Virus gendarmerie / fichiers codés

Léana -  
Bonjour,

il y a quelques jours j'ai attrapé le virus gendarmerie mais j'ai réussie à m'en débarasser grace à un nettoyage avec "Malwarebytes Anti-Malware", mon ordinateur remarche donc parfaitement sauf que tous mes fichiers ont étés renomés "locked" et je ne peu plus les ouvrir.
J'ai vraiment besoin de votre aide car je ne connais rien en informatique et que ces dossiers sont importants.
Je vous remercie d'avance.

39 réponses

Résumé de la discussion

Un internaute a été infecté par le ransomware baptisé Gendarmerie et ses fichiers ont été renommés « locked », les empêchant de s’ouvrir sur Windows XP et Internet Explorer 7. La meilleure réponse propose d’utiliser matsnu1decrypt.exe de Dr.Web pour identifier le mode de cryptage et appliquer le décryptage sur tous les fichiers marqués, en se basant sur une comparaison entre fichier sain et fichier crypté. Il est demandé de télécharger l’outil, de l’exécuter comme administrateur et d’indiquer les chemins des fichiers non cryptés et cryptés pour permettre le décryptage potentiel. D’autres conseils évoquent la localisation de fichiers originaux et signalent que le succès dépend du type exact de cryptage, certaines variantes restant potentiellement irréversibles malgré les outils disponibles.

Bobot (l’IA à votre service)
  1. g3n-h@ckm@n
    salut tu peux fournir ton rapport de malwarebytes ?
    0
    1. Léana
      Je le trouve où ?
      0
  2. g3n-h@ckm@n
    onglet rapport/logs dans le programme , le dernier en date ou celui relatant la suppression des infections
    ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Scan_Concept ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
    0
    1. Léana
      je crois que le rapport n'existe plus car j'ai fait cette opération il y a environ 2 semaines :/
      0
      1. g3n-h@ckm@n
        telecharge et enregistre Pre_Scan sur ton bureau :

        http://forums-fec.be/gen-hackman/Pre_Scan.exe
        http://general-changelog-team.fr/fr/downloads/viewdownload/41-outils-de-gen-hackman/52-pre-scan

        Avertissement :Il y aura une extinction du bureau pendant le scan --> pas de panique.

        une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan_la_date_et_l'heure.txt" sur le bureau.

        si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Kill"

        si l'outil est bloqué par l'infection utilise cette version avec extension .pif :

        http://forums-fec.be/gen-hackman/Pre_Scan.pif

        ou cette version renommée winlogon.exe :

        http://forums-fec.be/gen-hackman/winlogon.exe

        si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

        Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

        Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan

        NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

        Heberge le rapport sur http://pjjoint.malekal.com puis donne le lien obtenu en echange sur le forum où tu te fais aider
        0
        2. Léana
          http://pjjoint.malekal.com/files.php?id=20120603_x10x7o10u15j5
          0
          1. g3n-h@ckm@n
            desinstalle offerbox
            desinstalle babylon
            desinstalle Messenger plus france toolbar
            desinstalle PenWes
            desinstalle pricegong
            desinstalle freeze.com
            desinstalle open candy
            desinstalle conduit/Conduit Engine
            desinstalle adobe reader 9

            ================

            Selectionne tout le texte en gras ci-dessous sans les lignes de dessus-dessous, puis (clic droit/copier ou ctrl+c) :
            ___________________________________________________
            Kill::

