windows\SysNative\*.tmp -> ]
@Alternate Data Stream - 135 bytes -> C:\ProgramData\TEMP:D95ACC7D
@Alternate Data Stream - 120 bytes -> C:\ProgramData\TEMP:0574215C

:files
ipconfig /flushdns /c

:Commands
[EMPTYTEMP]
[RESETHOSTS]
[CREATERESTOREPOINT]


• Colle l'intégralité du script dans le cadre Personnalisation
  
• Clique ensuite sur le bouton Correction
  
  
• L'outil lance la suppression, ne pas l'interrompre
• Si l'outil te demande de redémarrer le PC, tu acceptes
• Poste le contenu du rapport situé dans C:\_OTL\MovedFiles\********_******.log dans ta prochaine réponse
  les *** sont des chiffres représentant la date [MoisJourAnnée] et l'heure

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\

----------------------------------------------------------------------------------------------

Est attendu le rapport C:\_OTL\MovedFiles\********_******.log

@+

[papymouso]

Bonjour Chantal

voici le rapport de correction de OTL

http://pjjoint.malekal.com/files.php?id=20120814_d10t6v13y1414

dans l'attente de lire tout mes remerciements

[chantal11]

Bonjour,

OK pour le rapport du correctif OTL.

On va donc tenter de débloquer tes fichiers.

Télécharge ce fix de Tigzy :
http://tigzy.geekstogo.com/Tools/ExtSigChecker.exe

Il s'utilise en ligne de commande, il faut donc ouvrir une invite cmd.exe, naviguer jusqu'à l'emplacement du programme, et le lancer avec les paramètres requis.

Voici l'aide pour utiliser l'outil :

----------- ExtSigChecker by Tigzy ------------
usage : extsigchecker.exe <rootpath>
flags : -f [TRY TO FIX EVERY FILE]
flags : -a [SHOW ALL FILES]
example (no fix) : extsigchecker.exe "C:\Documents and Settings\Admin\Bureau"
example (no fix) : extsigchecker.exe "C:"
example (fix) : extsigchecker.exe "C:\Documents and Settings\Admin\Bureau" -f
example (fix) : extsigchecker.exe "C:" -f

Bonne chance 

[papymouso]

merci d'avoir suivi mon probleme

je ne suis pas trés a l'aise sous cmd

que faut'il faire avec l'aide les lignes de commande sont a copier ?

example (no fix) et example ( fix)
et le chemin d'un fichier comme un exemple sur mon ordi

merci de plus de détail

[chantal11]

Bonjour,

C'est un Fix que Tigzy a conçu spécifiquement pour ce type de blocage.
Vu les images que tu as fournies dans ton 1er message, c'est bien ce virus crypteur là.

Je ne peux hélas pas faire de tests sur mon PC, n'ayant pas de fichiers cryptés, j'ai juste récupéré l'aide pour que tu puisses comprendre.

Tu as enregistré ExtSigChecker à quel endroit ? sur le Bureau ?

Donc en ouvrant cmd par un simple clic, tu devrais avoir ceci au prompt :
C:\Users\Papy>

Tu tapes à la suite cd desktop et tu valides par Entrée
C:\Users\Papy>cd desktop

Tu obtiens au prompt :
C:\Users\Papy\Desktop>

C'est donc à partir de là que tu dois lancer ExtSigChecker en indiquant le chemin d'un dossier qui contient des fichiers cryptés.
Tu devras donc taper  ce qui est en bleu:
C:\Users\Papy\Desktop>extsigchecker.exe "C:\Users\Papy\nom_du_dossier"

Le paramètre -f va permettre au fix de tenter de corriger chaque fichier
Le paramètre -a va permettre d'afficher tous les fichiers

Voilà les seules précisions dont je dispose :

Merci de commencer par un petit dossier, et sans mettre le flag "-f" (qui réécrit le fichier)
Dans le cas d'un "scan", la ligne "CORRUPTED" apparait en dessous du fichier en question
dans le cas d'une réparation (avec le flag -f donc), la ligne "FIXED" apparait en dessous

@+

[papymouso]

re Bonjour Chantal

la commande CMD ne fonctionne pas

C:\Users\Papy>cd desktop
le chemin d'accès spécifié est introuvable
une aide est encore possible ?   

dans l'eventualité de devoir passer par un formatage et une nouvelle instal cela regle le probleme de fonctionnement,?
 je ne parle pas des fichiers bloqué que je considere comme perdu   
bitlocker que je n'utilise pas m'affiche toujours que le disque C  manque le E et F
alors que sur mon portable il affiche tous les disque C: E: F: G:

@+ 

[chantal11]

Re,

Le fichier extsigchecker.exe est bien enregistré sur ton Bureau ?

