virus Decrypt_InstructionRésolu/Fermé

Question

Bonjour, 



Configuration: Windows 7 / Chrome 35.0.1916.114

Salut, je bosse dans un bureau et j'ai chope un virus qui crypte tous mes fichiers jpg, doc, mp3...etc..
Et dans chaque dossier, il y a apparition d'un ou deux fichiers nommes decrypt_instruction...alors j'ai surfe sur google et j'ai fait ce qu'on me conseillait, cad, ccleaner, roguekiller, malwarebytes et antivirus nod32..

Je pense avoir supprime le virus, mais mes fichiers sont toujours cryptes...je cherche un moyen, s'il y en a un, pour recuperer tous mes fichiers...j'en ai des milliers....j'ai essaye Anticryptorbit...il supprime mes fichiers cryptes...j'ai encore essaye Shadowexplorer...il me propose de restaurer mes fichiers a une version precedente, mais il ne me propose que des versions datees d'aujourd'hui...et comme j'ai le virus depuis 3 jours..ben ca ne change rien..j'ai aussi essaye de les restaurer a une version anterieure via le click droit puis proprietes...mais il ne trouve pas de version anterieure...

Donc voila, je m'en remets a vous..en esperant que l'un de vous aura la solution....

Un tout grand merci par avance.....

lilidurhone · Answer

Hello

Pour tes docs c'est fichu :/

Attends l'aide de Malekal pour voir si tu es toujours infecté

Joliebrune · Answer

Bonjour, 

et qui est Malekal?? vient il souvent sur ce forum?? va t il voir mon message???


Bien a toi

lilidurhone · Answer

Oui il est contributeur sécurité

Rassure toi il est prévenu

Joliebrune · Answer

Merci a tous en tous les cas... ;)

Joliebrune · Answer

coucou y'a qqun??

Malekal_morte- · Answer

Les seules pseudos solutions sont là : https://www.malekal.com/virus-securite/ransomwares/
mais ça ne devrait pas fonctionner.

Change bien tous tes mots de passe WEB, ils ont surement été volés.

Utilisateur anonyme · Answer

merci  pour le temps perdu

Joliebrune · Answer

Salut malekal, merci pour toutes ces infos..j'ai poste sur le forum de pc infopratique les fichiers OTL et Extras..peux tu me dire si mon pc est encore infecte stp??
Bien a toi..

Malekal_morte- · Answer

si tu veux,



Faire un Scan OTL - Temps : Environ 40min
=====================
OTL permet de diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt 
Fournir les deux rapports :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/    

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.    
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)    

Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

* Lance OTL    
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :    



netsvcs   
msconfig   
safebootminimal   
safebootnetwork   
activex   
drivers32   
%ALLUSERSPROFILE%\Application Data\*.   
%ALLUSERSPROFILE%\Application Data\*.exe /s
%ALLUSERSPROFILE%\Application Data\*.dll /s
%APPDATA%\*.   
%APPDATA%\*.exe /s   
%temp%\*.exe /s   
%SYSTEMDRIVE%\*.exe   
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\system32\*.dll /lockedfiles   
%windir%\Tasks\*.job /lockedfiles   
%systemroot%\system32\drivers\*.sys /lockedfiles   
%systemroot%\System32\config\*.sav   
/md5start   
explorer.exe   
winlogon.exe
services.exe
wininit.exe
/md5stop
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor /s
HKEY_CURRENT_USER\Software\Microsoft\Command Processor /s
CREATERESTOREPOINT   
nslookup www.google.fr /c
ping www.google.fr /c
ipconfig /all /c
SAVEMBR:0   
hklm\software\clients\startmenuinternet|command /rs   
hklm\software\clients\startmenuinternet|command /64 /rs



* Clique sur le bouton Analyse.

**** Si durant le scan - OTL ne répond pas, ne touche à rien et laisse le scan se poursuivre ****

* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent).
Donne le ou les liens pjjoint qui pointent vers ces rapports ici dans une réponse.
Je répète : donne le lien du rapport pjjoint ici en réponse.

NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT DANS UN NOUVEAU MESSAGE

Joliebrune · Answer

https://pjjoint.malekal.com/files.php?id=20140608_e6i11q8o13m6

Joliebrune · Answer

https://pjjoint.malekal.com/files.php?id=20140608_11s9g6g10b11

Joliebrune · Answer

Merci de m'aider en tous cas...;)

Malekal_morte- · Answer

Rapport ok, change bien tous tes mots de passe.

