Mon Windows 7 vient d'être infecté par CryptoWall

[sebb]

Bonjour à tous,

Mon Windows vient d'être infecté par le virus cryptowall.

J'ai effectué un scan malwarebytes qui m'a trouvé les éléments infectés que j'ai mis en quarantaine mais je voudrais m'assurer que ce virus est bien éradiqué. J'avais déjà eté infecté il ya quelques temps par une autre variante de ce virus qui m'avait placé des fichiers textes " how to recover " mais n'avait apparement pas crypté mes dossiers. La c'est plus grave j'ai plein de fichiers cryptés, il s'est même attaqué à mon disque dur externe....y-a t-il à ce jour un moyen de récupérer ces fichiers cryptés?

Peut-on savoir savoir par ou est rentré précisément ce virus? Dois-je changer mes mots de passe?
Si quelqu'un pourrait m'aider à m'en débarrasser je lui en serais très reconnaissant.

Merci d'avance

[Malekal_morte]

Salut,


Windows a été infecté par un ransomware / rançongiciel chiffreur de fichiers. Ces rançongiciels s'attrapent essentiellement par l'ouverture d'une pièce jointe malicieuse dans un e-mail ou par la visite d'une page internet piégée par des exploits WEB.

A l'heure actuelle, il n'y a pas vraiment de méthode pour récupérer les documents chiffrés. Si les données sont très importantes, les stocker temporairement à l'abri car peut-être qu'il y aura dans le futur une solution pour les récupérer.

Il faut d'abord vérifier qu'aucune menace ne soit encore active.
Par précaution, pense aussi à changer tous tes mots de passe.

1°) FRST
Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST, 3 rapports FRST seront générés :
* FRST.txt
* Shortcut.txt
* Additionnal.txt

Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

[sebb]

voici les 3 fichiers générés :
http://pjjoint.malekal.com/files.php?id ... w10p12q5z6
http://pjjoint.malekal.com/files.php?id ... e10y12h7s9
http://pjjoint.malekal.com/files.php?id ... 11w10u9i11

Merci à vous

[Malekal_morte]

Je te conseille de désinstaller Spybot, pas super efficace, selon moi. ( Adwares : Antispyware comment ne pas désinfecter son Windows )



Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

Code : Tout sélectionner

 2016-01-30 13:57 - 2016-01-30 13:57 - 00002668 _____ C:\Users\djghettoblaster\AppData\Local\bb8xx.0e 
 2016-01-30 13:57 - 2016-01-30 13:57 - 00002668 _____ C:\Users\djghettoblaster\AppData\Local\Apps\m4bfn.1u2rt 
 2016-01-30 13:57 - 2016-01-30 13:57 - 00002668 _____ C:\Users\djghettoblaster\AppData\Local\Apps\1jrt80.3mxm1 
 2016-01-30 13:57 - 2016-01-30 13:57 - 00002668 _____ C:\Users\djghettoblaster\AppData\Local\3ik2y.f4j 
 2016-01-30 13:57 - 2016-01-30 13:57 - 00002668 _____ C:\Users\djghettoblaster\AppData\358eiwh1w1.tgk0 
 2016-01-30 13:56 - 2016-01-30 13:56 - 00002668 _____ C:\Users\Default\AppData\Roaming\y7lys90o.797 
 2016-01-30 13:56 - 2016-01-30 13:56 - 00002668 _____ C:\Users\Default\AppData\Roaming\lubeo4h2lt.208 
 2016-01-30 13:56 - 2016-01-30 13:56 - 00002668 _____ C:\Users\Default\AppData\Local\x5g4jtynk.2lc 
 2016-01-30 13:56 - 2016-01-30 13:56 - 00002668 _____ C:\Users\Default\AppData\Local\jl4jp4jn.m5e50 
 2016-01-30 13:56 - 2016-01-30 13:56 - 00002668 _____ C:\Users\Default\AppData\cs2sq.n37v 
 2016-01-30 13:56 - 2016-01-30 13:56 - 00002668 _____ C:\Users\Default\AppData\6rrku.3c 
 2016-01-30 13:56 - 2016-01-30 13:56 - 00002668 _____ C:\Users\Default User\AppData\Roaming\y7lys90o.797 
 2016-01-30 13:56 - 2016-01-30 13:56 - 00002668 _____ C:\Users\Default User\AppData\Roaming\lubeo4h2lt.208 
 2016-01-30 13:56 - 2016-01-30 13:56 - 00002668 _____ C:\Users\Default User\AppData\Local\x5g4jtynk.2lc 
 2016-01-30 13:56 - 2016-01-30 13:56 - 00002668 _____ C:\Users\Default User\AppData\Local\jl4jp4jn.m5e50 
 2016-01-30 13:56 - 2016-01-30 13:56 - 00002668 _____ C:\Users\Default User\AppData\cs2sq.n37v 
 2016-01-30 13:56 - 2016-01-30 13:56 - 00002668 _____ C:\Users\Default User\AppData\6rrku.3c 
 2016-01-30 13:44 - 2016-01-30 13:44 - 00019756 _____ C:\ag1qve32zu.2tr 
 2016-01-30 13:44 - 2016-01-30 13:44 - 00019516 _____ C:\o6gqfzedjf.m42xp 
 2016-01-30 13:44 - 2016-01-30 13:44 - 00019452 _____ C:\t7bsqz1yzg.2nm4 
 2016-01-30 13:44 - 2016-01-30 13:44 - 00008524 _____ C:\s24zjff3i.pfi6
2016-01-13 21:07 - 2016-01-13 21:07 - 00006741 _____ C:\Users\djghettoblaster\AppData\Roaming\how_recover+nlv.html 
 2016-01-13 21:07 - 2016-01-13 21:07 - 00006741 _____ C:\Users\djghettoblaster\AppData\how_recover+nlv.html 
 2016-01-13 21:07 - 2016-01-13 21:07 - 00002326 _____ C:\Users\djghettoblaster\AppData\Roaming\how_recover+nlv.txt 
 2016-01-13 20:52 - 2016-01-13 20:52 - 00006741 _____ C:\Users\djghettoblaster\AppData\LocalLow\how_recover+nlv.html 
 2016-01-13 20:52 - 2016-01-13 20:52 - 00002326 _____ C:\Users\djghettoblaster\AppData\LocalLow\how_recover+nlv.txt 
 2016-01-13 20:29 - 2016-01-13 20:51 - 00006741 _____ C:\Users\djghettoblaster\AppData\Local\how_recover+nlv.html 
 2016-01-13 20:29 - 2016-01-13 20:29 - 00006741 _____ C:\Users\djghettoblaster\AppData\Local\Apps\how_recover+nlv.html 
 2016-01-13 20:28 - 2016-01-13 20:29 - 00006741 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\how_recover+nlv.html 
 2016-01-13 20:28 - 2016-01-13 20:29 - 00006741 _____ C:\Users\Default\AppData\Roaming\how_recover+nlv.html 
 2016-01-13 20:28 - 2016-01-13 20:29 - 00006741 _____ C:\Users\Default\AppData\Local\how_recover+nlv.html 
 2016-01-13 20:28 - 2016-01-13 20:29 - 00006741 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\how_recover+nlv.html 
 2016-01-13 20:28 - 2016-01-13 20:29 - 00006741 _____ C:\Users\Default User\AppData\Roaming\how_recover+nlv.html 
 2016-01-13 20:28 - 2016-01-13 20:29 - 00006741 _____ C:\Users\Default User\AppData\Local\how_recover+nlv.html 
 2016-01-13 20:28 - 2016-01-13 20:29 - 00002326 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\how_recover+nlv.txt 
 2016-01-13 20:28 - 2016-01-13 20:29 - 00002326 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\how_recover+nlv.txt 
 2016-01-13 20:28 - 2016-01-13 20:28 - 00006741 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_recover+nlv.html 
 2016-01-13 20:28 - 2016-01-13 20:28 - 00006741 _____ C:\Users\Default\AppData\how_recover+nlv.html 
 2016-01-13 20:28 - 2016-01-13 20:28 - 00006741 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_recover+nlv.html 
 2016-01-13 20:28 - 2016-01-13 20:28 - 00006741 _____ C:\Users\Default User\AppData\how_recover+nlv.html 
 2016-01-13 20:28 - 2016-01-13 20:28 - 00002326 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_recover+nlv.txt 
 2016-01-13 20:28 - 2016-01-13 20:28 - 00002326 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_recover+nlv.txt 
