Comment décrypter des fichiers?

bfbaudo Messages postés 14 Statut Membre -  
juju666 Messages postés 35446 Date d'inscription   Statut Contributeur sécurité Dernière intervention   -
Bonjour,
J'ai été infectée hier par un trojan qui crypte les fichiers. Je m'en suis rendue compte parceque mon ordinateur "ramait" et j'ai vu les icônes changer: j'ai arrêté le processus mais j'ai quand même une bonne partie de mes fichiers cryptés...
Quand on ouvre ses derniers, il est écrit:

All your files are encrypted!
To decrypt them you need to
send a voucher code or Paysafecard Ukash at email: tenagliamirella@gmail.com
In return you get a code to decrypt files.
You can find more information here https://www.paysafecard.com/en-gb/lp-products/ukash-welcome/
or https://www.paysafecard.com/fr-fr/

PLEASE READ CAREFULLY!
To avoid problems, TURN OFF YOUR ANTI-VIRUS!
AKA restore your files WILL NOT!
================================================================================
Todos os seus arquivos sao criptografados!
Para decifra-los voce precisa
enviar um codigo de voucher Ukash Paysafecard ou no e-mail: tenagliamirella@gmail.com
Em troca, voce recebera um codigo para decifrar arquivos.
Voce pode encontrar mais informacao aqui https://www.paysafecard.com/en-gb/lp-products/ukash-welcome/
ou https://www.paysafecard.com/fr-fr/

LEIA COM ATENCAO!
Para evitar problemas, DESLIGUE seu anti-virus!
AKA restaurar seus arquivos nao serao!

Dans les propriétés de fichiers, il y a écrit s'ouvre avec: Matura contai scarso rasa

J'ai fait tourner Spybot qui n'a rien trouvé, CCleaner qui a nettoyé plein de choses et surtout avast qui a trouvé:
win32:downloader-NRY
win32kryptik-IJJ
J'ai mis les deux en quarantaine. Mais mintenant comment puis-je ouvrir les fichiers cryptés?
Merci d'avance pour votre aide: je ne trouve rien sur la toile à ce sujet.

Bfbaudo

28 réponses

  • 1
  • 2
Résumé de la discussion

Une infection par un ransomware crypte les fichiers et affiche un message indiquant que tous les fichiers sont chiffrés, puis demande l'envoi d'un code via Ukash/Paysafecard à une adresse email. Des conseils préconisent la mise à jour des logiciels vulnérables (Java, Adobe Reader, Flash) afin d’éviter les exploits Web qui permettent l’infection lors de la visite d’un site piraté. En cas d’infection, certains répondants suggèrent d’employer Spybot, Avast et Pre_Scan pour nettoyer les éléments malveillants, d’analyser les fichiers suspects via VirusTotal et d’effectuer des nettoyages approfondis. D'autres échanges évoquent des redirections de pages et l’importance de supprimer les outils inutiles tout en nettoyant les paramètres du fichier host pour éviter ces détournements lors des recherches.

Généré automatiquement par IA
sur la base des meilleures réponses
  1. g3n-h@ckm@n
     
    salut desinstalle spybot

    pour tes fichiers cryptés on cherche une solution pour l instant rien n'est officiel , ne jette rien

    ==================

    telecharge et enregistre Pre_Scan sur ton bureau :

    http://forums-fec.be/gen-hackman/Pre_Scan.exe

    Avertissement :Il y aura une extinction du bureau pendant le scan --> pas de panique.

    une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan_la_date_et_l'heure.txt" sur le bureau.

    si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Kill"

    si l'outil est bloqué par l'infection utilise cette version avec extension .pif :

    http://forums-fec.be/gen-hackman/Pre_Scan.pif

    ou cette version renommée winlogon.exe :

    http://forums-fec.be/gen-hackman/winlogon.exe

    si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

    Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

    Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan

    NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

    Heberge le rapport sur http://pjjoint.malekal.com puis donne le lien obtenu en echange sur le forum où tu te fais aider
    0
  2. bfbaudo Messages postés 14 Statut Membre
     
    Merci pour cette réponse rapide: je me mets boulot et ne touche pas à mes fichiers cryptés.
    A toute à l'heure!
    0
    1. g3n-h@ckm@n
       
      ok :)
      0
  3. bfbaudo Messages postés 14 Statut Membre
     
    Hé, pre_scan, cest un rogue non?...
    https://www.commentcamarche.net/faq/13265-pc-infecte-par-des-rogues
    0
  4. g3n-h@ckm@n
     
    fais attention à ce que tu lis avant de dire des aneries

    Que faire si votre pc est infecté par un ou plusieurs rogues ??

