FORUM D’ENTRAIDE INFORMATIQUE (FEI)Site d’assistance et de sécurité informatique

[Alek5555]

Bonjour,

Je suis nouveau sur ce forum ayant quelques connaissance en informatique j'ai essayé de régler ce problème en cherchant un peu sur le web mais je n'ai malheureusement pas trouvé grand chose .

Je vous explique la situation j'ai récupérer le PC d'un amis qui à du chopper un virus

Actuellement environ 8000 fichiers .JPG / .Word et .EXCEL ressemblent à cela ( xxxxx.JPG.enc.rtf ) ( xxxxx.xls.enc.rft )

1) J'ai démonter le disque contenant l'OS (vista) pour le mettre sur un dock et le scanner avec Kaspersky internet security 2014 ( 1 virus supprimé malheureusement je ne me rappel plus de son nom )

2) J'ai déplacé certains fichiers word jpg et xls sur mon pc (Win 7) pour voir si j'arrivais à lire ces fichiers en essayant simplement de renommer leurs extensions ( suppr ".enc.rtf" ) , ils restent illisibles.

3) Sur le PC d'origine le seul moyen de voir les photos par exemple est de changer l'affichage dans les dossiers ( mettre en grand icône ).

4) D'après le peu d'information que j'ai pu réunir, les fichiers on l'air d'être crypté, ils sont tous en lecture seule,


Quelqu'un aurait-il une solution pour remettre la bonne extension et l'appliquer au 8000 fichier en évitant de le faire fichier par fichier :p

Merci d'avance !!!

[2011N2]

Bonjour,

Tiens, je crois n'avoir jamais croisé cela...

Passe UsbFix en Recherche et poste le rapport : http://www.forum-entraide-informatique. ... x-tutoriel

Gabriel.

[Alek5555]

Moi non plus je n'ai jamais vu ça...

( par contre je n'ai récupéré que la tour et non tous ces supports amovibles )

Voici le rapport :

############################## | UsbFix V 7.169 | [Recherche]

Utilisateur: sergio (Administrateur) # WILLIS
Mis à jour le 31/03/2014 par El Desaparecido - Team SosVirus
Lancé à 16:41:36 | 03/04/2014

Site Web : http://www.usbfix.net/
Changelog : http://www.usbfix.net/maj/
Support : http://www.sosvirus.net/forum-virus-securite.html
Upload Malware : http://www.sosvirus.net/upload_malware.php
Contact : http://www.usbfix.net/contact/

PC: Gigabyte Technology Co., Ltd. (P35-DS3L)
CPU: Intel(R) Core(TM)2 Duo CPU E6550 @ 2.33GHz
RAM - [Total : 3582 Mo| Free : 2279 Mo]
Bios: Award Software International, Inc.
Boot: Normal boot

OS: Microsoft® Windows Vista™ Édition Familiale Premium (6.0.6002 32-Bit) Service Pack 2
WB: Windows Internet Explorer : 8.0.6001.19507
WB: Mozilla Firefox : 28.0

SC: Security Center [Enabled]
WU: Windows Update [Enabled]
AV: Avira Desktop [(!) Disabled | Updated]
AS: Avira Desktop [(!) Disabled | Updated]
AS: Windows Defender [(!) Disabled | Updated]
FW: Windows FireWall [(!) Disabled]
AS: Malwarebytes' Anti-Malware : 1.75.0001

C:\ (%systemdrive%) - Disque fixe # 233 Go (33 Go libre(s) - 14%) [] # NTFS
D:\ - CD-ROM