 2016-01-13 18:25 - 2016-01-13 18:25 - 00000123 _____ C:\Users\djghettoblaster\Documents\recover_file_kbfvsgtcq.txt  
 2016-01-13 18:20 - 2016-01-13 18:20 - 00006741 _____ C:\Users\djghettoblaster\AppData\LocalLow\how_recover+sni.html 
 2016-01-13 18:20 - 2016-01-13 18:20 - 00002326 _____ C:\Users\djghettoblaster\AppData\LocalLow\how_recover+sni.txt 
 2016-01-13 17:08 - 2016-01-13 18:09 - 00006741 _____ C:\Users\djghettoblaster\AppData\Local\how_recover+sni.html 
 2016-01-13 17:08 - 2016-01-13 17:08 - 00006741 _____ C:\Users\djghettoblaster\AppData\Local\Apps\how_recover+sni.html 
 2016-01-13 17:08 - 2016-01-13 17:08 - 00006741 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_recover+sni.html 
 2016-01-13 17:08 - 2016-01-13 17:08 - 00006741 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\how_recover+sni.html 
 2016-01-13 17:08 - 2016-01-13 17:08 - 00006741 _____ C:\Users\Default\AppData\Roaming\how_recover+sni.html 
 2016-01-13 17:08 - 2016-01-13 17:08 - 00006741 _____ C:\Users\Default\AppData\Local\how_recover+sni.html 
 2016-01-13 17:08 - 2016-01-13 17:08 - 00006741 _____ C:\Users\Default\AppData\how_recover+sni.html 
 2016-01-13 17:08 - 2016-01-13 17:08 - 00006741 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_recover+sni.html 
 2016-01-13 17:08 - 2016-01-13 17:08 - 00006741 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\how_recover+sni.html 
 2016-01-13 17:08 - 2016-01-13 17:08 - 00006741 _____ C:\Users\Default User\AppData\Roaming\how_recover+sni.html 
 2016-01-13 17:08 - 2016-01-13 17:08 - 00006741 _____ C:\Users\Default User\AppData\Local\how_recover+sni.html 
 2016-01-13 17:08 - 2016-01-13 17:08 - 00006741 _____ C:\Users\Default User\AppData\how_recover+sni.html
 2016-01-13 21:07 - 2016-01-13 21:07 - 0006741 _____ () C:\Users\djghettoblaster\AppData\Roaming\how_recover+nlv.html 
 2016-01-13 21:07 - 2016-01-13 21:07 - 0002326 _____ () C:\Users\djghettoblaster\AppData\Roaming\how_recover+nlv.txt 
 2015-04-08 12:12 - 2015-07-03 16:56 - 0000016 _____ () C:\Users\djghettoblaster\AppData\Roaming\msregsvv.dll 
 2014-03-10 14:23 - 2014-03-12 13:12 - 0000132 _____ () C:\Users\djghettoblaster\AppData\Roaming\Préfs Filtre IllExportation Adobe CS5 
 2014-03-10 03:02 - 2014-04-07 17:17 - 0000132 _____ () C:\Users\djghettoblaster\AppData\Roaming\Préfs Format PNG Adobe CS6 
 2011-02-15 16:07 - 2011-02-15 21:36 - 0000012 _____ () C:\Users\djghettoblaster\AppData\Roaming\settings.xml  
 2011-02-09 21:48 - 2015-04-11 12:49 - 0004830 _____ () C:\Users\djghettoblaster\AppData\Roaming\wklnhst.dat  
 2016-01-13 21:05 - 2016-01-13 21:05 - 0006741 _____ () C:\Users\djghettoblaster\AppData\Roaming\Microsoft\how_recover+nlv.html 
 2016-01-13 21:05 - 2016-01-13 21:05 - 0002326 _____ () C:\Users\djghettoblaster\AppData\Roaming\Microsoft\how_recover+nlv.txt 
 2016-01-30 13:57 - 2016-01-30 13:57 - 0002668 _____ () C:\Users\djghettoblaster\AppData\Local\3ik2y.f4j 
 2016-01-30 13:57 - 2016-01-30 13:57 - 0002668 _____ () C:\Users\djghettoblaster\AppData\Local\bb8xx.0e 
 2014-06-23 17:42 - 2014-06-23 17:42 - 0000000 ____H () C:\Users\djghettoblaster\AppData\Local\BIT8AE1.tmp 
 2014-08-10 11:22 - 2014-08-10 11:22 - 0000000 ____H () C:\Users\djghettoblaster\AppData\Local\BIT97B1.tmp 
 2016-01-13 20:29 - 2016-01-13 20:51 - 0006741 _____ () C:\Users\djghettoblaster\AppData\Local\how_recover+nlv.html 
 2016-01-13 17:08 - 2016-01-13 18:09 - 0006741 _____ () C:\Users\djghettoblaster\AppData\Local\how_recover+sni.html 

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire (<ital> pas obligatoire </ital>)
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.


Redémarre l'ordinateur.

[sebb]

Voici le fixlog :
http://pjjoint.malekal.com/files.php?id ... 9m12o6v5w6

Dois-je faire d'autres manipulations?
y-a t-il moyen de decrypter les fichiers encodés? Même si je pense que non :(

[Malekal_morte]

Fais ceci stp :

Ouvre Mon Ordinateur
puis le disque C
Ouvre le dossier FRST.
Dedans se trouve, le dossier Quarantine
Fais un clic droit dessus puis envoyer vers le dossier compressé.
Envoie le zip sur http://upload.malekal.com

[sebb]

J'ai envoyé le zip par contre j'ai encore des fichiers help your files dans des dossiers.
Le virus est-il toujours présent sur mon WINDOWS ? merci pour ton aide

[Malekal_morte]

Non il n'est plus actif.
Tu es censé avoir fait une recherche de ces fichiers

Fais une recherche de fichiers sur Windows (aide : Comment rechercher des fichiers sur Windows) sur how_recover et supprime les fichiers trouvés.


Même chose pour les help_your_files.