    Définition d'un rogue
    1. RogueKiller
    2. Pre_Scan
    3. MalwareBytes Anti-Malware
    4. Combofix
    Après nettoyage
    0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  6. bfbaudo Messages postés 14 Statut Membre
     
    oupss!! j'ai lu trop vite. Pardon.
    0
  9. bfbaudo Messages postés 14 Statut Membre
     
    J'ai eu un petit souci au milieu du test avec un écran affichant:
    Windows pas de disque
    Exception processing message C0000013 parameters 75afbf7c 4 75afbf7c

    J'avoue que je n'y comprends rien...
    merci
    0
    1. g3n-h@ckm@n
       
      oui ca veut dire que ton xp est pas à jour c'est pas mechant
      0
  10. g3n-h@ckm@n
     
    desinstalle spybot il sert à rien
    desinstalle adobe reader 9
    desinstalle Java update 22

    ===========

    Fais analyser le(s) fichier(s) suivants sur Virustotal :

    Virus Total

    clique sur "Parcourir" et trouve puis selectionne ce(s) fichier(s) :

    C:\WINDOWS\system32\Drivers\12696669.sys


    * Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
    * Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
    * Lorsque l'analyse est terminée colle le lien de(s)( la) page(s) dans ta prochaine réponse.

    ================

    Relance Pre_scan puis choisis l'option "Script"

    une page vierge va s'ouvrir

    selectionne tout le texte en gras ci-dessous, puis (clic droit/copier ou ctrl+c) :
    ___________________________________________________
    Kill::

    Registry::
    [HKU\S-1-5-21-680303840-3361347366-1884830023-1005\Software\Microsoft\Internet Explorer\Toolbar]
    "Locked"=-
    [HKU\S-1-5-21-680303840-3361347366-1884830023-501\Software\Microsoft\Internet Explorer\Toolbar]
    "Locked"=-
    [-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}]
    [-HKCR\Applications\RYiGElV1ZFlQ3US.exe] | ->
    [-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{0ABE0FED-50E7-4e42-A125-57C0A11DBCDE}]
    [-HKCU\Software\BitDownload]
    [-HKCU\Software\iMesh]
    [-HKLM\Software\BrowserChoice]
    [-HKLM\Software\iMesh]

    file::
    C:\WINDOWS\jestertb.dll

    C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\HOW TO DECRYPT FILES.txt
    C:\Documents and Settings\Parents\Menu Démarrer\Programmes\Démarrage\HOW TO DECRYPT FILES.txt
    C:\Documents and Settings\Parents\Menu Démarrer\Programmes\Démarrage\_uninst_12696669.lnk
    C:\Documents and Settings\Parents\Application Data\HOW TO DECRYPT FILES.txt
    C:\Documents and Settings\Parents\Local Settings\Application Data\HOW TO DECRYPT FILES.txt