################## | Processus Actif |

C:\Windows\system32\csrss.exe (ID: 520 |ParentID: 508)
C:\Windows\system32\csrss.exe (ID: 576 |ParentID: 568)
C:\Windows\system32\wininit.exe (ID: 584 |ParentID: 508)
C:\Windows\system32\services.exe (ID: 628 |ParentID: 584)
C:\Windows\system32\lsass.exe (ID: 644 |ParentID: 584)
C:\Windows\system32\lsm.exe (ID: 652 |ParentID: 584)
C:\Windows\system32\winlogon.exe (ID: 704 |ParentID: 568)
C:\Windows\system32\svchost.exe (ID: 860 |ParentID: 628)
C:\Windows\system32\nvvsvc.exe (ID: 916 |ParentID: 628)
C:\Windows\system32\svchost.exe (ID: 952 |ParentID: 628)
C:\Windows\System32\svchost.exe (ID: 1084 |ParentID: 628)
C:\Windows\System32\svchost.exe (ID: 1140 |ParentID: 628)
C:\Windows\system32\svchost.exe (ID: 1164 |ParentID: 628)
C:\Windows\system32\svchost.exe (ID: 1296 |ParentID: 628)
C:\Windows\system32\SLsvc.exe (ID: 1324 |ParentID: 628)
C:\Windows\system32\svchost.exe (ID: 1376 |ParentID: 628)
C:\Program Files\NVIDIA Corporation\Display\nvxdsync.exe (ID: 1460 |ParentID: 916)
C:\Windows\system32\nvvsvc.exe (ID: 1468 |ParentID: 916)
C:\Windows\system32\svchost.exe (ID: 1784 |ParentID: 628)
C:\Program Files\Avira\AntiVir Desktop\sched.exe (ID: 1952 |ParentID: 628)
C:\Windows\system32\Dwm.exe (ID: 2032 |ParentID: 1140)
C:\Windows\system32\svchost.exe (ID: 124 |ParentID: 628)
C:\Windows\system32\taskeng.exe (ID: 192 |ParentID: 1164)
C:\Windows\Explorer.EXE (ID: 332 |ParentID: 2016)
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe (ID: 1888 |ParentID: 332)
C:\Program Files\ACD Systems\ACDSee Pro\6.0\ACDSeePro6InTouch2.exe (ID: 268 |ParentID: 332)
C:\Windows\ehome\ehtray.exe (ID: 288 |ParentID: 332)
C:\Windows\ehome\ehmsas.exe (ID: 2144 |ParentID: 860)
C:\Program Files\NVIDIA Corporation\Display\nvtray.exe (ID: 2184 |ParentID: 1460)
C:\Program Files\Avira\AntiVir Desktop\avguard.exe (ID: 2376 |ParentID: 628)
C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe (ID: 2408 |ParentID: 628)
C:\Program Files\Malwarebytes' Anti-Malware\mbamscheduler.exe (ID: 2492 |ParentID: 628)
C:\Program Files\TeamViewer\Version9\TeamViewer_Service.exe (ID: 2600 |ParentID: 628)
C:\Program Files\TuneUp Utilities 2014\TuneUpUtilitiesService32.exe (ID: 2760 |ParentID: 628)
C:\Windows\System32\svchost.exe (ID: 2784 |ParentID: 628)
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE (ID: 2808 |ParentID: 628)
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSvcM.exe (ID: 3028 |ParentID: 2808)
C:\Program Files\TuneUp Utilities 2014\TuneUpUtilitiesApp32.exe (ID: 3188 |ParentID: 2760)
C:\Windows\System32\WUDFHost.exe (ID: 3236 |ParentID: 1140)
C:\Windows\system32\wbem\wmiprvse.exe (ID: 3272 |ParentID: 860)
C:\Program Files\TeamViewer\Version9\TeamViewer.exe (ID: 3404 |ParentID: 2600)
C:\Program Files\TeamViewer\Version9\tv_w32.exe (ID: 3472 |ParentID: 2600)
C:\Program Files\Mozilla Firefox\firefox.exe (ID: 3580 |ParentID: 332)
C:\Program Files\Avira\AntiVir Desktop\avshadow.exe (ID: 3804 |ParentID: 2376)
C:\Windows\system32\taskeng.exe (ID: 1876 |ParentID: 1164)
C:\Program Files\Avira\AntiVir Desktop\avmailc.exe (ID: 2172 |ParentID: 628)
C:\Program Files\Avira\AntiVir Desktop\AVWEBGRD.EXE (ID: 1112 |ParentID: 628)
C:\Windows\system32\svchost.exe (ID: 2360 |ParentID: 628)
C:\Program Files\Windows Media Player\wmpnscfg.exe (ID: 2748 |ParentID: 332)
C:\Windows\system32\wbem\unsecapp.exe (ID: 2076 |ParentID: 860)
C:\Windows\system32\wbem\wmiprvse.exe (ID: 1256 |ParentID: 860)
C:\Windows\system32\DllHost.exe (ID: 3732 |ParentID: 860)
C:\Windows\system32\DllHost.exe (ID: 4084 |ParentID: 860)
C:\Windows\system32\consent.exe (ID: 2864 |ParentID: 1164)

