cryptage de donnée sur mon PC

Anonyme
2019-07-13T14:22:03+00:00

Bonjour messieurs les experts,

je suis victime de cryptage de toutes données sur mon PC pendant que j'écris ce message. en effet j'ai lancé la mise a jour de mon Windows defender pendant la nuit et au matin a mon réveil un message apparait sur mon ordinateur me disant que toutes mes donnée ont été cryptées et après vérification je n'ai plus accès mes données (fichier, vidéo, photo, documents et autres) même office ne passe plus.

Je viens par ce message sollicité vos mains et connaissances expertes dans le domaine pour m'aider a décrypter toutes mes données.

Mes salutations distinguées dans l'attente de votre aide.

Windows pour les particuliers | Windows 10 | Sécurité et confidentialité

Question verrouillée. Cette question a été migrée à partir de la Communauté Support Microsoft. Vous pouvez voter pour indiquer si elle est utile, mais vous ne pouvez pas ajouter de commentaires ou de réponses ni suivre la question.

0 commentaires
Réponse acceptée par l’auteur de la question
Chantal11-MVP_2010-2022_Sécurité_Insider 137.1K Points de réputation Modérateur bénévole
2019-07-16T10:21:27+00:00

Re,

L'infection Ransomware/Cryptoware s'est propagé suite à l'installation d'un torrent/activateur illégal.

C'est ce Ransomware Phobos Ransomware

Déplace ces fichiers dans un dossier à part sur un support externe, ou supprime les si tu en as une sauvegarde), mais de toute façon ils sont inexploitables et ne peuvent être décryptés

https://textup.fr/355339mF

Pour quelle raison ce Windows 10 n'est pas à jour ?

Tu as la version 1803, la version la plus récente est la 1903, elle ne t'est pas proposée via Windows Update.

A quoi te sert KMS ?

Office et Windows ont-ils été activés légalement ?

Tu appliques les procédures dans l'ordre où elles sont présentées.

/!
Les outils ne doivent être lancés qu'une seule fois afin de ne pas fausser les rapports demandés. /!\

Désinstalle via Panneau de configuration -> Désinstaller un programme :

Programmes indésirables :

SpyHunter 4

SpyHunter 5

Si un programme ne veut pas se désinstaller, tu passes au suivant.

FRST - Correctif :

  • Ferme toutes les applications
  • Exécute FRST64.exe par clic-droit -> Exécuter en tant qu'administrateur
  • Copie la totalité du contenu, de Start:: à End:: (clic-droit -> Sélectionner -> Copier) de ce correctif hébergé ici -> https://textup.fr/355341iq

(le correctif est copié dans le Presse-Papier)- Sur le menu principal de FRST, clique une seule fois sur Corriger et patiente le temps de la correction

  • Accepte le redémarrage du système si demandé
  • L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.

/!
Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnements et endommager Windows /!\

Puisque tu as déjà téléchargé et installé Malwarebytes, nous allons l'utiliser :

Malwarebytes Anti-Malware :

  • Si dans Etat de l'analyse, Mises à jour est orange, cliquer sur la flèche tournante
  • Dans Paramètres, puis Protection, sélectionne Traiter les détections comme des malveillants pour les détections PUP et PUM
  • Dans Analyse, clique sur Analyse des Menaces puis clique sur Lancer l'analyse
  • Patiente le temps de l'analyse
  • En fin d'analyse, clique sur Afficher les résultats d'analyse
  • Pour supprimer les éléments détectés, veille à ce que tous les éléments détectés soient cochés puis clique sur Quarantaine sélectionnée
  • Un résumé d'analyse s'affiche. Clique sur Exporter le résumé puis sur Fichier texte (*.txt) pour enregistrer le rapport d'analyse
  • Enregistre le rapport sur ton Bureau. Poste ce rapport dans ta prochaine réponse

Si un redémarrage est demandé, valide par Oui et laisse le système redémarrer.

Le journal d'examen est aussi enregistré sous C:\ProgramData\Malwarebytes\Malwarebytes' Anti-Malware\Logs

Tutoriel d'utilisation Malwarebytes en images

Sont attendus les rapports

Fixlog

Malwarebytes 

@+

Cette réponse a-t-elle été utile ?

1 personne a trouvé cette réponse utile.
0 commentaires
Réponse acceptée par l’auteur de la question
Chantal11-MVP_2010-2022_Sécurité_Insider 137.1K Points de réputation Modérateur bénévole
2019-07-16T09:09:02+00:00

Bonjour,

Les rapports postés ainsi sont inexploitables et incomplets.