    folder::
    C:\Program Files\iMesh Applications\iMesh
    C:\DOCUME~1\Parents\LOCALS~1\Temp\0478190
    C:\WINDOWS\assembly\tmp\08FMT07E
    C:\WINDOWS\assembly\tmp\09GNU18F
    C:\WINDOWS\assembly\tmp\0AHOU18E
    C:\WINDOWS\assembly\tmp\0AHOW3AH
    C:\WINDOWS\assembly\tmp\0CKS08GO
    C:\WINDOWS\assembly\tmp\0V28FMT0
    C:\WINDOWS\assembly\tmp\18FMT07E
    C:\WINDOWS\assembly\tmp\1BIPW3AH
    C:\WINDOWS\assembly\tmp\1DLT19HP
    C:\WINDOWS\assembly\tmp\2FNV2AIQ
    C:\WINDOWS\assembly\tmp\3CJQX4BI
    C:\WINDOWS\assembly\tmp\3DLT19HP
    C:\WINDOWS\assembly\tmp\4CJQX3AH
    C:\WINDOWS\assembly\tmp\4ELRY5CI
    C:\WINDOWS\assembly\tmp\5ELSZ6DK
    C:\WINDOWS\assembly\tmp\5FMT073A
    C:\WINDOWS\assembly\tmp\6ELSZ6DL
    C:\WINDOWS\assembly\tmp\6FMT07EL
    C:\WINDOWS\assembly\tmp\6GOW4CKS
    C:\WINDOWS\assembly\tmp\6HNU1RY5
    C:\WINDOWS\assembly\tmp\6HOV29GN
    C:\WINDOWS\assembly\tmp\6HPX5CKS
    C:\WINDOWS\assembly\tmp\7GNU17EL
    C:\WINDOWS\assembly\tmp\8GNU07EL
    C:\WINDOWS\assembly\tmp\9I18FMT0
    C:\WINDOWS\assembly\tmp\9KS08GOW
    C:\WINDOWS\assembly\tmp\AJQX4BIP
    C:\WINDOWS\assembly\tmp\AKS08FNV
    C:\WINDOWS\assembly\tmp\CLSZ6CJQ
    C:\WINDOWS\assembly\tmp\CMU2AIQY
    C:\WINDOWS\assembly\tmp\DMT06DKQ
    C:\WINDOWS\assembly\tmp\EOW5CKS0
    C:\WINDOWS\assembly\tmp\EPX5DLS0
    C:\WINDOWS\assembly\tmp\EPX5DLT1
    C:\WINDOWS\assembly\tmp\GOW3AHOV
    C:\WINDOWS\assembly\tmp\GPW39GNU
    C:\WINDOWS\assembly\tmp\GQY5CJQX
    C:\WINDOWS\assembly\tmp\GQZ6EMU2
    C:\WINDOWS\assembly\tmp\HRY5BIPW
    C:\WINDOWS\assembly\tmp\IQX4BIPW
    C:\WINDOWS\assembly\tmp\IS09GOW4
    C:\WINDOWS\assembly\tmp\JTZ6DKQX
    C:\WINDOWS\assembly\tmp\JV3BJRZ7
    C:\WINDOWS\assembly\tmp\KT07EKRY
    C:\WINDOWS\assembly\tmp\KT08FMT0
    C:\WINDOWS\assembly\tmp\KU2AJQZ7
    C:\WINDOWS\assembly\tmp\LU18FLSZ
    C:\WINDOWS\assembly\tmp\LU2AIQY6
    C:\WINDOWS\assembly\tmp\MV29GNU1
    C:\WINDOWS\assembly\tmp\MY6DMT19
    C:\WINDOWS\assembly\tmp\MY6EMU19
    C:\WINDOWS\assembly\tmp\P09GOW4C
    C:\WINDOWS\assembly\tmp\PY5CKRY5
    C:\WINDOWS\assembly\tmp\PZ6DKRY5
    C:\WINDOWS\assembly\tmp\PZ7ELSZ6
    C:\WINDOWS\assembly\tmp\Q08GOW3B
    C:\WINDOWS\assembly\tmp\Q08GOW4C
    C:\WINDOWS\assembly\tmp\R07ELSZ6
    C:\WINDOWS\assembly\tmp\R29HPX5D
    C:\WINDOWS\assembly\tmp\T29GNU07
    C:\WINDOWS\assembly\tmp\U6EMU2AI
    C:\WINDOWS\assembly\tmp\V3AHOU18
    C:\WINDOWS\assembly\tmp\V3AIPW3A
    C:\WINDOWS\assembly\tmp\V4BIPW29
    C:\WINDOWS\assembly\tmp\V5DMT19H
    C:\WINDOWS\assembly\tmp\V6EMU19H
    C:\WINDOWS\assembly\tmp\W4BIPW3A
    C:\WINDOWS\assembly\tmp\W6AIQY6E
    C:\WINDOWS\assembly\tmp\W6EMU29I
    C:\WINDOWS\assembly\tmp\W8GOW4CK
    C:\WINDOWS\assembly\tmp\W8HPX5DL
    C:\WINDOWS\assembly\tmp\X7ELSZ6D
    C:\WINDOWS\assembly\tmp\X7FNV3BJ
    C:\WINDOWS\assembly\tmp\Y7ELSZ5C
    C:\WINDOWS\assembly\tmp\Y8FMT07E
    C:\WINDOWS\assembly\tmp\Z8FLSZ6C
    C:\WINDOWS\assembly\tmp\Z96DKRY5
    C:\WINDOWS\assembly\tmp\ZAIQY6DL
    C:\WINDOWS\assembly\tmp\ZAIQY6EL
    C:\Documents and Settings\All Users\Menu Démarrer\Programmes\iMesh
    C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Spybot - Search & Destroy
    C:\Documents and Settings\Parents\Application Data\True Sword
    C:\Documents and Settings\All Users\Application Data\iMesh
    C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy
    C:\Documents and Settings\All Users\Application Data\{145B6A8D-C3A8-4F62-BF1A-E616EBBDF2B2}
    C:\Documents and Settings\Parents\Local Settings\Application Data\iMesh
    C:\Program Files\iMesh Applications
    C:\Program Files\Spybot - Search & Destroy