Quand l'invite de commandes s'ouvre, qu'y-a-t-il d'inscrit ?
Tu peux faire une capture d'écran au besoin.

Pour BitLocker, tu l'as activé dans le Panneau de configuration ?
(Panneau de configuration\Système et sécurité\Chiffrement de lecteur BitLocker)
vidéo

@+

[papymouso]

re Bonjour Chantal désolé de prendre ton temps
Quand l'invite de commandes s'ouvre, qu'y-a-t-il d'inscrit ?
C:\Users\Papy>cd desktop
le chemin d'accès spécifié est introuvable

Le fichier extsigchecker.exe est bien enregistré sur ton Bureau ?
oui sur le bureau    ainsi que deux fichiers  1 non corrompu nouveau dossier( 2011-05 (1).JPG) et 2 corrompu( carte_de_france_routiere_imagemoyenne.jpg)
copie d'écran jointe CMD

Pour BitLocker, tu l'as activé dans le Panneau de configuration ?

NON pas d'activation

bitlocker que je n'utilise pas m'affiche toujours que le disque C  manque le E et F
alors que sur une deuxième machine mon portable il affiche tous les disque C: E: F: G:

[chantal11]

Re,

Puisque tu n'y arrives pas par le Bureau, on va tenter autrement.

Copie le Fix extsigchecker.exe directement sous C:

Ouvre l'Invite de commandes.
Au prompt tape cd\ et valide par Entrée

C:\Users\Papy>cd\

Tu obtiens C:\>
Exécute extsigchecker.exe en suivant (pour les fichiers corrompus sur le Bureau)

C:\>extsigchecker.exe "C:\Users\Papy\Desktop"

bitlocker que je n'utilise pas m'affiche toujours que le disque C  manque le E et F

Mais c'est à quel endroit que BitLocker t'affiche que C puisqu'il n'est pas activé ?
Tu peux faire une capture ?

@+

[papymouso]

bonsoir Chantal

galere galere la commande fonctionne mais erreur 3  invalid
je te joint une copie d'écran

également copie de bitlocker sur PC et PC Portable

je crois que je dois formater mon PC  quand pense tu ????
dans l'eventualité de devoir passer par un formatage et une nouvelle instal cela regle le probleme de fonctionnement,????
 je ne parle pas des fichiers bloqué que je considere comme perdu   

encore merci pour ta patience

[chantal11]

Bonsoir,

Pour BitLocker, j'ai donc compris ce que tu voulais dire.
Mais peu importe que les autres lecteurs ne soient pas visibles puisque tu dis ne pas utiliser la fonctionnalité BitLocker et que de toutes façons, elle n'est pas activée.

Dans l'explorateur, sous Ordinateur, ces lecteurs sont bien visibles et accessibles ?

Le Fix ne semble pas fonctionner sur tes fichiers corrompus, du moins sur ceux qui sont sur ton Bureau.

As-tu tenté sur un autre dossier qui contient des fichiers corrompus, ailleurs que sur le Bureau ?

je crois que je dois formater mon PC  quand pense tu ????
dans l'eventualité de devoir passer par un formatage et une nouvelle instal cela regle le probleme de fonctionnement,????
 je ne parle pas des fichiers bloqué que je considere comme perdu   

C'est toi qui vois, si tu veux réinstaller.
En général une réinstallation règle les problèmes de fonctionnement.

Hélas pour tes fichiers corrompus par le virus crypteur, si le Fix ne fonctionne pas, je n'ai pas d'autre solution à te proposer à ce jour.

