Infection Help_Decrypt.url

[Fanffan]

Je réalise que ZHP n'est pas suffisant pour éradiquer cette horreur de HELP_DECRYPT.

 

Mes images et documents sont encore tous cryptés !!!!

[pear]

HELP_DECRYPT c'est Cryptowal.

Vous n'êtes pas verni.

 

Télécharger
Farbar Recovery Scanner(FRST)
Choisissez la version 32 ou 64 bits en fonction de votre système

Installez FRST sur le Bureau et pas ailleurs
Fermez toutes les applications, y compris le navigateur
Double-clic sur FRST.exe et sur Oui pour accepter le Disclaimer]
Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
Sur le menu principal,
Cochez tous les options et cliquez sur le bouton Scan

A la fin du scan, un rapport FRST.txt s'ouvre.
Au premier lancement, un fichier nommé Addition.txt sera créé

Il y aura 2 rapports à poster.

Comment poster les rapports

Aller sur le site Cijoint

Appuyez sur Parcourir et chercher les rapports sur le disque,
Cliquer sur Ouvrir
Cliquer sur Créer le lien CJoint,
>> dans la page suivante --> ,,
une adresse http//.. sera créée
Copier /coller cette adresse dans votre prochain message.
Sous Firefox, clic droit sur l'URL et, dans le menu contextuel qui s'ouvre, choisir « Copier l'adresse du lien »
Avec le navigateur Internet Explorer pour copier/coller sur le forum:
Cliquer sur le bouton, à gauche,en jaune sur la capture

Puis coller votre lien.

[Fanffan]

Bonjour,

 

Me revoici. Merci pour votre aide.

J'ai téléchargé FRST. Voici les rapports :

 

 

http://www.cjoint.com/c/EGFmXci04RE

 

http://www.cjoint.com/c/EGFmZFApXlE

[Fanffan]

Il y aussi le Rapport Shortcut : http://www.cjoint.com/c/EGFm1h74ZZE

 

A bientôt.

[pear]

Nettoyage
Dans le Bloc-notes (Démarrer -> Tous les programmes -> Accessoires -> Bloc-notes)
Copier/coller le texte ci-dessous :