    MBR::

    clean::

    Reboot::
    ___________________________________________________

    colle-le ensuite (clic droit/coller ou ctrl+V) dans la page vierge.

    puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

    des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille

    poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

    si ton bureau ne reapparait pas => ctrl+alt+supp , gestionnaire des taches => onglet fichier => nouvelle tache puis tape explorer
    0
  11. bfbaudo Messages postés 14 Statut Membre
     
    Alors, voilà le lien de virustotal:
    https://www.virustotal.com/gui/file/a8c1577876cf16186610f26d7d859f8fda4057aafc33e8212339f56da6a5f874

    et voilà pre_script:
    ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 2.413 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

    Parents : Microsoft Windows XP (32 bits)

    Switchs : https://gen-hackman.kanak.fr/

    Script : 17:25:08

    ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

    Modification du registre effectuée

    ¤

    Supprimé : C:\WINDOWS\jestertb.dll

    ¤

    Supprimé : C:\Program Files\iMesh Applications\iMesh
    Supprimé : C:\DOCUME~1\Parents\LOCALS~1\Temp\0478190
    Supprimé : C:\WINDOWS\assembly\tmp\08FMT07E
    Supprimé : C:\WINDOWS\assembly\tmp\09GNU18F
    Supprimé : C:\WINDOWS\assembly\tmp\0AHOU18E
    Supprimé : C:\WINDOWS\assembly\tmp\0AHOW3AH
    Supprimé : C:\WINDOWS\assembly\tmp\0CKS08GO
    Supprimé : C:\WINDOWS\assembly\tmp\0V28FMT0
    Supprimé : C:\WINDOWS\assembly\tmp\18FMT07E
    Supprimé : C:\WINDOWS\assembly\tmp\1BIPW3AH
    Supprimé : C:\WINDOWS\assembly\tmp\1DLT19HP
    Supprimé : C:\WINDOWS\assembly\tmp\2FNV2AIQ
    Supprimé : C:\WINDOWS\assembly\tmp\3CJQX4BI
    Supprimé : C:\WINDOWS\assembly\tmp\3DLT19HP
    Supprimé : C:\WINDOWS\assembly\tmp\4CJQX3AH
    Supprimé : C:\WINDOWS\assembly\tmp\4ELRY5CI
    Supprimé : C:\WINDOWS\assembly\tmp\5ELSZ6DK
    Supprimé : C:\WINDOWS\assembly\tmp\5FMT073A
    Supprimé : C:\WINDOWS\assembly\tmp\6ELSZ6DL
    Supprimé : C:\WINDOWS\assembly\tmp\6FMT07EL
    Supprimé : C:\WINDOWS\assembly\tmp\6GOW4CKS
    Supprimé : C:\WINDOWS\assembly\tmp\6HNU1RY5
    Supprimé : C:\WINDOWS\assembly\tmp\6HOV29GN
    Supprimé : C:\WINDOWS\assembly\tmp\6HPX5CKS
    Supprimé : C:\WINDOWS\assembly\tmp\7GNU17EL
    Supprimé : C:\WINDOWS\assembly\tmp\8GNU07EL
    Supprimé : C:\WINDOWS\assembly\tmp\9I18FMT0
    Supprimé : C:\WINDOWS\assembly\tmp\9KS08GOW
    Supprimé : C:\WINDOWS\assembly\tmp\AJQX4BIP
    Supprimé : C:\WINDOWS\assembly\tmp\AKS08FNV
    Supprimé : C:\WINDOWS\assembly\tmp\CLSZ6CJQ
    Supprimé : C:\WINDOWS\assembly\tmp\CMU2AIQY
    Supprimé : C:\WINDOWS\assembly\tmp\DMT06DKQ
    Supprimé : C:\WINDOWS\assembly\tmp\EOW5CKS0
    Supprimé : C:\WINDOWS\assembly\tmp\EPX5DLS0
    Supprimé : C:\WINDOWS\assembly\tmp\EPX5DLT1
