Cryptage de fichier - Photo impossible à lire Fermé

Question

Bonjour, 
depuis quelques jours je n'arrive plus à ouvrir mes photos. Elle ne s'affiche plus, et ce, quelque soit le logiciel utilisé : Paint, Photo, Photoshop, etc. 
En regardant le journal d'évènement, je m'aperçois que Windows crypte tous mes fichiers depuis plusieurs jours. 
Avez vous une solution pour remédier à ce problème ? 
src='http://static.ccm2.net/www.commentcamarche.net/faq/images/xnVYHYlYw3RqfdhI-s-.png' alt='' width='440' height='139'  border='0' />
Configuration: Windows / Edge 14.14393

Malekal_morte- · Answer

Salut,
Pour voir cela :
Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).
Télécharge et lance le scan FRST, 3 rapports FRST seront générés :

 FRST.txt
 Shortcut.txt
 Additionnal.txtEnvoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

Malekal_morte- · Answer

Le ransomware n'est plus actif... Peut-être infecté par Sathurbot Je vois que tu as déjà installé ShadowExplorer. S'il ne trouve rien, c'est mort pour la récupération des fichiers. 1°) Désinstalle SpyHunter 4 sert à rien. Du coup tu as installé plein de programmes inutiles comme File Repair Paretologic EaseUS Data Recovery Wizard c'est pour la récupération de fichiers supprimés. Désinstalle tout ça. 2°) Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran. Ouvre le bloc-notes : Touche Windows + R, Dans le champs "Exécuter", saisir notepad et OK. Copie/Colle dedans ce qui suit : CreateRestorePoint:CloseProcesses:CreateRestorePoint:Task: C:\WINDOWS\Tasks\ParetoLogic Registration3.job => rundll32.exe � C:\Program Files (x86)\Common Files\ParetoLogic\UUS3\UUS3.dll <==== ATTENTIONTask: C:\WINDOWS\Tasks\ParetoLogic Update Version3 Startup Task.job => C:\Program Files (x86)\Common Files\ParetoLogic\UUS3\Pareto_Update3.exe <==== ATTENTIONTask: C:\WINDOWS\Tasks\ParetoLogic Update Version3.job => C:\Program Files (x86)\Common Files\ParetoLogic\UUS3\Pareto_Update3.exe <==== ATTENTION2017-02-07 10:58 - 2017-02-07 13:33 - 00000486 _____ C:\WINDOWS\Tasks\ParetoLogic Registration3.job 2017-02-07 10:58 - 2017-02-07 10:58 - 00003298 _____ C:\WINDOWS\System32\Tasks\ParetoLogic Registration3 2017-02-07 10:57 - 2017-02-07 13:33 - 00000512 _____ C:\WINDOWS\Tasks\ParetoLogic Update Version3 Startup Task.job 2017-02-07 10:57 - 2017-02-07 13:33 - 00000460 _____ C:\WINDOWS\Tasks\ParetoLogic Update Version3.job 2017-02-07 10:57 - 2017-02-07 10:57 - 00003428 _____ C:\WINDOWS\System32\Tasks\ParetoLogic Update Version3 2017-02-07 10:57 - 2017-02-07 10:57 - 00003116 _____ C:\WINDOWS\System32\Tasks\ParetoLogic Update Version3 Startup Task Hosts:EmptyTemp:RemoveProxy:Reboot: Une fois, le texte collé dans le Bloc-notes, Menu "Fichier" puis "Enregistrer sous", A gauche, place toi sur le Bureau, Dans le champs en bas, nom du fichier mets : fixlist.txt Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau. Relance FRST et clique sur le bouton "Corriger / Fix" Un redémarrage sera peut-être nécessaire ( pas obligatoire ) Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message. Redémarre l'ordinateur. 3°) Je pense qu'une réinitialisation de Chrome s'impose aussi. Tu as installé l'extension parasite FromDocToPDF et plein d'autres qu'on ne sait pas d'où ça sort... Réinitialise/Répare les navigateurs WEB : Réparer Google Chrome (seulement le premier paragraphe).Evite d'installer tous les logiciels que tu trouves, tu vas avoir des problèmes à coup sûr... puis : 4°) MalwareBytes ( durée : environ 40min de scan ): ================================================== Télécharge et installe MBAM. La version gratuite permet de nettoyer ( décoche bien la proposition d'essai de la version Premium à la fin de l'installation ) : Tutoriel Malwarebytes Anti-Malware (MBAM) version gratuiteMettre MBAM à jour puis lancer un examen. A la fin du scan, clique sur "Supprimer Sélection" en bas à gauche. Redémarrer l'ordinateur si nécessaire puis relancer Malwarebytes. Vas chercher le rapport dans l'onglet "Historique". A gauche "Journal d'analyse", double-clique sur l'examen dans la liste. Puis en bas "Copier dans le presse papier", va sur http://pjjoint.malekal.com/, clique droit "Coller" pour coller le contenu du rapport du scan. Clique sur "Envoyer". Dans un nouveau message ici en réponse, donne le lien pjjoint afin de pouvoir consulter le rapport. Veuillez appuyer sur une touche pour continuer la désinfection...

