Tous mes fichiers sont corrompus soudainement

[bestalg]

Bonsoir Tout le monde.

Je n'arrive tjr pas a ouvrir mes fichiers personnel doc, pdf, jpg, mp3, avi...
du jour au lendemain rien ne s'ouvre, j'ai cru comprendre que j'ai ete infecte par des
virus crypteur de fichier, mais mes fichiers ne presentent aucun signe de modification.
Si quelqu'un peut m'orrienter sa serait sympa, MERCI

Bestalg

[Malekal_morte]

Salut,

Tu as été infecté par un Ransomware chiffreurs de fichier.

Ces derniers vont essentiellement par des pièces jointes malicieux dans des emails ou des Exploits WEB.

Il n'y a pas vraiment de solution pour récupérer les documents.

Il faudra vérifier qu'aucun malware ne soit actif puis changer tous tes mots de passe.

Pour désinfecter l'ordinateur :


Suis ce tutoriel FRST: https://www.malekal.com/tutorial-farbar ... tool-frst/
Télécharge et lance le scan FRST, cela va générer trois rapports FRST :
* FRST.txt
* Shortcut.txt
* Additionnal.txt

Envoie comme expliqué, ces trois rapports sur le site http://pjjoint.malekal.com et donne les trois liens pjjoint de ces rapports afin qu'ils puissent être consultés.

[bestalg]

Merci

voici les liens

http://pjjoint.malekal.com/files.php?id ... 15c9h613d8

http://pjjoint.malekal.com/files.php?id ... 5u10j14m14

http://pjjoint.malekal.com/files.php?id ... 2d9h7x7j15

[Malekal_morte]

Ton PC est infecté par CryptoWall et d'autres trojans comme Sathurbot.



Voici la correction à effectuer avec FRST.
Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutorial-farbar ... -frst/#fix

Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK.
Copie/colle dedans ce qui suit :