################## | Regedit Run |

F2 - HKLM\..\Winlogon : [Shell] explorer.exe
F2 - [x64] HKLM\..\Winlogon : [Shell] explorer.exe
F2 - HKLM\..\Winlogon : [Userinit] C:\Windows\system32\userinit.exe,
F2 - [x64] HKLM\..\Winlogon : [Userinit] C:\Windows\system32\userinit.exe,
F3 - HKCU\..\Winlogon : [Shell] explorer.exe,C:\Users\sergio\AppData\Roaming\dwm.exe
04 - HKCU\..\Run : [ehTray.exe] C:\Windows\ehome\ehTray.exe
04 - HKLM\..\Run : [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
04 - HKLM\..\Run : [SwitchBoard] C:\Program Files\Common Files\Adobe\SwitchBoard\SwitchBoard.exe
04 - HKLM\..\Run : [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
04 - HKLM\..\Run : [Nikon Message Center 2] C:\Program Files\Nikon\Nikon Message Center 2\NkMC2.exe -s
04 - HKLM\..\Run : [ACPW06FR] "C:\Program Files\ACD Systems\ACDSee Pro\6.0\ACDSeePro6InTouch2.exe" /pid ACPW06FR
04 - HKLM\..\RunOnce : []
04 - HKU\S-1-5-19\..\Run : [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem
04 - HKU\S-1-5-19\..\Run : [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter
04 - HKU\S-1-5-20\..\Run : [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem
04 - HKU\S-1-5-20\..\Run : [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter
04 - HKU\S-1-5-21-394060677-780351721-1646304014-1000\..\Run : [ehTray.exe] C:\Windows\ehome\ehTray.exe
04 - HKU\S-1-5-18\..\Run : [FVD3] C:\Program Files\Feneris Solutions Inc\Feneris Video Downloader\FVD3.exe

################## | Recherche générique |

Présent! C:\Users\sergio\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\SUIsFuBm.exe

################## | Registre |

Présent! HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon|Shell (explorer.exe,C:\Users\sergio\AppData\Roaming\dwm.exe)
Présent! HKLM\Software\Microsoft\Security Center|UacDisableNotify - 1
Présent! HKLM64\Software\Microsoft\Security Center|UacDisableNotify - 1
Présent! HKCU\Software\PowerPack
Présent! HKU\S-1-5-21-394060677-780351721-1646304014-1000\Software\PowerPack

################## | E.O.F | http://www.usbfix.net/ - http://www.sosvirus.net |

[g3n-h@ckm@n]

salut ransomware encrypteur

le fichiers cryptés sont perdus

[Alek5555]

Qu'est ce que ce "ransomware encrypteur" ?