Relis bien la procédure il faut héberger les rapports et poster les liens obtenus

Sont attendus les rapports FRST.txt et Addition.txt

Tous les rapports doivent être hébergés sur ce site d'hébergement de fichiers et tu indiques les liens obtenus dans ta réponse -> Aide à l'utilisation

@+

Cette réponse a-t-elle été utile ?

1 personne a trouvé cette réponse utile.
0 commentaires
Réponse acceptée par l’auteur de la question
Chantal11-MVP_2010-2022_Sécurité_Insider 137.1K Points de réputation Modérateur bénévole
2019-07-14T06:42:41+00:00

Bonjour Yakofsene CeoKouassi,

Hélas, ton système a été victime d'un Ransomware/Cryptoware et comme la plupart de ces crypteurs à clé unique, il n'existe à l'heure actuelle aucun moyen (ou très peu) pour un particulier de récupérer les données qui ont été cryptées.

Les chances sont minimes.

La seule solution de contournement est de restaurer une sauvegarde de fichiers qui a été faite auparavant.

Au mieux, on peut supprimer l'infection, mais les fichiers resteront inaccessibles.

Mais la plupart du temps, le système n'est plus infecté, le ransomware crypte les fichiers personnels du système et la charge active disparaît.

Surtout, ne suit pas les conseils de jep.pech qui n'a pas les compétences pour répondre dans cette section et qui t'a indiqué un lien malveillant que nous avons supprimé. Il ne faut rien appliquer indiqué dans ce lien, ton système pour le coup va être bel et bien infecté.

Tu peux tenter de décrypter des fichiers mais je te conseille vivement de ne le tenter que sur des copies

crypto-ransomware / rançongiciels chiffreurs de fichiers

Decrypt Tools ou Decrypter de Ransomware

Pour vérifier le système, nous allons utiliser cet outil :

FRST :

  • Télécharge la version FRST de Farbar, compatible avec ton système et enregistre le fichier sur ton Bureau <-- Important

Pour un système en 32 bits -> FRST

Pour un système en 64 bits -> FRST64

Comment savoir quelle version 32 bits ou 64 bits est exécutée sur mon système ?

Patiente le temps que ton navigateur te propose le téléchargement à enregistrer, sans cliquer nulle part, surtout pas sur les sponsors de la page.

Rappel : FRST doit être enregistré sur ton Bureau <-- Important

  • Ferme toutes les applications
  • Exécute FRST.exe par clic-droit -> Exécuter en tant qu'administrateur et clique sur Oui pour accepter le Disclaimer
  • Sur le menu principal, clique sur Analyser et patiente le temps de l'analyse

  • A la fin du scan, les rapports FRST.txt et Addition.txt sont créés. Poste ces rapports dans ta prochaine réponse.

Les rapports sont enregistrés au même emplacement que l'outil et sous C:\FRST\Logs

Le filtre SmartScreen peut déclencher une alerte. Cliquer sur Actions ou Informations complémentaires puis sur Exécuter quand même

Sont attendus les rapports FRST.txt et Addition.txt

Tous les rapports doivent être hébergés sur ce site d'hébergement de fichiers et tu indiques les liens obtenus dans ta réponse -> Aide à l'utilisation

@+

Cette réponse a-t-elle été utile ?

1 personne a trouvé cette réponse utile.
0 commentaires

35 réponses supplémentaires

Trier par : Le plus utile
Le plus utile Les plus récents Les plus anciens
  1. Anonyme
    2019-07-17T00:06:34+00:00

    Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 15-07-2019 01

    Exécuté par CEDRIC (16-07-2019 17:02:58) Run:1

    Exécuté depuis C:\Users\CEDRIC\Desktop

    Profils chargés: CEDRIC (Profils disponibles: defaultuser0 & CEDRIC)

    Mode d'amorçage: Normal

    ==============================================

    fixlist contenu:

    *****************

    CreateRestorePoint:

    CloseProcesses:

    HKU\S-1-5-21-1846443989-2895531904-1631654992-1001...\Run: [svcs] => C:\Users\CEDRIC\AppData\Local\svcs.exe -boot

    HKU\S-1-5-21-1846443989-2895531904-1631654992-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-07162019080124137...\Run: [svcs] => C:\Users\CEDRIC\AppData\Local\svcs.exe -boot