@+

[papymouso]

Bonjour Chantal
si je peu encore abusé de ton temps
j'ai réussi a faire fonctionné extsigchecker.exe :CMD en mode admi mais le décriptage n'a pas fonctionné
fichier joint du résultat en format txt
je joint des fichiers, par contre en faisant des recherches sur les fichiers modifier a la date de l'incident
je retrouve des fichiers:
critical_deo0_sar.exe_552e2a4e309964b
critical_csrss.exe_83783e175d0
c:\programData\Microsoft\Crypto\RSA\MachineKeys
également report.wer  date et heure correspondaux problemes subit

je te joint ces copies en pdf

[chantal11]

Bonjour,

Ce n'est rien pour les fichiers trouvés.
Le répertoire WER est un dossier où sont stockés les rapports d'erreurs Windows.

Procède à un nettoyage de disque :
Ordinateur -> clic-droit sur C -> Propriétés -> onglet Général -> Nettoyage de disque -> Les fichiers de tous les Utilisateurs -> dans l'onglet "Nettoyage de disque", tu coches tout -> tu valides par OK

Pour le décryptage des fichiers, c'est ce que je t'indiquais.
Le correctif de Tigzy ne semble pas fonctionner.

Je vais essayer de le contacter voir ce qu'il en pense (en espérant qu'il ne soit pas en vacances).
Je te tiens au courant.

@+

[chantal11]

Re,

Ton erreur 3 signifie que c'est le mauvais chemin.

Je voudrais d'abord éclaircir un point :

E:\Papy\Desktop\Nouveau dossier
E:\Papy\Desktop\rannohdecryptor.exe
E:\Papy\Desktop\OTL.exe

Il est enregistré où finalement le fichier extsigchecker.exe ?
sur C ou sur E ?
Les fichiers cryptés sont où ? sur C ou sur E ?

Qu'est-ce que représente E ? Qu'y a-t-il dessus ?

@+

[papymouso]

Bonjour Chantal
merci de te conscré a mon problème
mes réponses aux question

E:\Papy\Desktop\rannohdecryptor.exe  =  sur le bureau

Il est enregistré où finalement le fichier extsigchecker.exe ?
sur C ou sur E ?
1 - sur le bureau comme demandé = E:\Papy\Desktop
2 - sur C: =extsigchecker.exe
je te joint des copies d'écran plus une en commande CMD sur E: avec la fonction tree vois ce qu'il affiche ??

@+merci pour tout

[papymouso]

re  en relisant ma reponse je m'apercoisque j'ai omis une réponse

Les fichiers cryptés sont où ? sur C ou sur E ?

il sont sur E: qui est la partion disque de mes données doc, photo ,etc
@+

[chantal11]

Bonjour,

Voilà qui est plus clair 

Donc on reprend.

Mets le fichier extsigchecker.exe sous E:

Tu ouvres cmd

Au prompt tu tapes e:
C:\Users\Papy>e:

Puis la commande pour exécuter extsigchecker.exe
E:\>extsigchecker.exe "E:\Papy"

Qu'est-ce que cela donne ?

@+

[papymouso]

YES youpi  chantal sa marche sans probleme le deblocage de mes fichiers

le gros probleme est bien sur le chemin  car user \papy\dossier est surement verrouillé par windows
en reponse a ton message
E:\>extsigchecker.exe "E:\Papy"  ne fonctionne pas            joint copie d'écran

j'ai déplacer les fichiers pour essai sur le dossier documents public et eureka sa fonctionne

  C:\Users\Papy>cd\

C:\>extsigchecker.exe "C:\Users\public\documents\ dossier a traité

je te joint copie d'écran

un immense merci  j'ai déja recuperer mes fichiers les plus important
Merci Merci Merci Merci

[chantal11]

Re,

Je suis très contente pour toi si le décryptage a réussi 

Merci à Tigzy 

Donc, maintenant, tu sais ce qu'il faut faire pour décrypter tous les autres fichiers que tu veux récupérer.

Il nous reste aussi à finaliser la procédure.

Nous allons tout d'abord mettre à jour Java et vérifier les autres plugins avec un outil de igor51.

---------------------------------------------------------------------------------------------

  Désinstalle Java(TM) 6 Update 31 via Panneau de configuration -> Programmes et fonctionnalités.