    Supprimé : C:\WINDOWS\assembly\tmp\GOW3AHOV
    Supprimé : C:\WINDOWS\assembly\tmp\GPW39GNU
    Supprimé : C:\WINDOWS\assembly\tmp\GQY5CJQX
    Supprimé : C:\WINDOWS\assembly\tmp\GQZ6EMU2
    Supprimé : C:\WINDOWS\assembly\tmp\HRY5BIPW
    Supprimé : C:\WINDOWS\assembly\tmp\IQX4BIPW
    Supprimé : C:\WINDOWS\assembly\tmp\IS09GOW4
    Supprimé : C:\WINDOWS\assembly\tmp\JTZ6DKQX
    Supprimé : C:\WINDOWS\assembly\tmp\JV3BJRZ7
    Supprimé : C:\WINDOWS\assembly\tmp\KT07EKRY
    Supprimé : C:\WINDOWS\assembly\tmp\KT08FMT0
    Supprimé : C:\WINDOWS\assembly\tmp\KU2AJQZ7
    Supprimé : C:\WINDOWS\assembly\tmp\LU18FLSZ
    Supprimé : C:\WINDOWS\assembly\tmp\LU2AIQY6
    Supprimé : C:\WINDOWS\assembly\tmp\MV29GNU1
    Supprimé : C:\WINDOWS\assembly\tmp\MY6DMT19
    Supprimé : C:\WINDOWS\assembly\tmp\MY6EMU19
    Supprimé : C:\WINDOWS\assembly\tmp\P09GOW4C
    Supprimé : C:\WINDOWS\assembly\tmp\PY5CKRY5
    Supprimé : C:\WINDOWS\assembly\tmp\PZ6DKRY5
    Supprimé : C:\WINDOWS\assembly\tmp\PZ7ELSZ6
    Supprimé : C:\WINDOWS\assembly\tmp\Q08GOW3B
    Supprimé : C:\WINDOWS\assembly\tmp\Q08GOW4C
    Supprimé : C:\WINDOWS\assembly\tmp\R07ELSZ6
    Supprimé : C:\WINDOWS\assembly\tmp\R29HPX5D
    Supprimé : C:\WINDOWS\assembly\tmp\T29GNU07
    Supprimé : C:\WINDOWS\assembly\tmp\U6EMU2AI
    Supprimé : C:\WINDOWS\assembly\tmp\V3AHOU18
    Supprimé : C:\WINDOWS\assembly\tmp\V3AIPW3A
    Supprimé : C:\WINDOWS\assembly\tmp\V4BIPW29
    Supprimé : C:\WINDOWS\assembly\tmp\V5DMT19H
    Supprimé : C:\WINDOWS\assembly\tmp\V6EMU19H
    Supprimé : C:\WINDOWS\assembly\tmp\W4BIPW3A
    Supprimé : C:\WINDOWS\assembly\tmp\W6AIQY6E
    Supprimé : C:\WINDOWS\assembly\tmp\W6EMU29I
    Supprimé : C:\WINDOWS\assembly\tmp\W8GOW4CK
    Supprimé : C:\WINDOWS\assembly\tmp\W8HPX5DL
    Supprimé : C:\WINDOWS\assembly\tmp\X7ELSZ6D
    Supprimé : C:\WINDOWS\assembly\tmp\X7FNV3BJ
    Supprimé : C:\WINDOWS\assembly\tmp\Y7ELSZ5C
    Supprimé : C:\WINDOWS\assembly\tmp\Y8FMT07E
    Supprimé : C:\WINDOWS\assembly\tmp\Z8FLSZ6C
    Supprimé : C:\WINDOWS\assembly\tmp\Z96DKRY5
    Supprimé : C:\WINDOWS\assembly\tmp\ZAIQY6DL
    Supprimé : C:\WINDOWS\assembly\tmp\ZAIQY6EL
    Supprimé : C:\Documents and Settings\All Users\Menu Démarrer\Programmes\iMesh
    Supprimé : C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Spybot - Search & Destroy
    Supprimé : C:\Documents and Settings\Parents\Application Data\True Sword
    Supprimé : C:\Documents and Settings\All Users\Application Data\iMesh
    Supprimé : C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy
    Supprimé : C:\Documents and Settings\All Users\Application Data\{145B6A8D-C3A8-4F62-BF1A-E616EBBDF2B2}
    Supprimé : C:\Documents and Settings\Parents\Local Settings\Application Data\iMesh
    Supprimé : C:\Program Files\iMesh Applications
    Absent : C:\Program Files\Spybot - Search & Destroy