C:\Users\massinissa\Downloads\spyhunter 4 18 9 port\esgiguard.sys
S3 esgiguard; C:\Users\massinissa\Downloads\spyhunter 4 18 9 port\esgiguard.sys [15920 2015-01-20] (Enigma Software Group USA, LLC.)
OPR Extension: (App Lid) - C:\Users\massinissa\AppData\Roaming\Opera Software\Opera Stable\Extensions\aemgobnhmjkokaanfjcikbeddfpfbcce [2015-01-04]
OPR Extension: (iWebar) - C:\Users\massinissa\AppData\Roaming\Opera Software\Opera Stable\Extensions\gnjbfdmiommbcdfigaefehgdndnpeech [2015-01-04]
OPR Extension: (SavePass 1.1) - C:\Users\massinissa\AppData\Roaming\Opera Software\Opera Stable\Extensions\ilhhefepljbmehhbmjcflhcchkddfaon [2014-12-31]
Task: {7D55F200-9DCF-4A8A-A595-FA43AD4564E5} - System32\Tasks\smadav => C:\Program Files (x86)\Smadav\SMΔRTP.exe [2014-12-02] (Smadsoft)
ShellIconOverlayIdentifiers: [0PerformanceMonitor] -> {3B5B973C-92A4-4855-9D3F-0F3D23332208} => C:\ProgramData\Microsoft\Performance\Monitor\PerformanceMonitor.dll [2015-05-24] ()
ShellIconOverlayIdentifiers: [1SecureIconsProvider] -> {FC9D8189-520A-4417-AED7-9EAC810C6FBA} => C:\ProgramData\Microsoft\Secure\Icons\SecureIconsProvider.dll No File
HKU\S-1-5-21-408409763-1372537470-2653132301-1000\...\Run: [Eswption] => regsvr32.exe C:\Users\massinissa\AppData\Local\Eswption\PhysxMap3D.dll <===== ATTENTION
HKU\S-1-5-21-408409763-1372537470-2653132301-1000\...\Run: [Ugqjmedia] => C:\Windows\SysWOW64\regsvr32.exe C:\Users\massinissa\AppData\Local\YzwnPack\VisionDrv24.dll
2015-06-01 18:10 - 2015-06-01 18:10 - 00008664 _____ () C:\ProgramData\HELP_DECRYPT.HTML
2015-06-01 18:10 - 2015-06-01 18:10 - 00008664 _____ () C:\HELP_DECRYPT.HTML
2015-06-01 18:10 - 2015-06-01 18:10 - 00004272 _____ () C:\ProgramData\HELP_DECRYPT.TXT
2015-06-01 18:10 - 2015-06-01 18:10 - 00004272 _____ () C:\HELP_DECRYPT.TXT
2015-05-24 00:07 - 2015-06-01 17:38 - 00000000 ____D () C:\Users\massinissa\AppData\Local\YzwnPack
2015-05-24 00:07 - 2015-06-01 17:38 - 00000000 ____D () C:\Users\massinissa\AppData\Local\Eswption
2015-05-28 20:04 - 2015-05-28 20:04 - 00008664 _____ () C:\Users\Public\Documents\HELP_DECRYPT.HTML
2015-05-28 20:04 - 2015-05-28 20:04 - 00008664 _____ () C:\Users\HELP_DECRYPT.HTML
2015-05-28 20:04 - 2015-05-28 20:04 - 00004272 _____ () C:\Users\Public\Documents\HELP_DECRYPT.TXT
2015-05-28 20:04 - 2015-05-28 20:04 - 00004272 _____ () C:\Users\HELP_DECRYPT.TXT
2015-05-28 20:04 - 2015-05-28 20:04 - 00000300 _____ () C:\Users\Public\HELP_DECRYPT.URL
2015-05-28 20:04 - 2015-05-28 20:04 - 00000300 _____ () C:\Users\Public\Documents\HELP_DECRYPT.URL
2015-05-28 20:04 - 2015-05-28 20:04 - 00000300 _____ () C:\Users\HELP_DECRYPT.URL
2015-05-28 20:01 - 2015-05-28 20:01 - 00000300 _____ () C:\Users\massinissa\Downloads\HELP_DECRYPT.URL
2015-05-28 19:36 - 2015-05-28 19:36 - 00008664 _____ () C:\Users\massinissa\AppData\HELP_DECRYPT.HTML
2015-05-28 19:36 - 2015-05-28 19:36 - 00004272 _____ () C:\Users\massinissa\AppData\HELP_DECRYPT.TXT
2015-05-28 19:36 - 2015-05-28 19:36 - 00000300 _____ () C:\Users\massinissa\AppData\HELP_DECRYPT.URL
2015-05-28 19:30 - 2015-05-28 19:30 - 00008664 _____ () C:\Users\Administrator\AppData\HELP_DECRYPT.HTML
2015-05-28 19:30 - 2015-05-28 19:30 - 00004272 _____ () C:\Users\Administrator\AppData\HELP_DECRYPT.TXT
2015-05-28 19:30 - 2015-05-28 19:30 - 00000300 _____ () C:\Users\Administrator\AppData\HELP_DECRYPT.URL
C:\Program Files (x86)\Smadav

Une fois, le texte coller dans le bloc-note.
Menu Fichier puis Enregistrer sous.
A gauche, place toi sur le bureau.
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.

Relance FRST et clic sur le bouton Fix
Selon comment un redémarrage est nécessaire (pas obligatoire).
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur



Malwarebytes (temps : environ 40min de scan):
==================================================
Télécharge et installe Malwarebyte : https://www.malekal.com/malwarebyte-ant ... les-virus/
Mets le à jour puis lance un examen.

A la fin du scan, clic sur "Mettre tout en quarantaine" en bas à gauche.
Redémarre l'ordinateur si besoin.
Après redémarrage, relance Malwarebytes.
Vas chercher le rapport dans l'onglet Historique.
A gauche Journal des examens.
Doube-clic sur l'examen dans la liste.
Puis en bas Copier dans le presse papier
Vas sur http://pjjoint.malekal.com et en bas, clic droit / coller pour coller le rapport du scan Malwarebytes.
Clic sur envoyer.
Dans un nouveau message ici en réponse, donne le lien pjjoint afin de pouvoir consulter le rapport.

