cryptorbit - Howdecrypt.txt et howdecrypt.gifFermé

Question

Bonjour,

Je trouve sur mon bureau ainsi que dans tous mes dossiers ces deux fichiers : HOWDECRYPT.gif et HOWDECRYPT.txt.

Voici leur contenu :
"All files including videos, photos and documents on your computer are encrypted.
Encryption was produced using a unique public key generated for this computer. To decrypt files, you need to obtain the private key.
The single copy of the private key, which will allow you to decrypt the files, located on a secret server on the Internet; the server will destroy the key after a time specified in this window. After that, nobody and never will be able to restore files.
In order to decrypt the files, open site 4sfxctgp53imlvzk.onion.to/index.php and follow the instructions.
If 4sfxctgp53imlvzk.onion.to/index.php is not opening, please follow the steps below: 
1. You must download and install this browser http://www.torproject.org/projects/torbrowser.html.en
2. After installation, run the browser and enter the address: 4sfxctgp53imlvzk.onion/index.php
3. Follow the instructions on the web-site. We remind you that the sooner you do, the more chances are left to recover the files.
IMPORTANT INFORMATION:
Your Personal CODE: 00000001-A03D9CC1"

Bien sûr, je ne peux plus accéder à aucun de mes fichiers, ni même à mes programmes (Outlook, Word,...) ; par contre, j'ai toujours mon accès internet et mon bureau est inchangé.
Pensez-vous que je peux utiliser la même procédure que celle que vous indiquez pour se débarasser de Dity Decrypt.exe ??

Merci d'avance !

Pascale

Malekal_morte- · Answer

Salut,

cryptorbit ? 

Ca a l'air de ressembler.


 
Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left

Malekal_morte- · Answer

Pour tes docs, c'est mort.

Pour désinfecter le PC :

Faire un Scan OTL - Temps : Environ 40min
=====================
OTL permet de diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt 
Fournir les deux rapports :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/    

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.    
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)    

Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

* Lance OTL    
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :    



netsvcs   
msconfig   
safebootminimal   
safebootnetwork   
activex   
drivers32   
%ALLUSERSPROFILE%\Application Data\*.   
%ALLUSERSPROFILE%\Application Data\*.exe /s   
%APPDATA%\*.   
%APPDATA%\*.exe /s   
%temp%\*.exe /s   
%SYSTEMDRIVE%\*.exe   
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\system32\*.dll /lockedfiles   
%windir%\Tasks\*.job /lockedfiles   
%systemroot%\system32\drivers\*.sys /lockedfiles   
%systemroot%\System32\config\*.sav   
/md5start   
explorer.exe   
winlogon.exe
services.exe
wininit.exe
/md5stop
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor /s
HKEY_CURRENT_USER\Software\Microsoft\Command Processor /s
CREATERESTOREPOINT   
nslookup https://www.google.fr/?gws_rd=ssl /c   
SAVEMBR:0   
hklm\software\clients\startmenuinternet|command /rs   
hklm\software\clients\startmenuinternet|command /64 /rs



* Clique sur le bouton Analyse.

**** Si durant le scan - OTL ne répond pas, ne touche à rien et laisse le scan se poursuivre ****

* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent).
Donne le ou les liens pjjoint qui pointent vers ces rapports ici dans une réponse.
Je répète : donne le lien du rapport pjjoint ici en réponse.

NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT DANS UN NOUVEAU MESSAGE

pascale83 · Answer

C'est exactement cette page !!
Je vais tenter de faire ce que tu expliques...
Dommage pour les photos de mes enfants... ça fait vraiment râler...
Au fait, comment est-ce qu'on attrape ce genre de truc ??? En téléchargeant ???
Dans tous les cas, merci beaucoup pour ton aide !!   ;-)

pascale83 · Answer

Voici le lien obtenu :
http://pjjoint.malekal.com/files.php?id=OTL_20140122_z12w9t1511n11

Et maintenant, que se passe-t-il ????

Merci, merci !!

pascale83 · Answer

ok

pascale83 · Answer

http://pjjoint.malekal.com/files.php?id=20140122_b15r8s10u8t9

Si ça ne marche pas, je renonce !!!

Qu'est-ce qui se passe après ?????

Malekal_morte- · Answer

oui c'est bon :)


Relance OTL. 
o sous Personnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:  

:OTL
[2014/01/20 00:53:26 | 000,000,000 | ---D | C] -- C:\ProgramData\kfsyq
[2014/01/20 00:07:48 | 000,000,000 | ---D | C] -- C:\ProgramData\yheg
[2013/03/06 15:39:10 | 000,009,510 | -HS- | C] () -- C:\Users\serge\AppData\Local\6o4v7yr6ikfw18072u
[2013/03/06 15:39:10 | 000,009,510 | -HS- | C] () -- C:\ProgramData\6o4v7yr6ikfw18072u
[2014/01/20 00:48:30 | 075,323,959 | ---- | M] () -- C:\Users\serge\Desktop\REVUE TECHNIQUE.pdf
[2014/01/20 00:48:30 | 000,026,572 | ---- | M] () -- C:\Users\serge\Desktop\HOWDECRYPT.GIF
[2014/01/20 00:44:47 | 000,026,572 | ---- | M] () -- C:\Users\serge\AppData\Local\HOWDECRYPT.GIF
[2014/01/20 00:44:46 | 000,026,572 | ---- | M] () -- C:\Users\serge\HOWDECRYPT.GIF
[2012/08/11 11:10:28 | 000,000,000 | ---D | M] -- C:\Users\serge\AppData\Roaming\Irkiyz


* poste le rapport ici 

puis :

Zip le dossier C:\_OTL 
Ouvre Mon Ordinateur / Poste de travail => Disque C 
Tu dois voir le dossier _OTL, ouvre le.
Là tu dois voir un dossier MovedFiles - NE PAS OUVRIR.
Dessus, fais : Clic droit / Envoyer vers dossier compressé.
Cela va créer un fichier MovedFiles.zip
Envoie ce fichier MovedFiles.zip sur http://upload.malekal.com

Ne pas envoyer OTL.exe qui se trouve sur le bureau, bien ouvrir Mon Ordinateur / Poste de travail puis le disque C.