    ¤

    ¤¤¤¤¤¤¤¤¤¤ | MBR

    -d file Dump the MBR of the selected drive to 'file'.
    -D Dump the MBR of all fixed drives.
    -f ## Fix the MBR of the selected drive with code ##.
    Valid codes are:
    0 - Default (current Windows version)
    1 - Windows XP
    2 - Windows Server 2003
    3 - Windows Vista
    4 - Windows Server 2008
    5 - Windows 7

    ¤

    ¤¤¤¤¤¤¤¤¤¤ | Nettoyage disque

    Nettoyage du disque effectué

    ¤

    Fin : 17:28:11

    ¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

    Alors, c'est tout propre? Quelles sont les chances de récupérer mes fichiers? Que pensez-vous de drweb?
    En tout cas, merci beaucoup de suivre mes pérégrinations informatiques...
    0
  12. g3n-h@ckm@n
     
    refais-en un avec ca :

    File::
    C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\HOW TO DECRYPT FILES.txt
    C:\Documents and Settings\Parents\Menu Démarrer\Programmes\Démarrage\HOW TO DECRYPT FILES.txt
    C:\Documents and Settings\Parents\Menu Démarrer\Programmes\Démarrage\_uninst_12696669.lnk
    C:\Documents and Settings\Parents\Application Data\HOW TO DECRYPT FILES.txt
    C:\Documents and Settings\Parents\Local Settings\Application Data\HOW TO DECRYPT FILES.txt
    0
  13. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    Salut,

    Faudrait faire ça.

    Envoyer les fichiers suivants sur http://upload.malekal.com
    C:\Pre_Scan\Quarantine\RYiGElV1ZFlQ3US.exe
    C:\Pre_Scan\Quarantine\9242693.exe
    C:\Pre_Scan\Quarantine\kldw.exe
    C:\Pre_Scan\Quarantine\~!#16C.tmp
    C:\Pre_Scan\Quarantine\~!#1B8.tmp

    surtout le C:\Pre_Scan\Quarantine\RYiGElV1ZFlQ3US.exe

    0
    1. g3n-h@ckm@n
       
      ok tu voudrais pas la quarantaine entière ?
      0
  14. bfbaudo Messages postés 14 Statut Membre
     
    OK, ça arrive! Merci beaucoup
    0
  15. bfbaudo Messages postés 14 Statut Membre
     
    BOnsoir, je ne peux uploader le fichier C:\Pre_Scan\Quarantine\RYiGElV1ZFlQ3US.exe

    car il a une extension P_S

    Je fais quoi?
    Merci
    0
    1. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
       
      zip le, clic droit / envoyer vers et dossier/fichier compresse.
      Envoie le zip.
      0
  16. bfbaudo Messages postés 14 Statut Membre
     