Joliebrune · Answer

Donc il n'y a plus de trace du virus???

Malekal_morte- · Answer

non :)

Joliebrune · Answer

Un tout grand merci pour votre travail en tous cas...;)

djesarcor · Answer

Salut j'ai aussi attrapé ce virus et j'ai suivi la discussion donc voila mon fichier otl :
https://pjjoint.malekal.com/files.php?id=OTL_Extras_20141015_s9j9o13c14w14

et mon fichier extra :
https://pjjoint.malekal.com/files.php?id=OTL_Extras_20141015_h14k11f55y10

Un grand merci d'avance

mokamok · Answer

Bonsoir, d abord merci pour le travail que vous faites.

Voila moi aussi j ai choppe ce virus et j ai fais les demarches decrites en haut

https://pjjoint.malekal.com/files.php?id=20141121_i15q12x11t1213

https://pjjoint.malekal.com/files.php?id=20141121_g8h6b5c15r6

Merci d avance et bonne continuation

Malekal_morte- · Answer

Ouvre le bloc-notes : Menu Démarrer / Tous les programmes / Accessoires et Bloc-Notes. Copie/colle dedans ce qui suit : HKLM Group Policy restriction on software: C:\Program Files\Avira <====== ATTENTION HKLM Group Policy restriction on software: C:\Documents and Settings\All Users\Application Data\Avira <====== ATTENTION HKLM Group Policy restriction on software: C:\Documents and Settings\All Users\Application Data\Microsoft\Microsoft Antimalware <====== ATTENTION HKLM Group Policy restriction on software: C:\Documents and Settings\All Users\Application Data\McAfee <====== ATTENTION Winlogon\Notify\vrandhu: C:\Users\abdou\AppData\Local\vrandhu.dll [X] Startup: C:\Users\abdou\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\TornTvDownloader.lnk ShortcutTarget: TornTvDownloader.lnk -> C:\Users\abdou\AppData\Roaming\TornTV.com\Torntv Downloader.exe (No File) Startup: C:\Users\abdou\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\DECRYPT_INSTRUCTION.HTML () Startup: C:\Users\abdou\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\DECRYPT_INSTRUCTION.TXT () InternetURL: C:\Users\abdou\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\DECRYPT_INSTRUCTIO CHR HomePage: Default -> hxxp://search.conduit.com/?ctid=CT3317742&octid=EB_ORIGINAL_CTID&SearchSource=55&CUI=&UM=2&UP=SP81769D5F-4044-4150-A04E-1A8EE4F0732F&SSPV= [Pays NL - 195.78.120.88] CHR StartupUrls: Default -> hxxp://search.conduit.com/?ctid=CT3317742&octid=EB_ORIGINAL_CTID&SearchSource=55&CUI=&UM=2&UP=SP81769D5F-4044-4150-A04E-1A8EE4F0732F&SSPV= [Pays NL - 195.78.120.88] CHR DefaultSearchKeyword: Default -> trovi.search CHR DefaultSearchURL: Default -> http://search.conduit.com/?ctid=CT3317742&octid=EB_ORIGINAL_CTID&SearchSource=58&CUI=&UM=2&UP=SP81769D5F-4044-4150-A04E-1A8EE4F0732F&q={searchTerms}&SSPV= [Pays NL - 195.78.120.88] CHR DefaultSuggestURL: Default -> http://suggest.seccint.com/CSuggestJson.ashx?prefix={searchTerms} [Pays NL - 195.78.120.106] CHR Extension: (BetterMarkIt) - C:\Users\abdou\AppData\Local\Google\Chrome\User Data\Default\Extensions\cbdphnpmadbgpkbgddpeafpcomcfflpe [2014-08-29] CHR Extension: (SearchNewTab) - C:\Users\abdou\AppData\Local\Google\Chrome\User Data\Default\Extensions\lpoafbeoiolamimaoibgbkenhaiijbjp [2013-05-24] 2014-11-19 20:47 - 2014-11-19 20:47 - 00008542 _____ () C:\Users\DECRYPT_INSTRUCTION.HTML 