    Task: {40F9D5AD-001E-42A0-816A-FFB3F3B52ADD} - System32\Tasks\SpyHunter4Startup => C:\Program Files\Enigma Software Group\SpyHunter\Spyhunter4.exe

    Task: {F83CFBE3-5ADC-4A52-B5A7-B956C6FE0E88} - System32\Tasks\KMSAuto => C:\Windows\KMSAutoS\KMSAuto.exe

    R2 EsgShKernel; C:\Program Files\EnigmaSoft\SpyHunter\ShKernel.exe [11457840 2019-07-13] (EnigmaSoft Limited -> EnigmaSoft Limited)

    R2 ShMonitor; C:\Program Files\EnigmaSoft\SpyHunter\ShMonitor.exe [512816 2019-07-13] (EnigmaSoft Limited -> EnigmaSoft Limited)

    S2 SpyHunter 4 Service; C:\Program Files\Enigma Software Group\SpyHunter\Sh4Service.exe [889016 2019-07-13] (Enigma Software Group USA, LLC -> Enigma Software Group USA, LLC.)

    R3 EnigmaFileMonDriver; C:\WINDOWS\System32\drivers\EnigmaFileMonDriver.sys [68424 2019-07-16] (EnigmaSoft Limited -> EnigmaSoft Limited)

    S3 esgiguard; C:\Program Files\Enigma Software Group\SpyHunter\esgiguard.sys [15920 2019-07-13] (Enigma Software Group USA, LLC -> Enigma Software Group USA, LLC.)

    S3 EsgScanner; C:\WINDOWS\System32\DRIVERS\EsgScanner.sys [22704 2019-07-13] (Enigma Software Group USA, LLC -> )

    2019-07-13 19:42 - 2019-07-13 19:42 - 000000000 _____ C:\autoexec.bat

    2019-07-13 19:41 - 2019-07-14 22:10 - 000000000 ____D C:\Users\CEDRIC\AppData\Roaming\Enigma Software Group

    2019-07-13 19:41 - 2019-07-13 19:41 - 000003446 _____ C:\WINDOWS\System32\Tasks\SpyHunter4Startup

    2019-07-13 19:41 - 2019-07-13 19:41 - 000000000 ____D C:\sh4ldr

    2019-07-13 19:39 - 2019-07-13 19:39 - 001309592 _____ (BraveSoftware Inc.) C:\Users\CEDRIC\Downloads\BraveBrowserSetup-CLU884.exe

    2019-07-13 19:39 - 2019-07-13 19:39 - 000022704 _____ C:\WINDOWS\system32\Drivers\EsgScanner.sys

    2019-07-13 19:39 - 2019-07-13 19:39 - 000000000 ____D C:\Program Files\Enigma Software Group

    2019-07-13 16:24 - 2019-07-16 08:02 - 000068424 _____ (EnigmaSoft Limited) C:\WINDOWS\system32\Drivers\EnigmaFileMonDriver.sys

    2019-07-13 16:23 - 2019-07-13 16:23 - 000001055 _____ C:\Users\Public\Desktop\SpyHunter5.lnk

    2019-07-13 16:23 - 2019-07-13 16:23 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\EnigmaSoft

    2019-07-13 16:23 - 2019-07-13 16:23 - 000000000 ____D C:\ProgramData\EnigmaSoft Limited

    2019-07-13 16:22 - 2019-07-13 16:23 - 000000000 ____D C:\sh5ldr

    2019-07-13 16:19 - 2019-07-13 16:19 - 000000000 ____D C:\Program Files\EnigmaSoft

    2019-06-26 20:51 - 2019-06-26 20:51 - 000003770 _____ C:\WINDOWS\System32\Tasks\KMSAuto

    2019-07-13 02:41 - 2019-07-13 02:41 - 000368562 _____ () C:\Users\CEDRIC\AppData\Local\svcs.exe.id[56B57E8C-2275].[******@cock.li].Adame

    C:\Program Files\Enigma Software Group

    C:\Users\CEDRIC\AppData\Local\svcs.exe

    EmptyTemp:

    *****************

    Le Point de restauration a été créé avec succès.

    Processus fermé avec succès.

    "HKU\S-1-5-21-1846443989-2895531904-1631654992-1001\Software\Microsoft\Windows\CurrentVersion\Run\svcs" => supprimé(es) avec succès

    HKU\S-1-5-21-1846443989-2895531904-1631654992-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-07162019080124137...\Run: [svcs] => C:\Users\CEDRIC\AppData\Local\svcs.exe -boot => Erreur: Pas de correction automatique trouvée pour cet élément.