            Registry::
            [-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\${ELV_GUID}]
            [-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\83187a6f-618f-4a37-b738-1abde9cbd780]
            [-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\9b689ec6-3638-4e0b-8211-8cde822c5055]
            [-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\a7ef4423-4f97-43f1-96ad-d086c8eaa0a9]
            [-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\c281e529-66c3-4114-84d3-0bed3d77445b]
            [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
            "BabylonToolbar"=-
            "offerbox"=-
            "PenWes"=-
            [HKU\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Run]
            "upd_debug.exe"=-
            [HKU\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Run]
            "upd_debug.exe"=-
            [HKU\S-1-5-21-1986669890-3101221787-3951011054-1010\Software\Microsoft\Windows\CurrentVersion\Run]
            "CC40F38F"=-
            [-HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Adobe Reader Speed Launcher]
            [HKLM\Software\Microsoft\Internet Explorer\Toolbar]
            ""=-
            "Locked"=-
            "{98889811-442D-49dd-99D7-DC866BE87DBC}"=-
            [HKU\S-1-5-21-1986669890-3101221787-3951011054-1010\Software\Microsoft\Internet Explorer\Toolbar]
            "Locked"=-
            [-HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{1631550F-191D-4826-B069-D9439253D926}]
            [-HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2EECD738-5844-4a99-B4B6-146BF802613B}]
            [-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0018-ABCDEFFEDCBA}]
            [-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}]
            [-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}]
            [-HKU\S-1-5-21-1986669890-3101221787-3951011054-1010\Software\BabylonToolbar]
            [-HKU\S-1-5-21-1986669890-3101221787-3951011054-1010\Software\OfferBox]
            [-HKU\S-1-5-21-1986669890-3101221787-3951011054-1010\Software\PriceGong]
            [-HKLM\Software\BabylonToolbar]
            [-HKLM\Software\BrowserChoice]
            [-HKLM\Software\Freeze.com]
            [-HKLM\Software\OfferBox]
            [-HKLM\Software\OpenCandy NSIS SDK]
            [-HKLM\Software\PENSEWEB]
            [HKLM\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
            "C:\Program Files\Messenger\msmsgs.exe"=C:\Program Files\Messenger\msmsgs.exe:*:Enabled:Windows Messenger
            "C:\Documents and Settings\LEANA\Local Settings\Temp\Update_df75.exe"=-
            "C:\Documents and Settings\LEANA\Local Settings\Temporary Internet Files\Content.IE5\HU66AUAE\Mp3ConverterSetup[1].exe"=-
            "C:\Documents and Settings\LEANA\Local Settings\Temporary Internet Files\Content.IE5\HUVSTNSX\SweetImSetup[1].exe"=-
            "C:\Documents and Settings\LEANA\Local Settings\Temp\SweetIMReinstall\SweetImSetup[1].exe"=-

            File::
            C:\WINDOWS\Tasks\OfferBoxUpdate.job

            Folder::
            C:\Program Files\BabylonToolbar
            C:\Program Files\Messenger_Plus_Live_France
            C:\Program Files\PenWes
            C:\Program Files\OfferBox
            C:\Program Files\PriceGong
            C:\Documents and Settings\All Users\Menu Démarrer\Programmes\PriceGong
            C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\OfferBox.lnk
            C:\Documents and Settings\PHILIPPE\Application Data\BabylonToolbar
            C:\Documents and Settings\PHILIPPE\Application Data\OfferBox
            C:\Documents and Settings\PHILIPPE\Application Data\PriceGong
            C:\Documents and Settings\FRANCOISE\Application Data\BabylonToolbar
            C:\Documents and Settings\FRANCOISE\Application Data\OfferBox
            C:\Documents and Settings\FRANCOISE\Application Data\PriceGong
            C:\Documents and Settings\Nouveau\Application Data\OfferBox
            C:\Documents and Settings\Nouveau\Application Data\PriceGong
            C:\Documents and Settings\Nouveau\Application Data\Risblznsrhi
            C:\Documents and Settings\All Users\Application Data\Just sing
            C:\Documents and Settings\PHILIPPE\Local Settings\Application Data\Conduit
            C:\Documents and Settings\PHILIPPE\Local Settings\Application Data\ConduitEngine
            C:\Documents and Settings\PHILIPPE\Local Settings\Application Data\Messenger_Plus_Live_France
            C:\Documents and Settings\FRANCOISE\Local Settings\Application Data\Conduit
            C:\Documents and Settings\FRANCOISE\Local Settings\Application Data\ConduitEngine
            C:\Documents and Settings\FRANCOISE\Local Settings\Application Data\Messenger_Plus_Live_France
            C:\Program Files\BabylonToolbar
            C:\Program Files\OfferBox
            C:\Program Files\PenWes
            C:\Program Files\PriceGong

            MBR::

            clean::

            Reboot::
            ___________________________________________________

            Relance Pre_scan puis choisis l'option "Script"

            une page va s'ouvrir

            logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.

            sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.

            puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

            des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille

            poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail
            0
            1. Léana
              http://pjjoint.malekal.com/files.php?id=20120603_u138v5i5s7
              0
              1. g3n-h@ckm@n
                Télécharge et enregistre ADWcleaner sur ton bureau :

                ADWCleaner (Merci à Xplode)

                Lance le,

                clique sur suppression et poste son rapport.
                0
                1. Léana
                  # AdwCleaner v1.608 - Rapport créé le 08/06/2012 à 14:54:37
                  # Mis à jour le 27/05/2012 par Xplode
                  # Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
                  # Nom d'utilisateur : Nouveau - NETBOOK
                  # Exécuté depuis : C:\Documents and Settings\Nouveau\Local Settings\Temporary Internet Files\Content.IE5\JALZANIH\adwcleaner[1].exe
                  # Option [Suppression]

                  ***** [Services] *****

                  ***** [Fichiers / Dossiers] *****

                  Dossier Supprimé : C:\Documents and Settings\Nouveau\Application Data\BabylonToolbar
                  Fichier Supprimé : C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Offerbox.lnk
                  Fichier Supprimé : C:\Program Files\Mozilla Firefox\searchplugins\babylon.xml
                  Fichier Supprimé : C:\WINDOWS\system32\conduitEngine.tmp

                  ***** [Registre] *****

                  [*] Clé Supprimée : HKLM\SOFTWARE\Classes\Toolbar.CT2567681
                  Clé Supprimée : HKCU\Software\Offerbox
                  Clé Supprimée : HKCU\Software\PriceGong
                  Clé Supprimée : HKLM\SOFTWARE\Conduit
                  Clé Supprimée : HKLM\SOFTWARE\Freeze.com
                  Clé Supprimée : HKLM\SOFTWARE\Offerbox
                  Clé Supprimée : HKLM\SOFTWARE\OpenCandy NSIS SDK
                  Clé Supprimée : HKLM\SOFTWARE\Messenger Plus!\OpenCandy
                  Clé Supprimée : HKLM\SOFTWARE\Classes\Conduit.Engine
                  Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\escort.DLL
                  Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\conduitEngine
                  Clé Supprimée : HKLM\SOFTWARE\Google\Chrome\Extensions\dhkplhfnhceodhffomolpfigojocbpcb

                  ***** [Registre - GUID] *****

                  Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{BDB69379-802F-4EAF-B541-F8DE92DD98DB}
                  Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{2EECD738-5844-4A99-B4B6-146BF802613B}
                  Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}
                  Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{826D7151-8D99-434B-8540-082B8C2AE556}
                  Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{E46C8196-B634-44A1-AF6E-957C64278AB1}
                  Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}
                  Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{09C554C3-109B-483C-A06B-F14172F1A947}
                  Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{2D5E2D34-BED5-4B9F-9793-A31E26E6806E}
                  Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\{E2E2DD38-D088-4134-82B7-F2BA38496583}
                  Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{1631550F-191D-4826-B069-D9439253D926}
                  Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{2EECD738-5844-4A99-B4B6-146BF802613B}
                  Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{98889811-442D-49DD-99D7-DC866BE87DBC}
                  Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{1631550F-191D-4826-B069-D9439253D926}
                  Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{2EECD738-5844-4A99-B4B6-146BF802613B}
                  Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{98889811-442D-49DD-99D7-DC866BE87DBC}
                  Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E2E2DD38-D088-4134-82B7-F2BA38496583}

                  ***** [Navigateurs] *****

                  -\\ Internet Explorer v8.0.6001.18702

                  [OK] Le registre ne contient aucune entrée illégitime.

                  *************************

                  AdwCleaner[S1].txt - [3250 octets] - [08/06/2012 14:54:37]

                  ########## EOF - C:\AdwCleaner[S1].txt - [3378 octets] ##########
                  0
                  1. g3n-h@ckm@n
                    mets malwarebytes à jour puis fais unscan complet
                    0
                    1. Léana
                      j'ai finit le scan est j'ai 2 resultats je les supprimes ?
                      0
                      1. Léana
                        j'ai supprimé les 2 objets, j'attends de tes nouvelles pour la suite des opérations :)
                        0
                        1. g3n-h@ckm@n
                          je peux avoir le rappport ?