Installe la dernière version Java 7 Update 5
http://www.java.com/fr/download/

---------------------------------------------------------------------------------------------

  SX Check&Update :

• Télécharge SX Check&Update de igor51 et enregistre-le sur ton Bureau
  
• Ferme toutes les applications, y compris ton navigateur
  
• Double-clique sur SXC&U.exe pour lancer l'application
  /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  
• Au menu principal, clique sur le bouton Rapport
  
  
• Copie-colle le contenu de ce rapport dans ta prochaine réponse.

Si ton antivirus émet une alerte ou bloque l'outil, il faut le désactiver temporairement (le fichier SXC&U.exe est sûr)

---------------------------------------------------------------------------------------------

Est attendu le rapport SX Check&Update

@+

[papymouso]

voici le rapport 
et adobe n'est pas a jour mais la mise ajour par le liens ne fonctionne pas
je procederai a une mise a jour en direct sur le site d'adobe

merci et toujours un grand merci a vous

[chantal11]

Re,

OK
Tu fais donc directement la mise à jour de Adobe Reader sur le site Adobe -> http://get.adobe.com/fr/reader/?promoid=HTEGU

Nous allons pouvoir finaliser la procédure.

---------------------------------------------------------------------------------------------

  Purge points de restauration :

• Ferme toutes les autres fenêtres et double-clique sur OTL.exe
  /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  
• Copie l'intégralité de ce script ci-dessous
  

Code: [Sélectionner]

:Commands
[CLEARALLRESTOREPOINTS]
[EMPTYTEMP]

• Colle l'intégralité du code dans le cadre Personnalisation
  
• Clique ensuite sur le bouton Correction
  
• Si l'outil te demande de redémarrer le PC, tu acceptes

---------------------------------------------------------------------------------------------

  Désinstallation des outils utilisés :

Tu peux garder Malwarebytes et scanner ton système régulièrement avec en complément des analyses de ton antivirus.
Ne pas oublier toutefois, avant de lancer l'analyse, de faire une recherche de mises à jour de Malwarebytes, dans l'onglet Mise à jour

• Ferme toutes les autres fenêtres et double-clique sur OTL.exe
  /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  
• Clique sur Purge d'outils
  
  
• Valide l'avertissement par OK et laisse le pc redémarrer

• Supprime SXCU de ton Bureau
  
• Supprime tous les rapports générés restants

---------------------------------------------------------------------------------------------

  Quelques précisions et conseils :

• D'une manière générale, il faut être prudent sur le net et ne pas cliquer sur tout ce qui paraît attrayant.

Pourquoi et comment je me fais infecter ?

/!\ Toujours privilégier le téléchargement d'une application sur le site de l'éditeur

/!\ Bien lire les accords de licence avant toute installlation, des études ont montré que La France est championne du monde de malwares !

/!\ Etre vigilant au moment de l'installation d'une application, Stop la pub !

/!\ Sauvegarder régulièrement les données personnelles sur un support externe

/!\ Ne jamais ouvrir une pièce-jointe dans un mail d'un expéditeur inconnu

• Maintenir son antivrus à jour et analyser le système régulièrement, avec en parallèle un scan avec Malwarebytes
  
  
  
• Tenir son système à jour, au niveau des mises à jour Windows Update, sans oublier les logiciels installés.
  Vérifier aussi d'avoir toujours la dernière version de Java et Flash Player
  Il faut l'installer Flash Player sous chaque navigateur présent sur le système
  Penser à décocher les options proposées en même temps que Java et Flash Player (Barre Google, Scan McAfee ....
  Maintenir Java, Adobe Reader et le player Flash à jour
  Exploitation SWF/PDF et Java - système non à jour = danger
  
  
  /!\ Une attitude responsable sur le net est la meilleure protection pour ton système
  Eviter les comportements à risques (cracks/keygens, P2P, streaming illégal, pornographie, etc.)
  
  

N'hésite pas si tu as des questions.

Pour en savoir plus, clique sur l'image pour télécharger ce PDF

[papymouso]

procedure appliqué fichier joint

je suis les mise a jour des logiciels regulierement , je ne comprend pas comment ma contamination

je suis recement équipé  d'un nas  qnap et la copie de mes fichiers était en cour d'installation

tu peux mettre en resolu mon probleme

encore un grand énorme merci

[chantal11]

Bonne continuation