Et tous les fichiers sont irrécupérables ? C'est sur à 100% car il y a plusieurs milliers de photos ( c'est un photographe.... )

[g3n-h@ckm@n]

clic droit sur un des fichiers , envoyer vers => dossiers compressés, ensuite envoie l'archive via http://cjoint.com et donne le lien je vais regarder ses entrailles hexadécimales

[Alek5555]

http://cjoint.com/?3DdrfVHfF24

[Alek5555]

Quelques informations supplémentaires

Certaines images ont du être rajouté après infection, leurs extensions n'ont pas bougé et elles sont lisibles. (JPG/doc/avi/wmv...)

Les .psd sont touché aussi (psd.enc.rtf)
     .AVI aussi
     .wmv aussi


Dois je contacter mon ami pour lui dire de ne pas branché tous ces supports amovibles sur d'autre pc et de mes les faire parvenir ?

[g3n-h@ckm@n]

le top , ca serait :

deux fichiers infectés , et deux fichiers , les mêmes mais sains

là je pourrais PEUT-ETRE faire quelque chose malgré que ca représente un sacré boulot
y'a de la prog en persperctive derrière ^^

Edit ::

j'avais raison , après analyse , c'est un ransomware : http://cjoint.com/14av/DDdr6GJrNI5.htm

VetwNnaA.exe = si ce fichier existe sur le pc ca m'interesse

Edit2 ::

note ca dans un coin ca pourra servir : KkLmXPGh

[Alek5555]

fichier modifié:

http://cjoint.com/?3DdsfO9pxDA


fichiers saint :

http://cjoint.com/?3DdsjEEDHU2

http://cjoint.com/?3DdskBrYr8l

voila dit moi si je peux faire autre chose

Est ce que je dois contacter mon amis pour récupérer tous ces disques amovible?

[Alek5555]

J'ai noté le code KkLmXPGh il correspond à quoi ?

et comment dois-je procéder pour rechercher ce VetwNnaA.exe ?

Désolé de poser autant de question mais la je suis largué

Et encore Merci pour le temps que vous passez à m'aider

[g3n-h@ckm@n]

j'ai pas compris

tu m'envoies un fichier crypté , et deux fichiers sains , je ne sais pas à que fichier sain me fier

et j'aurais voulu deux fichiers cryptés avec leurs deux fichiers sains respectif

[2011N2]

Re,

et comment dois-je procéder pour rechercher ce VetwNnaA.exe ?
Tu peux le faire avec SEAF : http://www.forum-entraide-informatique. ... x-tutoriel
En recherchant le terme : VetwNnaA

Héberge le rapport pour le poster : http://www.forum-entraide-informatique. ... m-tutoriel

Gabriel.

[Alek5555]

Je n'ai pas trouvé de fichier en double exemplaire ( sain et infecté )

Je ne peu que vous envoyez des fichiers infectés ou des fichier sain mais qui n'ont aucun rapport entre eux.

Souhaitez vous que je vous envoi qu'en même d'autre fichier infecté ?

J'ai recontacté mon ami qui m'a précisé que ces 2 disques dur externe sont eux aussi infecté soit 20000 photos supplémentaires .....

Après avoir dl un programme en .zip sont PC à été infecté ainsi que tout les supports amovibles branchés. il a tenté de nettoyer son pc donc potentiellement supprimé le programme en question.


SEAF n'a rien trouvé :

1. ========================= SEAF 1.0.1.0 - C_XX
2.
3. Commencé à: 20:31:40 le 03/04/2014
4.
5. Valeur(s) recherchée(s):
6. VetwNnaA
7.
8. Légende: TC = Date de création, TM = Date de modification, DA = Dernier accès
9.
10. (!) --- Calcul du Hash "MD5"
11. (!) --- Informations supplémentaires
12. (!) --- Affichage des ADS
13. (!) --- Affichage des dossiers
14. (!) --- Recherche registre
15.
16. ====== Fichier(s) ======
17.
18. Aucun fichier trouvé
19.
20.
21. ====== Entrée(s) du registre ======
22.
23. Aucun élément dans le registre trouvé
24.
25. =========================
26.
27. Fin à: 20:41:30 le 03/04/2014
28. 634064 Éléments analysés
29.
30. =========================
31. E.O.F

[g3n-h@ckm@n]

Je ne peu que vous envoyez des fichiers infectés ou des fichier sain mais qui n'ont aucun rapport entre eux.

ce qui m'aurait justement interessé , c'est justement les differences...tant pis ....