                          je serai pas très present ce week end...
                          0
                          1. Léana
                            Malwarebytes Anti-Malware 1.61.0.1400
                            www.malwarebytes.org

                            Database version: v2012.06.03.03

                            Windows XP Service Pack 3 x86 NTFS
                            Internet Explorer 8.0.6001.18702
                            Nouveau :: NETBOOK [administrator]

                            08/06/2012 18:50:57
                            mbam-log-2012-06-08 (18-50-57).txt

                            Scan type: Quick scan
                            Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM
                            Scan options disabled: P2P
                            Objects scanned: 267371
                            Time elapsed: 1 hour(s), 58 minute(s), 45 second(s)

                            Memory Processes Detected: 0
                            (No malicious items detected)

                            Memory Modules Detected: 0
                            (No malicious items detected)

                            Registry Keys Detected: 0
                            (No malicious items detected)

                            Registry Values Detected: 1
                            HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegedit (Hijack.Regedit) -> Data: 0 -> Quarantined and deleted successfully.

                            Registry Data Items Detected: 0
                            (No malicious items detected)

                            Folders Detected: 0
                            (No malicious items detected)

                            Files Detected: 1
                            C:\Documents and Settings\Nouveau\Bureau\winlogon.exe (Heuristics.Reserved.Word.Exploit) -> Quarantined and deleted successfully.

                            (end)
                            0
                            1. g3n-h@ckm@n
                              re

                              Selectionne tout le texte en gras ci-dessous sans les lignes de dessus-dessous, puis (clic droit/copier ou ctrl+c) :
                              ___________________________________________________
                              Command::
                              For /f "tokens=*" %%a in ('dir /a /b /s "%Homedrive%\*.*" ^|findstr /I "\\Locked-*"') do if exist "%%~a" ( echo %%~a >> %Homedrive%\Pre_script.txt )
                              ___________________________________________________

                              Relance Pre_scan puis choisis l'option "Script"

                              une page va s'ouvrir

                              logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.

                              sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.

                              puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

                              des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille

                              poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail
                              0
                              1. Léana
                                http://pjjoint.malekal.com/files.php?id=20120612_j12c9i8y12h7
                                0
                                1. g3n-h@ckm@n
                                  recupere ce fichier sain apres avoir dézippéle dossier

                                  https://www.cjoint.com/?BFmwucVyCeM

                                  ====================

                                  [*] Télécharge matsnu1decrypt.exe de Dr.Web ici -> ftp://ftp.drweb.com/pub/drweb/tools/matsnu1decrypt.exe
                                  et enregistre-le sur ton Bureau
                                  [*] Exécute matsnu1decrypt.exe par clic-droit -> Exécuter en tant qu'administrateur
                                  [*] Indique le chemin du fichier non crypté donc dans le dossier que tu as dézippé , le fichier Galerie de composants Web Slice

                                  [*] Ensuite, indique le chemin du même fichier crypté : C:\Documents and Settings\Default User\Favoris\Liens\locked-Galerie de composants Web Slice.url.tjtn

                                  [*] L'outil va, par comparaison entre les 2 fichiers, identifier le mode de cryptage et pouvoir ainsi appliquer le décryptage correspondant à tous tes fichiers locked
                                  [*] Un message de réussite apparaît, referme l'outil et indique dans ta prochaine réponse si tes fichiers ont bien été décryptés./list

                                  Aide en images sur la fiche Malekal (Voir EDIT Fin Avril - Fix Dr.Web - matsnu1decrypt, tout en bas de la fiche)

                                  On croise les doigts :D

                                  ===================
                                  0
                                  1. Léana
                                    Le logiciel me dit que le fichier est trop petit, après de nombreux essais il ne veut rien savoir :/
                                    0
                                    1. g3n-h@ckm@n
                                      heu precise stp exactement ou fais une capture
                                      0
                                      1. Léana
                                        il me dit : "Selected file is too small. At least 4kb of input data required"
                                        0
                                        • 1
                                        • 2

                                        Discussions similaires

                                        Softonic,est-ce un virus ?
                                        techmel1

                                        6 réponses
                                        Chrome://newtab
                                        Nova

                                        14 réponses
                                        Désinstaller Softonic
                                        Diguimette

                                        5 réponses