    REbonsoir,
    en fait, ils ont tous la même extension P_S...
    0
  17. g3n-h@ckm@n
     
    sinon tu relances , puis tu cliques sur script , puis tu colles ca dans la page qui s'ouvre et tu enregistres (enregistrer tout court , pas enregister sous..) :


    Zip::
    C:\Pre_Scan\Quarantine\RYiGElV1ZFlQ3US.exe.P_S
    C:\Pre_Scan\Quarantine\9242693.exe.P_S
    C:\Pre_Scan\Quarantine\kldw.exe.P_S
    C:\Pre_Scan\Quarantine\~!#16C.tmp.P_S
    C:\Pre_Scan\Quarantine\~!#1B8.tmp.P_S

    et tu devrais avoir une archive dans c:\ à ton nom contenant les-dits fichiers
    0
  18. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    sinon par mail : spamhere-@wanadoo.fr
    0
    1. bfbaudo Messages postés 14 Statut Membre
       
      Bonjour,
      Ca arrive! Merci!
      0
    2. bfbaudo Messages postés 14 Statut Membre
       
      Zut! Je ne trouve plus celui-ci:
      C:\Pre_Scan\Quarantine\9242693.exe.P_S
      Pourtant je suis quasi sûre qu'il était là hier...
      0
    3. bfbaudo Messages postés 14 Statut Membre
       
      Clui là non plus:
      C:\Pre_Scan\Quarantine\kldw.exe.P_S
      Faut-il relancer pre_scan?
      0
  19. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    ok, j'ai édité ce billet : https://www.malekal.com/trojanw32ransomcrypt-trojan-encoder-prise-en-otage-des-documents/

    C'est possible de rétablir les fichiers.
    Option -k 91 avec Dr.Web
    il y a aussi un tool de Kaspersky.

    Voir le dernier EDIT pour toi, il y a deux variantes, voir selon le message HOW TO DECRYPT.txt

    ~~

    Eventuellement fais Prescan avant pour virer les extensions ou un scan Malwarebyte : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

    Like the angel you are, you laugh creating a lightness in my chest,
    Your eyes they penetrate me,
    (Your answer's always 'maybe')
    That's when I got up and left
    0
    1. bfbaudo
       
      J'étais justement arrivée sur ton billet: je vois ça merci beaucoup!
      0
  20. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    Pour info, un des deux autres fichiers mets ce malware :
    O23 - Service: Host Generic Process for Win32 Services (Host Generic Process) - Unknown owner - C:\WINDOWS\system32\drivers\svchost.exe

    C:\Windows\system32\svchost.exe => OK.
    C:\WINDOWS\system32\drivers\svchost.exe => Malicieux.
    0
  21. g3n-h@ckm@n
     
    oué...

    j'intègre :

    Supprimé : [HKCR\.RQEhyzU546Sy6845U3s | command ] | @ -> c:\fichier_test.exe
    0
    1. g3n-h@ckm@n
       
      j'ai aussi intégré le tool de drweb , ca sera plus facile pour l user que de passer par le cmd

      menu pre_scan => tools => autres tools => drweb decrypteur => choix
      0
    2. bfbaudo Messages postés 14 Statut Membre
       
      Bonsoir g3n-h@ckm@n et Malekal_morte!
      Vraiment, je ne sais pas comment vous remercier: j'ai pu récupérer tous mes fichiers. Maintenant, j'ai du nettoyage à faire...Car tous les fichiers cryptés sont toujours là et les fichiers txt How to decrypt files aussi...
      Comment se fait-il qu'avec Avast plus Spybot j'ai pu attrapper ce virus? J'avoue que je ne suis pas une pro mais en 15 ans d'internet, c'est la première fois que cela m'arrive: qu'a-t-il pu se passer?
      Auriez-vous des conseils pour que cela ne se reproduise pas?

      Merci encore
      Bfbaudo
      0
  • 1
  • 2

Discussions similaires

Décryptage de chaînes précédées de '$'.
Cubde -
Rachid -

5 réponses