Malekal_morte- · Answer

Ce qui est étonnant c'est que je m'aperçois que mes droits utilisateurs sur mon poste ont également changé. Je dois être désormais en admin pour enregistrer des fichiers sur le bureau ...! 
Comment ça ? quel message as-tu ?
Tu peux envoyer ce fichier C:\Users\dacon\AppData\Local\Microsoft\Performance\Monitor\PerformanceMonitor.dll sur https://www.virustotal.com/gui/
et donner le lien de scan ici.

Malekal_morte- · Answer

bon, c'est bien le Sathurbot, que j'ai mentionné plus haut.
C'est probablement lui qui a installé le ransomware pour monétiser...
Mais je comprends pas pourquoi Malwarebytes ne l'a pas viré.

SHA256: 84d0ba748ad9ac4ed296863e0587594d2f8daa593aeb719fda1242aeea8a2e26
File name: PerformanceMonitor.dll
Detection ratio: 15 / 55

Antivirus Result Update
AVG Agent5.AXBV 20170209
Avast Win64:Dropper-gen [Drp] 20170209
Baidu Win32.Trojan.WisdomEyes.16070401.9500.9943 20170209
CrowdStrike Falcon (ML) malicious_confidence_84% (D) 20170130
ESET-NOD32 a variant of Win64/Agent.GP 20170209
Ikarus Trojan.Win64.Agent 20170209
K7AntiVirus Trojan ( 005039381 ) 20170209
K7GW Trojan ( 005039381 ) 20170209
McAfee Artemis!C28BC2E297FF 20170209
McAfee-GW-Edition BehavesLike.Win64.Dropper.rh 20170209
Rising Malware.Generic!Wm0dG6iYfRC@6 (thunder) 20170209
Symantec Trojan.Gen.2 20170209
TrendMicro BKDR64_SATHURBOT.AUS 20170209
VIPRE Trojan.Win32.Generic!BT 20170209
ViRobot Trojan.Win32.Z.Agent.4930560.B[h] 20170209 

Pour tes prob de fichiers/enregistrements
rappelle le moi plus tard, on va déjà s'occuper de lui.


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R, 
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit : 

CreateRestorePoint:CloseProcesses:CreateRestorePoint: HKU\S-1-5-21-3004903763-4288674696-1906483801-1001\...\Run: [Windows Performance Monitor] => rundll32.exe C:\Users\dacon\AppData\Local\Microsoft\Performance\Monitor\PerformanceMonitor.dll,DllInstall C:\Users\dacon\AppData\Local\Microsoft\Performance\Monitor\PerformanceMonitor.dllHosts:EmptyTemp:RemoveProxy:Reboot:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",

A gauche, place toi sur le Bureau,

Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.


Redémarre l'ordinateur.

2/


Fais un scan en ligne avec NOD32 puis enregistre le rapport. Envoie le sur http://pjjoint.malekal.com/ et donne le lien ici.

Veuillez appuyer sur une touche pour continuer la désinfection...

Cryptage de fichier - Photo impossible à lire

4 réponses

Discussions similaires