    "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon{40F9D5AD-001E-42A0-816A-FFB3F3B52ADD}" => supprimé(es) avec succès

    "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks{40F9D5AD-001E-42A0-816A-FFB3F3B52ADD}" => supprimé(es) avec succès

    C:\WINDOWS\System32\Tasks\SpyHunter4Startup => déplacé(es) avec succès

    "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\SpyHunter4Startup" => supprimé(es) avec succès

    "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain{F83CFBE3-5ADC-4A52-B5A7-B956C6FE0E88}" => supprimé(es) avec succès

    "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks{F83CFBE3-5ADC-4A52-B5A7-B956C6FE0E88}" => supprimé(es) avec succès

    C:\WINDOWS\System32\Tasks\KMSAuto => déplacé(es) avec succès

    "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\KMSAuto" => supprimé(es) avec succès

    EsgShKernel => service non trouvé(e).

    ShMonitor => service non trouvé(e).

    HKLM\System\CurrentControlSet\Services\SpyHunter 4 Service => supprimé(es) avec succès

    SpyHunter 4 Service => service supprimé(es) avec succès

    EnigmaFileMonDriver => service non trouvé(e).

    HKLM\System\CurrentControlSet\Services\esgiguard => supprimé(es) avec succès

    esgiguard => service supprimé(es) avec succès

    HKLM\System\CurrentControlSet\Services\EsgScanner => supprimé(es) avec succès

    EsgScanner => service supprimé(es) avec succès

    C:\autoexec.bat => déplacé(es) avec succès

    C:\Users\CEDRIC\AppData\Roaming\Enigma Software Group => déplacé(es) avec succès

    "C:\WINDOWS\System32\Tasks\SpyHunter4Startup" => non trouvé(e)

    C:\sh4ldr => déplacé(es) avec succès

    C:\Users\CEDRIC\Downloads\BraveBrowserSetup-CLU884.exe => déplacé(es) avec succès

    C:\WINDOWS\system32\Drivers\EsgScanner.sys => déplacé(es) avec succès

    C:\Program Files\Enigma Software Group => déplacé(es) avec succès

    "C:\WINDOWS\system32\Drivers\EnigmaFileMonDriver.sys" => non trouvé(e)

    "C:\Users\Public\Desktop\SpyHunter5.lnk" => non trouvé(e)

    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\EnigmaSoft" => non trouvé(e)

    "C:\ProgramData\EnigmaSoft Limited" => non trouvé(e)

    "C:\sh5ldr" => non trouvé(e)

    "C:\Program Files\EnigmaSoft" => non trouvé(e)

    "C:\WINDOWS\System32\Tasks\KMSAuto" => non trouvé(e)

    C:\Users\CEDRIC\AppData\Local\svcs.exe.id[56B57E8C-2275].[******@cock.li].Adame => déplacé(es) avec succès

    "C:\Program Files\Enigma Software Group" => non trouvé(e)

    "C:\Users\CEDRIC\AppData\Local\svcs.exe" => non trouvé(e)

    =========== EmptyTemp: ==========

    BITS transfer queue => 8151040 B

    DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 76405860 B

    Java, Flash, Steam htmlcache => 0 B

    Windows/system/drivers => 1035911 B

    Edge => 2284630 B

    Chrome => 433209852 B

    Firefox => 418049308 B

    Opera => 0 B

    Temp, IE cache, history, cookies, recent:

    Default => 0 B

    Users => 0 B

    ProgramData => 0 B

    Public => 0 B

    systemprofile => 4786992 B

    systemprofile32 => 0 B

    LocalService => 0 B

    LocalService => 0 B

    NetworkService => 361506 B

    NetworkService => 0 B

    defaultuser0 => 7168 B

    CEDRIC => 195384212 B

    RecycleBin => 0 B

    EmptyTemp: => 1.1 GB données temporaires supprimées.

    ================================

    Le système a dû redémarrer.

    ==== Fin de Fixlog 17:08:26 ====

    Cette réponse a-t-elle été utile ?

    0 commentaires
  2. Chantal11-MVP_2010-2022_Sécurité_Insider 137.1K Points de réputation Modérateur bénévole
    2019-07-16T09:33:27+00:00

    Re,

    Je regarde tes rapports et t'indique la suite.

    @+

    Cette réponse a-t-elle été utile ?

    0 commentaires