Virus DirtyDecrypt.exe

Bonsoir

N'as tu pas déjà ouvert ce jour un sujet sous un autre pseudo?

@+

bonsoir Guillaume 5188
ah non pas du tout, je viens de m'inscrire suite à cet inquiétant problème
merci d'une éventuelle aide pour la résolution

Re

[*] Télécharger sur le bureau RogueKiller (by tigzy) (choisir entre la version 32 et 64 bits selon ton Windows, si tu ne sais pas, demande moi!)
[*] Quitter tous les programmes
[*] Lancer RogueKiller.exe.
[*] Attendre que le Prescan ait fini ...
[*] Cliquer sur Scan. Cliquer sur Rapport et copier coller le contenu du rapport

@+

OK j'essaie de faire
merci

j'ai bien le rapport.
comment le mettre en pièce jointe ?? (je ne suis pas un expert en informatique)
merci

je l'ai envoyé par mail

RE

Il faut apprendre à lire;-((

Cliquer sur Rapport et copier coller le contenu du rapport

Rien de plus !!!

@+

Voilà le document souhaité :

RogueKiller V8.6.7 _x64_ [Aug 28 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : http://www.adlice.com/forum/
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Demarrage : Mode normal
Utilisateur : Jacques [Droits d'admin]
Mode : Recherche -- Date : 09/01/2013 20:27:58
| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 3 ¤¤¤
[SUSP PATH][DLL] rundll32.exe -- C:\Users\Jacques\AppData\Roaming\BabSolution\Shared\enhancedNT.dll [7] -> rundll32.exe TUÉ [TermProc]
[SUSP PATH] BrowserDefender.exe -- C:\ProgramData\BrowserDefender\2.6.1562.220\{c16c1ccb-1111-4e5c-a2f3-533ad2fec8e8}\BrowserDefender.exe [7] -> TUÉ [TermProc]
[SUSP PATH] BrowserDefender.exe -- C:\ProgramData\BrowserDefender\2.6.1562.220\{c16c1ccb-1111-4e5c-a2f3-533ad2fec8e8}\BrowserDefender.exe [7] -> TUÉ [TermProc]

¤¤¤ Entrees de registre : 2 ¤¤¤
[RUN][SUSP PATH] HKCU\[...]\Run : NTRedirect (C:\Windows\SysWOW64\rundll32.exe "C:\Users\Jacques\AppData\Roaming\BabSolution\Shared\enhancedNT.dll",Run [-][7]) -> TROUVÉ
[RUN][SUSP PATH] HKUS\S-1-5-21-806984200-2353923094-1164538535-1000\[...]\Run : NTRedirect (C:\Windows\SysWOW64\rundll32.exe "C:\Users\Jacques\AppData\Roaming\BabSolution\Shared\enhancedNT.dll",Run [-][7]) -> TROUVÉ

¤¤¤ Tâches planifiées : 1 ¤¤¤
[V2][SUSP PATH] EPUpdater : C:\Users\Jacques\AppData\Roaming\BABSOL~1\Shared\BabMaint.exe [7] -> TROUVÉ

¤¤¤ Entrées Startup : 0 ¤¤¤

¤¤¤ Navigateurs web : 0 ¤¤¤

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [NON CHARGE 0x0] ¤¤¤

¤¤¤ Ruches Externes: ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> %SystemRoot%\System32\drivers\etc\hosts

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: WDC WD10 EADS-00M2B0 SCSI Disk Device +++++
--- User ---
[MBR] ba64586e916c981c7930ab7492972004
[BSP] 610a40268c3c1e64107bcc00a86e961d : Acer MBR Code
Partition table:
0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 14000 Mo
1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 28674048 | Size: 100 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 28878848 | Size: 469884 Mo
3 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 991201280 | Size: 469883 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[0]_S_09012013_202758.txt >>

Bonsoir

Tu passes à l'option suppression de Roguekiller et tu me postes ce rapport.

Ensuite:

Télécharge Malwaresbytes anti malware ici
https://www.malwarebytes.com/

* Installe le (choisis bien "français" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

* Potasse le tuto pour te familiariser avec le prg :

https://forum.pcastuces.com/sujet.asp?f=31&s=3

(cela dis, il est très simple d'utilisation).

relance Malwaresbytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

* Lance Malwarebyte's. Sous Vista ;Seven ou Windows 8 (clic droit de la souris « exécuter en tant que administrateur »)

*Procèdes à une mise à jour

*Fais un examen dit "Rapide"

--> Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
--> à la fin tu cliques sur "Afficher les résultats" " .
--> Vérifie que tous les objets infectés soient validés, puis clique sur " supprimer la sélection " .

Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !

Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwaresbytes, le dernier en date)

@+

OK gros boulot pour moi mais je vais essayer...
1er point le rapport joint :
RogueKiller V8.6.7 _x64_ [Aug 28 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : http://www.adlice.com/forum/
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Demarrage : Mode normal
Utilisateur : Jacques [Droits d'admin]
Mode : Suppression -- Date : 09/01/2013 21:34:39
| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 3 ¤¤¤
[SUSP PATH][DLL] rundll32.exe -- C:\Users\Jacques\AppData\Roaming\BabSolution\Shared\enhancedNT.dll [7] -> rundll32.exe TUÉ [TermProc]
[SUSP PATH] BrowserDefender.exe -- C:\ProgramData\BrowserDefender\2.6.1562.220\{c16c1ccb-1111-4e5c-a2f3-533ad2fec8e8}\BrowserDefender.exe [7] -> TUÉ [TermProc]
[SUSP PATH] BrowserDefender.exe -- C:\ProgramData\BrowserDefender\2.6.1562.220\{c16c1ccb-1111-4e5c-a2f3-533ad2fec8e8}\BrowserDefender.exe [7] -> TUÉ [TermProc]

¤¤¤ Entrees de registre : 2 ¤¤¤
[RUN][SUSP PATH] HKCU\[...]\Run : NTRedirect (C:\Windows\SysWOW64\rundll32.exe "C:\Users\Jacques\AppData\Roaming\BabSolution\Shared\enhancedNT.dll",Run [-][7]) -> SUPPRIMÉ
[RUN][SUSP PATH] HKUS\S-1-5-21-806984200-2353923094-1164538535-1000\[...]\Run : NTRedirect (C:\Windows\SysWOW64\rundll32.exe "C:\Users\Jacques\AppData\Roaming\BabSolution\Shared\enhancedNT.dll",Run [-][7]) -> [0x2] Le fichier spécifié est introuvable.

¤¤¤ Tâches planifiées : 1 ¤¤¤
[V2][SUSP PATH] EPUpdater : C:\Users\Jacques\AppData\Roaming\BABSOL~1\Shared\BabMaint.exe [7] -> SUPPRIMÉ

¤¤¤ Entrées Startup : 0 ¤¤¤

¤¤¤ Navigateurs web : 0 ¤¤¤

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [NON CHARGE 0x0] ¤¤¤

¤¤¤ Ruches Externes: ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> %SystemRoot%\System32\drivers\etc\hosts

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: WDC WD10 EADS-00M2B0 SCSI Disk Device +++++
--- User ---
[MBR] ba64586e916c981c7930ab7492972004
[BSP] 610a40268c3c1e64107bcc00a86e961d : Acer MBR Code
Partition table:
0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 14000 Mo
1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 28674048 | Size: 100 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 28878848 | Size: 469884 Mo
3 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 991201280 | Size: 469883 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[0]_D_09012013_213439.txt >>
RKreport[0]_S_09012013_202758.txt

à +

Re

Télécharge Malwaresbytes anti malware ici
https://www.malwarebytes.com/

* Installe le (choisis bien "français" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

* Potasse le tuto pour te familiariser avec le prg :

https://forum.pcastuces.com/sujet.asp?f=31&s=3

(cela dis, il est très simple d'utilisation).

relance Malwaresbytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

* Lance Malwarebyte's. Sous Vista ;Seven ou Windows 8 (clic droit de la souris « exécuter en tant que administrateur »)

*Procèdes à une mise à jour

*Fais un examen dit "Complet"

--> Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
--> à la fin tu cliques sur "Afficher les résultats" " .
--> Vérifie que tous les objets infectés soient validés, puis clique sur " supprimer la sélection " .

Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !

Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwaresbytes, le dernier en date)

@+

tout est fait sauf que je n'ai pas posté le rapport dans l'onglet "rapport/log" de Malwaresbytes, puis-je y remédier ? si oui comment ?

Par contre, mes fichiers (documents, images...) sont toujours infectés je ne peux pas les ouvrir ? est-ce normal ? mort ?

merci

Re

Je pense effectivement tous ces fichiers son perdus.
Garde les de côté .
peut être demain la clé pour décrypter ces fichiers.

@+

Re

Peut être disposes tu d'une copie saine de certains fichiers?
Si c'est le cas tu procèdes a partir de xet autre PC pour me fournir une de ces copies saines.
Attention tu ne fais pas cela a partir de ton PC infecté

Merci

On verra ensuite pour la copie du fichier crypté

@+

OK merci beaucoup à demain s'il y a possibilité de récupération
mais si l'infection est partie c'est déjà énorme...
de nouveau merci - bonne nuit

salut il n'y a actuellement pas de solution pour décrypter les fichiers cryptés par decrypt.exe

Salut Gen ;-)

La comparaison crypté-décryté ne fonctionne pas?

@+