[bestalg]

Fix result of Farbar Recovery Scan Tool (x64) Version: 29-05-2015
Ran by massinissa at 2015-06-02 16:13:48 Run:1
Running from C:\Users\massinissa\Documents\01
Loaded Profiles: massinissa (Available Profiles: massinissa)
Boot Mode: Normal
==============================================

fixlist content:
*****************
Task: {7D55F200-9DCF-4A8A-A595-FA43AD4564E5} - System32\Tasks\smadav => C:\Program Files (x86)\Smadav\SMΔRTP.exe [2014-12-02] (Smadsoft)
ShellIconOverlayIdentifiers: [0PerformanceMonitor] -> {3B5B973C-92A4-4855-9D3F-0F3D23332208} => C:\ProgramData\Microsoft\Performance\Monitor\PerformanceMonitor.dll [2015-05-24] ()
ShellIconOverlayIdentifiers: [1SecureIconsProvider] -> {FC9D8189-520A-4417-AED7-9EAC810C6FBA} => C:\ProgramData\Microsoft\Secure\Icons\SecureIconsProvider.dll No File
HKU\S-1-5-21-408409763-1372537470-2653132301-1000\...\Run: [Eswption] => regsvr32.exe C:\Users\massinissa\AppData\Local\Eswption\PhysxMap3D.dll <===== ATTENTION
HKU\S-1-5-21-408409763-1372537470-2653132301-1000\...\Run: [Ugqjmedia] => C:\Windows\SysWOW64\regsvr32.exe C:\Users\massinissa\AppData\Local\YzwnPack\VisionDrv24.dll
2015-06-01 18:10 - 2015-06-01 18:10 - 00008664 _____ () C:\ProgramData\HELP_DECRYPT.HTML
2015-06-01 18:10 - 2015-06-01 18:10 - 00008664 _____ () C:\HELP_DECRYPT.HTML
2015-06-01 18:10 - 2015-06-01 18:10 - 00004272 _____ () C:\ProgramData\HELP_DECRYPT.TXT
2015-06-01 18:10 - 2015-06-01 18:10 - 00004272 _____ () C:\HELP_DECRYPT.TXT
2015-05-24 00:07 - 2015-06-01 17:38 - 00000000 ____D () C:\Users\massinissa\AppData\Local\YzwnPack
2015-05-24 00:07 - 2015-06-01 17:38 - 00000000 ____D () C:\Users\massinissa\AppData\Local\Eswption
2015-05-28 20:04 - 2015-05-28 20:04 - 00008664 _____ () C:\Users\Public\Documents\HELP_DECRYPT.HTML
2015-05-28 20:04 - 2015-05-28 20:04 - 00008664 _____ () C:\Users\HELP_DECRYPT.HTML
2015-05-28 20:04 - 2015-05-28 20:04 - 00004272 _____ () C:\Users\Public\Documents\HELP_DECRYPT.TXT
2015-05-28 20:04 - 2015-05-28 20:04 - 00004272 _____ () C:\Users\HELP_DECRYPT.TXT
2015-05-28 20:04 - 2015-05-28 20:04 - 00000300 _____ () C:\Users\Public\HELP_DECRYPT.URL
2015-05-28 20:04 - 2015-05-28 20:04 - 00000300 _____ () C:\Users\Public\Documents\HELP_DECRYPT.URL
2015-05-28 20:04 - 2015-05-28 20:04 - 00000300 _____ () C:\Users\HELP_DECRYPT.URL
2015-05-28 20:01 - 2015-05-28 20:01 - 00000300 _____ () C:\Users\massinissa\Downloads\HELP_DECRYPT.URL
2015-05-28 19:36 - 2015-05-28 19:36 - 00008664 _____ () C:\Users\massinissa\AppData\HELP_DECRYPT.HTML
2015-05-28 19:36 - 2015-05-28 19:36 - 00004272 _____ () C:\Users\massinissa\AppData\HELP_DECRYPT.TXT
2015-05-28 19:36 - 2015-05-28 19:36 - 00000300 _____ () C:\Users\massinissa\AppData\HELP_DECRYPT.URL
2015-05-28 19:30 - 2015-05-28 19:30 - 00008664 _____ () C:\Users\Administrator\AppData\HELP_DECRYPT.HTML
2015-05-28 19:30 - 2015-05-28 19:30 - 00004272 _____ () C:\Users\Administrator\AppData\HELP_DECRYPT.TXT
2015-05-28 19:30 - 2015-05-28 19:30 - 00000300 _____ () C:\Users\Administrator\AppData\HELP_DECRYPT.URL
C:\Program Files (x86)\Smadav
*****************