start
CloseProcesses:
Toolbar: HKLM - No Name - {B821BF60-5C2D-41EB-92DC-3E4CCD3A22E4} - No File
Toolbar: HKU\S-1-5-21-243463917-3977780728-1557312686-1004 -> No Name - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - No File
Toolbar: HKU\S-1-5-21-243463917-3977780728-1557312686-1004 -> Google Toolbar - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll [2015-03-13] (Google Inc.)
R2 HpFkCryptService; C:\Program Files\Hewlett-Packard\Drive Encryption\HpFkCrypt.exe [256544 2009-07-29] (McAfee, Inc.)
S3 MWAC; \??\C:\windows\system32\drivers\ [0 ] () <==== ATTENTION (zero byte File/Folder)
2015-07-29 14:54 - 2015-07-29 14:54 - 00009100 _____ C:\Users\Public\HELP_DECRYPT.HTML
2015-07-29 14:54 - 2015-07-29 14:54 - 00009100 _____ C:\Users\HELP_DECRYPT.HTML
2015-07-29 14:54 - 2015-07-29 14:54 - 00004738 _____ C:\Users\Public\HELP_DECRYPT.TXT
2015-07-29 14:54 - 2015-07-29 14:54 - 00004738 _____ C:\Users\HELP_DECRYPT.TXT
2015-07-29 14:06 - 2015-07-29 14:06 - 00009100 _____ C:\Users\install\Downloads\HELP_DECRYPT.HTML
2015-07-29 14:06 - 2015-07-29 14:06 - 00004738 _____ C:\Users\install\Downloads\HELP_DECRYPT.TXT
2015-07-29 11:37 - 2015-07-29 11:37 - 00009100 _____ C:\Users\install\AppData\HELP_DECRYPT.HTML
2015-07-29 11:37 - 2015-07-29 11:37 - 00004738 _____ C:\Users\install\AppData\HELP_DECRYPT.TXT
2015-07-29 11:13 - 2015-07-29 11:13 - 00009100 _____ C:\Users\Default\HELP_DECRYPT.HTML
2015-07-29 11:13 - 2015-07-29 11:13 - 00009100 _____ C:\Users\Default\AppData\Roaming\HELP_DECRYPT.HTML
2015-07-29 11:13 - 2015-07-29 11:13 - 00009100 _____ C:\Users\Default\AppData\Local\HELP_DECRYPT.HTML
2015-07-29 11:13 - 2015-07-29 11:13 - 00009100 _____ C:\Users\Default\AppData\HELP_DECRYPT.HTML
2015-07-29 11:13 - 2015-07-29 11:13 - 00009100 _____ C:\Users\Default User\AppData\Roaming\HELP_DECRYPT.HTML
2015-07-29 11:13 - 2015-07-29 11:13 - 00009100 _____ C:\Users\Default User\AppData\Local\HELP_DECRYPT.HTML
2015-07-29 11:13 - 2015-07-29 11:13 - 00009100 _____ C:\Users\Default User\AppData\HELP_DECRYPT.HTML
2015-07-29 11:13 - 2015-07-29 11:13 - 00004738 _____ C:\Users\Default\HELP_DECRYPT.TXT
2015-07-29 11:13 - 2015-07-29 11:13 - 00004738 _____ C:\Users\Default\AppData\Roaming\HELP_DECRYPT.TXT
2015-07-29 11:13 - 2015-07-29 11:13 - 00004738 _____ C:\Users\Default\AppData\Local\HELP_DECRYPT.TXT
2015-07-29 11:13 - 2015-07-29 11:13 - 00004738 _____ C:\Users\Default\AppData\HELP_DECRYPT.TXT
2015-07-29 11:13 - 2015-07-29 11:13 - 00004738 _____ C:\Users\Default User\AppData\Roaming\HELP_DECRYPT.TXT
2015-07-29 11:13 - 2015-07-29 11:13 - 00004738 _____ C:\Users\Default User\AppData\Local\HELP_DECRYPT.TXT
2015-07-29 11:13 - 2015-07-29 11:13 - 00004738 _____ C:\Users\Default User\AppData\HELP_DECRYPT.TXT
2015-07-29 11:13 - 2015-07-29 11:13 - 00000296 _____ C:\Users\Default\HELP_DECRYPT.URL
2015-07-29 11:13 - 2015-07-29 11:13 - 00000296 _____ C:\Users\Default\AppData\Local\HELP_DECRYPT.URL
2015-07-29 11:13 - 2015-07-29 11:13 - 00000296 _____ C:\Users\Default\AppData\HELP_DECRYPT.URL
2015-07-29 11:13 - 2015-07-29 11:13 - 00000296 _____ C:\Users\Default User\AppData\Local\HELP_DECRYPT.URL
2015-07-29 11:13 - 2015-07-29 11:13 - 00000296 _____ C:\Users\Default User\AppData\HELP_DECRYPT.URL
Task: {05660C28-D824-4C20-8F4A-59439AACD9FB} - \{0BF728C2-934E-4914-8717-C8897CB4AF1C} No Task File <==== ATTENTION
Task: {38EA765C-2B55-40F8-B607-1016AD8D804B} - \User_Feed_Synchronization-{2308B2FB-04CE-44FA-B6EA-9C8848315987} No Task File <==== ATTENTION
Task: {4298AB34-DBE0-495B-942A-554BE7E267F8} - \GlaryInitialize No Task File <==== ATTENTION
Task: {5E97D49E-43E3-49FE-AA25-82021BA15E27} - \{C397FFF9-8B77-4ED8-8BF2-612DDD8B0FA9} No Task File <==== ATTENTION
Task: {6CC0032A-C803-417B-A829-E8F44B2896C7} - \GlaryInitialize 4 No Task File <==== ATTENTION
Task: {8C9ED18C-56E3-4992-9E56-0C3DE7677863} - \avast! Emergency Update No Task File <==== ATTENTION
Task: {8FA7EBDE-4020-47C2-8A5C-887B75DD7689} - \Programme de mise à jour en ligne de HP. No Task File <==== ATTENTION
Task: {9EA88759-F640-4BA3-BB84-6DC0BE1D46CC} - \{29BFE1F0-B13E-4A58-8175-269FCA2E2F89} No Task File <==== ATTENTION
Task: {AF3912E5-454D-4660-919D-C99A1D88D86B} - \{95AE8997-8EBD-4164-B605-10B238C04FC7} No Task File <==== ATTENTION
Task: {AFC93E00-33A6-4B7D-AEC4-25CD2C905624} - \{F067734B-0A3D-4EFF-AEBE-8EC66A981DC7} No Task File <==== ATTENTION
Task: {D045CB70-2657-4B49-99FE-A1C24352EBA0} - \{F2FA4BE4-D4BB-4189-A283-33D129459C98} No Task File <==== ATTENTION
Task: {D57E6AC9-4096-4024-AFC0-9881241BFDF4} - \{94EA8F78-9B9B-4C6C-A57E-495FCE00FAE6} No Task File <==== ATTENTION
Task: {DF1E037C-3122-43A0-AD04-6A07BF99DC4B} - \{1EB18CFE-2620-4D5C-9A5B-1E2E96F9BCDC} No Task File <==== ATTENTION
end


Enregistrer le fichier sur le Bureau (au même endroit que FRST) sous fixlist.txt
Fermer toutes les applications, y compris le navigateur
Double-clic sur FRST64.exe
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
Sur le menu principal, cliquer une seule fois sur Fix et patienter le temps de la correction

L'outil va créer un rapport de correction Fixlog.txt. Poster ce rapport dans la réponse.