[Alek5555]

désolé cela aurait été avec plaisir malheureusement je n'ai rien sous la main, je peux voir avec mon ami s'il en a de son coté mais cela impliquerais de branché ces disques dur infecté sur son pc portable qui lui est sain.

Une procédure à suivre en préventif ? après avoir branché le disque ?
ou il n'y a aucun risque du moment qu'il ne lance pas un .exe ?

[2011N2]

Re,

À priori pas de risque ce n'est pas une infection USB, le mal est fait. Il ne faut simplement pas rouvrir le fichier ayant provoqué cela (d'ailleurs, tu n'as pas idée duquel cela pourrait être ?).

Gabriel.

[Alek5555]

bonjour,

Non malheureusement mon ami ne se rappel pas du nom ni de l'endroit exact ou il a attrapé le virus. Il se rappel juste qu'il à dl un programme concernant la photo et qu'une fois le prog dézippé il a été infecté.

Avez vous une solution viable pour récupérer au moins quelques photos très importante pour son travail ?
Avez vous réussi à décrypter les fichiers que je vous est joints ?
Que dois-je faire

MERCI d'avance !!!

[g3n-h@ckm@n]

hello comme dit plus haut :

ce qui m'aurait justement interessé , c'est justement les differences...tant pis ....

[2011N2]

Bonsoir,

Malheureusement, pour les fichiers cryptés, nous ne pouvons rien faire (aucune solution n'a été trouvée jusqu'à présent)...
Désolé pour toi et ton ami.

Peut-être s'il y avait les fichiers sains pour comparer, on pourrait peut-être en tirer quelque chose, et encore, j'en doute.

Il n'y avait aucune sauvegarde ?

Gabriel.

[Alek5555]

Si malheureusement il avait ces 2 disques externe branchés en même temps au moment de l'infection ... un concourt de circonstance

Je l'ai contacté il va regarder sur le peu de donnée qu'il lui reste, pour voir s'il à un fichier sain, et infecté

Merci encore pour votre aide

Je vous recontacte dès que j'en saurai plus.

[2011N2]

Re,

D'accord, mais attention nous ne garantissons rien même avec un fichier sain et un fichier infecté, je suis même assez pessimiste....

Mais on verra bien.

Gabriel.

[g3n-h@ckm@n]

hello si c'est possible DEUX fichiers sains et les mêmes infectés

[Alek5555]

Bonjour je répond tardivement mais j'ai travaillé jusqu’à point d'heure...

Je comprend tout à fait, et je m'imaginais bien que vous ne pourriez pas faire des miracles ^^, vous avez déjà passé pas mal de temps dessus et je vous en remercie encore !

Dès lors que mon ami me recontacte pour me donner des news, je viendrai poster un message pour vous tenir au courant.

Bonne journée à vous

[2011N2]

Bonjour,

D'accord merci, à bientôt.

Gabriel.

[g3n-h@ckm@n]

ok envoie déjà deux fichiers cryptés au hasard que je voie comment c'est fait, deux fichiers qui étaient des jpeg à la base

par contre en l'ouvrant avec word j'ai trouvé ca dedans :

3. Décompressez l'archive C:\Users\sergio\AppData\Local\gvbfCWhn\rMgtWMOJ.zip (archiver avec le même nom sur votre bureau). Mot de passe KkLmXPGh


une fois l'erchive decompressée , il doit y avoir ce fichier dedans : VetwNnaA.exe

j'aimerais bien avoir ce fichier si ca se trouve le code pour les debloquer est dedans ( ca m'est deja arrivé avec un ransomware )

[Alek5555]

Bonjour désolé pour le retard,

J'ai trouvé les deux archives êtes vous sur qu'il n'y a pas de risque à décompresser l'archive ? je peux vous envoyer le zip directement ?