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{7D55F200-9DCF-4A8A-A595-FA43AD4564E5}" => key Removed successfully
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{7D55F200-9DCF-4A8A-A595-FA43AD4564E5}" => key Removed successfully
C:\Windows\System32\Tasks\smadav => Moved successfully.
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\smadav" => key Removed successfully
"HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\0PerformanceMonitor" => key Removed successfully
"HKCR\CLSID\{3B5B973C-92A4-4855-9D3F-0F3D23332208}" => key Removed successfully
"HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\1SecureIconsProvider" => key Removed successfully
"HKCR\CLSID\{FC9D8189-520A-4417-AED7-9EAC810C6FBA}" => key Removed successfully
HKU\S-1-5-21-408409763-1372537470-2653132301-1000\Software\Microsoft\Windows\CurrentVersion\Run\\Eswption => value Removed successfully
HKU\S-1-5-21-408409763-1372537470-2653132301-1000\Software\Microsoft\Windows\CurrentVersion\Run\\Ugqjmedia => value Removed successfully
C:\ProgramData\HELP_DECRYPT.HTML => Moved successfully.
C:\HELP_DECRYPT.HTML => Moved successfully.
C:\ProgramData\HELP_DECRYPT.TXT => Moved successfully.
C:\HELP_DECRYPT.TXT => Moved successfully.
C:\Users\massinissa\AppData\Local\YzwnPack => Moved successfully.
C:\Users\massinissa\AppData\Local\Eswption => Moved successfully.
C:\Users\Public\Documents\HELP_DECRYPT.HTML => Moved successfully.
C:\Users\HELP_DECRYPT.HTML => Moved successfully.
C:\Users\Public\Documents\HELP_DECRYPT.TXT => Moved successfully.
C:\Users\HELP_DECRYPT.TXT => Moved successfully.
C:\Users\Public\HELP_DECRYPT.URL => Moved successfully.
C:\Users\Public\Documents\HELP_DECRYPT.URL => Moved successfully.
C:\Users\HELP_DECRYPT.URL => Moved successfully.
C:\Users\massinissa\Downloads\HELP_DECRYPT.URL => Moved successfully.
C:\Users\massinissa\AppData\HELP_DECRYPT.HTML => Moved successfully.
C:\Users\massinissa\AppData\HELP_DECRYPT.TXT => Moved successfully.
Fixlog.txt

C:\Users\massinissa\AppData\HELP_DECRYPT.URL => Moved successfully.
C:\Users\Administrator\AppData\HELP_DECRYPT.HTML => Moved successfully.
C:\Users\Administrator\AppData\HELP_DECRYPT.TXT => Moved successfully.
C:\Users\Administrator\AppData\HELP_DECRYPT.URL => Moved successfully.

"C:\Program Files (x86)\Smadav" folder move:

Could not move "C:\Program Files (x86)\Smadav" folder => Scheduled to move on reboot.


Result of scheduled files to move (Boot Mode: Normal) (Date&Time: 2015-06-02 16:18:03)<=

C:\Program Files (x86)\Smadav => Is moved successfully

==== End of Fixlog 16:18:03 ====

[Malekal_morte]

ok passe à Malwarebytes =)

[bestalg]

Juste une chose,
je vien de decouvrir que tout mes repertoires contiennent 4 fichier HELP DECRYPT.
apres une petite recherche il s'avere que c un virus Cryptowall 3.0
Quesque ca veut dire, les fichiers sont perdu a jamais?

[bestalg]

Any Solution, Please

[Malekal_morte]

Non pas de solution, voir mon premier message.