Comment restaurer les fichiers chiffrés par CryptoWall en utilisant les clichés instantanés de volume
Si vous avez la restauration système activée sur l'ordinateur, Windows crée des clichés instantanés qui contiennent des copies de vos fichiers.
Ces instantanés peuvent permettre de restaurer une version précédente des fichiers chiffrés.
Cette méthode n'est pas infaillible car même si ces fichiers peuvent i ne pas être la dernière version du fichier.
Noter que les clichés instantanés de volume sont disponibles avec Windows XP Service Pack 2, Windows Vista, Windows 7, et Windows 8.

Remarque: De nouvelles variantes de CryptoWall vont tenter de supprimer tous les clichés instantanés lorsque vous commencez àutiliser n'importe quel exécutable sur votre ordinateur après l'infection.
Heureusement, l'infection n'est pas toujours en mesure d'éliminer les clichés instantanés, donc vous devez continuer à essayer de restaurer vos fichiers en utilisant cette méthode.

Nous présentons deux méthodes que vous pouvez utiliser pour restaurer les fichiers et dossiers à partir du Volume Shadow Copy.
La première méthode consiste à utiliser les fonctionnalités natives de Windows et la seconde méthode consiste à utiliser un programme appelé Shadow Explorer.
Il ne fait pas de mal d'essayer les deux et voir quelles méthodes fonctionnent mieux pour vous.

1)Utilisation de Windows versions précédentes :

Pour restaurer des fichiers individuels que vous pouvez faire un clic droit sur le fichier, allez dans Propriétés , puis sélectionnez l'onglet Versions précédentes .
Cet onglet affiche toutes les copies du fichier qui ont été stockées dans une copie de [bVolume Shadow][/b] et la date à laquelle ils ont été sauvegardés comme le montre l'image ci-dessous.


Pour restaurer une version particulière du fichier, cliquez simplement sur le bouton Copie, puis sélectionnez le répertoire dont vous souhaitez restaurer le fichier.
Si vous souhaitez restaurer le fichier sélectionné et remplacer l'existant, cliquez sur le boutonRestauration .
Si vous souhaitez afficher le contenu du fichier lui-même, vous pouvez cliquer sur le bouton Ouvrir pour voir le contenu du fichier avant de le restaurer.

Cette même méthode peut être utilisée pour restaurer un dossier entier.
Faites un clic droit sur le dossier et sélectionnez ]Propriétés[/b , puis les onglets[b]versions précédentes .
Il vous sera alors présenté un écran similaire à celui ci-dessus où vous pouvez soit Copiez la sauvegarde sélectionnée du dossier vers un nouvel emplacement ou Restaurer le sur le dossier existant.




Vous pouvez également utiliser ShadowExplorer pour restaurer des dossiers entiers à la fois.
Lors du téléchargement du programme, vous pouvez soit utiliser l'installation complète ou télécharger la version portable.

Lorsque vous démarrez le programme, vous verrez un écran listant tous les disques et les dates où le cliché a été créé.
Sélectionnez le lecteur (flèche bleue) et la date (flèche rouge) que vous souhaitez restaurer.
Ceci est illustré dans l'image ci-dessous.

Restauration de fichiers avec Shadow Explorateur

Pour restaurer un dossier entier, faites un clic droit sur un nom de dossier et sélectionnez Exporter .
Vous serez alors invité à indiquer l'endroit où vous souhaitez restaurer le contenu du dossier

[Fanffan]

Rebonjour,

 

 

Voici le rapport fixlog : http://www.cjoint.com/c/EGFp0D1JceE

 

Je vais tenter la restauration des dossiers et fichiers cryptés. Je vois que je n'ai pas été gâtée par cet infâme Cryptowall !!!

 

Merci encore de me guider pour me sauver de cette mésaventure.

A +.

[pear]

Bonne chance !

[Fanffan]

Bonsoir,

 

Mauvaises nouvelles. Dans Windows Vista, je ne trouve pas dans l'onglet Propriétés de "Versions antérieures" et dans ShadowExplorer, je ne trouve pas la date antérieure à l'infection de Help Decrypt.

 

Y a-t-il un autre moyen ?

[pear]

Non

Pas à ma connaissance.

[Fanffan]

Bonsoir,

 

J'ai fait un dernier scan avec Roguekiller et je trouve un PUP.Desktop qui bloque la restauration des fichiers dans le registre.

 

Ci-joint le rapport : http://www.cjoint.com/c/EHbtRn5Pm2E

 

Si je suis sûre que mon PC n'est plus infecté, je peux remplacer les fichiers cryptés par ceux intacts sauvegardés sur mon disque externemais j'aimerais auparavant remettre en état la fonction de restauration des fichiers par windows.

 

Ainsi Cryptowall n'aura pas eu le dernier mot , et c'est essentiellement grâce à vous, pear !

 

Merci pour vos lumières et à bientôt. Bon dimanche.