[g3n-h@ckm@n]

oui oui envoie le zip je le prends sur machines de test

[Alek5555]

Bonjour ,

Alors voici celui qui était sur le bureau :

http://cjoint.com/?3DhkngOFFx8

Et lui viens du chemin d’accès dans C:\Users\sergio\AppData\Local\gvbfCWhn

http://cjoint.com/?DDhkozwAuEi


Mon ami ma joint des photos comme vous me l'aviez demandé (sain et infecté) est ce toujours utile maintenant ?

[g3n-h@ckm@n]

dans l'exe je vois des appels à différents fichiers infectieux

faudrait voir si ces fichiers existent :

C:\Windows\Firefox.exe
C:\zona\Downloads\1\mov.avi
c:\Program Files\Online Services\zpzXMlkX.exe

pour les 4 photos ca erait bien quand même oui.

celui qui a fait ce programme c'est pas un guignol

Edit::::::::::::

hop !!!!!! je crois que j'ai réussi à en décrypter une des deux et en plus on dirait que j'ai pas perdu un pixel

demande à ton ami si cette photo lui dit quelque chose ,

http://cjoint.com/14av/DDhn7lt9sCg.htm

[Alek5555]

Non, je n'ai trouvé aucun de ces 3 fichiers est-ce normal ?

[g3n-h@ckm@n]

heu regarde j'ai édité mon message

[Alek5555]

A pardon oui cette photo c'est une des photos infecté que je t'ai envoyé et maintenant elle marche ! la manipulation est longue ?

[g3n-h@ckm@n]

non il m'a fallu environ 2 s pour la décrypter mais sans connaissances dans les offsets et données hexadecimales des fichiers c'est impossible , la recherche a été longue mais le décryptage en soi c'est rien , par contre je pense qu'il va falloir que je te fasse un programme qui automatisera tout et qui te mettra dans un dossier les fichiers qu il aurra réussi à decrypter , et dans un autre ceux que non. car comme je t'ai dit je n'ai réussi à en faire qu'une sur deux , il faudra peut être que je prenne plus de temps pour retravailler l'autre.

je vais m'absenter , je fais ca demain après midi ou soir car je suis très pris aussi question developpement.

[Alek5555]

Il n'y a pas de problème tu m'as déjà énormément aidé et je t'en remercie !!!

Si tu arrives à récupérer même quelques photos ce sera déjà une très bonne chose !

J'attends de vos nouvelles et je vous joint dès que possible les autres fichiers

[Alek5555]

Voila 4 fichiers sains :

http://cjoint.com/?3DhtrmFdpWp
http://cjoint.com/?DDhtsLEnD9i
http://cjoint.com/?DDhtw2YOlFe
http://cjoint.com/?DDhtyhC7SVg

[Alek5555]

Et voila les fichiers infectés :

http://cjoint.com/?3DhtFpIvZKH
http://cjoint.com/?3DhtHLpZlTI
http://cjoint.com/?3DhtKmps01N
http://cjoint.com/?3DhtMarTY87

Et voila s'il vous faut quelque chose d'autre, n’hésitez pas

[g3n-h@ckm@n]

ok ca roule je vois ce que je peut faire

[g3n-h@ckm@n]

bon les fichiers cryptés, à la main, je décrypte les 4, par compte, pour le faire niveau prog je suis dessus mais c'est bouillant , au pire si j'y arrive vraiment pas je te montrerai la manip.

[Alek5555]

Bonjour !

Ça fait plaisir de voir que vous y êtes arrivé.

J'vous avouerais que votre programme m'aiderais ÉNORMÉMENT !  

Cela m'éviterais de faire 15000 fois la même manip   

Merci encore !!!