PANDA · Answer

Salut à tous,
Pareil pour moi
C'est un virus otage qui comme version ranson en pire que le fameux gendarme
Aucun anti-virus ne reconnais son arrivé ni son code puisqu'il est mutant ouais comme dans les films!!!!!
C'est du cryptage digne de la NASA et des données bancaires mais encore plus chiadé, avec un cryptage asymètrique sur base de clée publique et privée;
Voila ce que j'ai compris
Bon résultat 2900 fichiers cryptés donc tous les dossiers de ma création d'entreprise ouais je suis enchanté j'ai plus rien même plus le logo que ma femme à dessiner.
J'ai fouillé sur le net et les éditeurs de logiciel Panda, kapperski, Symantec et surement d'autre aimeraient bien dédommager un petit génie de la programmation et nous sauver nos données.
Voila, j'ai lancé ma bouteille sur la toile....
:-)

domdom · Answer

slt,

j'ai le même souci avec ce virus
je peux récupérer les fichiers en faisant clic droit-propriétés-versions précédantes-restaurer

SOBOU83 · Answer

bonsoir 

J ai exactement le même problème que pascale83 , j ai suivi toute les étapes mais arrivé au lien 

https://pjjoint.malekal.com/files.php?id=OTL_20140127_o15j7q96x6 je suis bloqué . 

Est ce que quelqu'un peut m aider ? 

Merci d'avance

canard05 · Answer

Salut,
Pour ma part ce virus m'a supprimé tous mes points de restaurations et à crypté tous mes fichiers perso.
Comme un co... j'ai eu la brillante idée de réinstaller le windows 7 en écrasant l'ancien.
Ca a bien supprimé le virus, mais tous mes fichiers perso restent cryptés.
Quelqu'un aurait une idée sur un logiciel capable de décrypter ces fichiers?
Merci

Malekal_morte- · Answer

Bonjour à tous,

il n'y a pas de solution pour les documents pour le moment, lire : https://www.malekal.com/virus-securite/ransomwares/

Pour désinfecter l'ordinateur, faites un nettoyage Malwarebytes + RogueKiller, ça doit déjà aider.
Si vous désirez une aide personnalisée, merci de créer votre propre sujet.

yovero83 · Answer

Bonjour à Tous,

J'ai eu mon PC portable sous XP infecté la semaine dernière, du coup panique!
J'ai suivi la "méthode Malekal" et sauvé: Cryptorbit viré.
Mais impossible de récupérer mes fichiers...pas trouvé de réponse sur le web...

Vu que j'ai un 2ème pc (Windows 7), j'me suis dis "pas grave, j'ai tous mes fichiers sur l'autre PC".

Ce matin, j'ai eu la bonne surprise de voir que mon PC fixe sous W7 a été infecté!

Fichiers perdus...Comme d'hab quoi.

Mais impossible pour moi de rester comme ça (comme tous ceux qui ont des données perso irremplaçables sur leur ordi: tout le monde quoi...)

Du coup re-panique, mais DOMDOM à trouvé la soluce. (si si!)

"JE PEUX RECUPERER LES FICHIERS EN FAISANT CLIC DROIT-PROPORIETES-VERSIONS PRECEDENTES-RESTAURER" Dit-il. (je crie pour qu'on voit bien la méthode).

CA A MARCHE pour moi (sous Seven)!! C'est donc pas si mort que ça, c'est la première fois depuis que j'ai eu ce pu**** de virus que quelqu'un n'affirme pas que c'est mort pour les fichiers et dis qu'il y a une solution.

Je teste tout à l'heure avec mon portable PC XP, vous tiens au jus.



PS: Merci Malekal pour les tutos de désinfection, ça marche au top
et merci à domdom d'avoir trouvé comment sauver 10 ans photos et de travail! (en plus c'est bete comme chou à faire)

yovero83 · Answer

Malekal Morte, si tu peux me répondre stp:

Sous XP, je fais une restauration système a une date antérieure, comme sous Seven. La restauration système ne décrypte pas les dossiers et fichiers (comme sous Seven,). Il faudrait le faire directement sur chaque dossier ou fichier.

Mais le PB, c'est que sous XP y a pas en propriété des fichiers "version précédente".

Est-ce que tu sais si on peut les restaurer en direct comme sur Seven, lorque l'on fait clic droit sur le fichier?

Merci d'avance, je suis brèle en informatique.

yovero83 · Answer

Ok merci,

Après avoir dégager le virus, je précise "une date ANTERIEURE à l'infection".

On est bien d'accord.

Merci pour ta réponse, tant pis pour mon XP.

J'vais laisser comme ça, on verra bien si y a quelqu'un qui arrive à décrypter le bazar.

clic riom · Answer

bonjour nous sommes une association et nous avons été infecté voici les liens/

http://pjjoint.malekal.com/files.php?id=20140218_n6m6s9t1315

http://pjjoint.malekal.com/files.php?id=20140218_u76o14g11n12

Merci de nous aider.

Cryptorbit - Howdecrypt.txt et howdecrypt.gif

16 réponses

Newsletters