2014-11-19 20:47 - 2014-11-19 20:47 - 00008542 _____ () C:\Users\abdou\DECRYPT_INSTRUCTION.HTML 2014-11-19 20:47 - 2014-11-19 20:47 - 00008542 _____ () C:\DECRYPT_INSTRUCTION.HTML 2014-11-19 20:47 - 2014-11-19 20:47 - 00004212 _____ () C:\Users\DECRYPT_INSTRUCTION.TXT 2014-11-19 20:47 - 2014-11-19 20:47 - 00004212 _____ () C:\Users\abdou\DECRYPT_INSTRUCTION.TXT 2014-11-19 20:47 - 2014-11-19 20:47 - 00004212 _____ () C:\DECRYPT_INSTRUCTION.TXT 2014-11-19 20:47 - 2014-11-19 20:47 - 00000282 _____ () C:\Users\DECRYPT_INSTRUCTION.URL 2014-11-19 20:47 - 2014-11-19 20:47 - 00000282 _____ () C:\Users\abdou\DECRYPT_INSTRUCTION.URL 2014-11-19 20:47 - 2014-11-19 20:47 - 00000282 _____ () C:\DECRYPT_INSTRUCTION.URL 2014-11-19 20:01 - 2014-11-19 20:01 - 00008542 _____ () C:\Users\abdou\Documents\DECRYPT_INSTRUCTION.HTML 2014-11-19 20:01 - 2014-11-19 20:01 - 00004212 _____ () C:\Users\abdou\Documents\DECRYPT_INSTRUCTION.TXT 2014-11-19 20:01 - 2014-11-19 20:01 - 00000282 _____ () C:\Users\abdou\Documents\DECRYPT_INSTRUCTION.URL 2014-11-19 18:01 - 2014-11-19 18:01 - 00008542 _____ () C:\Users\abdou\AppData\Roaming\DECRYPT_INSTRUCTION.HTML 2014-11-19 18:01 - 2014-11-19 18:01 - 00008542 _____ () C:\Users\abdou\AppData\DECRYPT_INSTRUCTION.HTML 2014-11-19 18:01 - 2014-11-19 18:01 - 00004212 _____ () C:\Users\abdou\AppData\Roaming\DECRYPT_INSTRUCTION.TXT 2014-11-19 18:01 - 2014-11-19 18:01 - 00004212 _____ () C:\Users\abdou\AppData\DECRYPT_INSTRUCTION.TXT 2014-11-19 18:01 - 2014-11-19 18:01 - 00000282 _____ () C:\Users\abdou\AppData\Roaming\DECRYPT_INSTRUCTION.URL 2014-11-19 18:01 - 2014-11-19 18:01 - 00000282 _____ () C:\Users\abdou\AppData\DECRYPT_INSTRUCTION.URL 2014-11-19 17:52 - 2014-11-19 17:52 - 00008542 _____ () C:\Users\abdou\AppData\Local\DECRYPT_INSTRUCTION.HTML 2014-11-19 17:52 - 2014-11-19 17:52 - 00004212 _____ () C:\Users\abdou\AppData\Local\DECRYPT_INSTRUCTION.TXT 2014-11-19 17:52 - 2014-11-19 17:52 - 00000282 _____ () C:\Users\abdou\AppData\Local\DECRYPT_INSTRUCTION.URL 2014-11-19 17:44 - 2014-11-19 17:44 - 00008542 _____ () C:\ProgramData\DECRYPT_INSTRUCTION.HTML 2014-11-19 17:44 - 2014-11-19 17:44 - 00004212 _____ () C:\ProgramData\DECRYPT_INSTRUCTION.TXT 2014-11-19 17:44 - 2014-11-19 17:44 - 00000282 _____ () C:\ProgramData\DECRYPT_INSTRUCTION.URL 2014-11-20 19:46 - 2014-09-20 21:02 - 00000000 ____D () C:\Program Files\Reimageplus.com Menu Fichier / Enregistrer-sous Place toi sur le bureau. Dans le champs en bas, nom du fichier mets : fixlist.txt Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau. Relance FRST et clic sur le bouton fix Selon comment un redémarrage est nécessaire (pas obligatoire). Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message. Si FRST ne l'a pas fait, redémarre l'ordinateur.

Pierre95 · Answer

bonjour,

j'ai également ce probléme sur seulement un de mes lecteurs reseaux.
voici le lien OTL  http://pjjoint.malekal.com/files.php?id=20150128_c7s7e10n7k14

Merci de votre aide.

Destrio5 · Answer

Bonjour,

Pour créer votre propre sujet :
https://forums.commentcamarche.net/forum/virus-securite-7/new

Virus Decrypt_Instruction

21 réponses

Discussions similaires

Newsletters