"sur-extension".

c'est du pipo les pirates n'ont pas accès aux données , et cryptolocker ca fait belle lurette qu'il a été remplacé par testlacrypt , ce topic doit avoir au moins un an

Je pense que mon fils a trouvé quelquechose d'int"ressant pour mon cas :

http://l.facebook.com/l.php?u=http%3A%2 ... =7AQEFxHd-

Qu'en pensez-vous?

C'est fait, merci.

ok un petit coup de ça , ça peut pas lui faire de mal :

touche windows + X puis clique sur "invité de commandes (Admin)" , puis colle ceci dans la fenetre noire :

CHKDSK /F /R %Homedrive%

ensuite valide , accepte de le faire au redemarrage tel que demandé et redemarre, puis laisse bosser

C'est un portable Toshiba qui a 3 ou 4 ans, 5 ans max, j'ai oublié.

hello

sinon il a quel age le pc ?

Dans cette fenêtre-là j'en ai 82 aussi. Je pensais que c'était pour ça qu'il était un peu lent.

tu as bien de la chance , moi j'ena i plus de 80

http://g3n.ddns.net/Captureproc.PNG

Ok; encore une question :" j'ai 48 processus d'arrière-plan qui tournent, c'est normal qu'il soient autant ?

bon je pense que question infections on a fait le tour

Voici le lien :

http://www.cjoint.com/c/FCcweYtmTQk

hello colle le texte en bas de cet outil , c'est pratiquement le meme et clique sur correction : http://g3n.ddns.net/OTL.com

et pense au dossier indiqué avant le script

Bonsoir,
Il semble que le lien vers OTM soit obsolète; la page n'existe plus.

impec

désinstalle McAfee Security Scan Plus il sert à rien

==

récupère ce dossier et mets-le sur ton bureau , je pense qu'on va trouver quelque chose en rapport avec ton infection la dedans , j'aurai peut etre des fichiers à étudier à l interieur : C:\Users\Pedro\AppData\Local\ctwjnqgi

==

Désactive ton antivirus le temps de la manipulation car OTM est détecté comme une infection à tort.
Télécharge http://www.telecharger.sosvirus.net/download/otm/ OTM (OldTimer) sur ton Bureau :
Double-clique sur OTM.exe afin de le lancer. (clic droit "executer en tant qu'administrateur" pour Vista/7/8 )

Copie (Ctrl+C) le texte suivant ci-dessous :

Code : Tout sélectionner

:reg   
[-HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SpybotSD TeaTimer]
[HKLM\System\CurrentControlSet\Control]
"WaitToKillServiceTimeout"="200"
[HKU\S-1-5-21-4098707584-1504196189-1175609666-1000\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"Locked"=DWORD:0
[-HKLM\Software\WOW6432Node\Google\Chrome\Extensions\llmcibonccojooiboenghfafpieoabpl]
[HKU\S-1-5-18\Software\mozilla\Firefox\Extensions]
"{87CB8F20-BDCF-776A-7E10-EBEAD9F2013D}"=-
[-HKU\S-1-5-21-4098707584-1504196189-1175609666-1000\Software\aortxwao]
[-HKU\S-1-5-21-4098707584-1504196189-1175609666-1000\Software\BrowserOptout]
[-HKU\S-1-5-21-4098707584-1504196189-1175609666-1000\Software\Casino Client]
[-HKU\S-1-5-21-4098707584-1504196189-1175609666-1000\Software\Casino.com]
[-HKU\S-1-5-21-4098707584-1504196189-1175609666-1000\Software\EuroKingCasino]
[-HKU\S-1-5-21-4098707584-1504196189-1175609666-1000\Software\ForumerIT]
[-HKU\S-1-5-21-4098707584-1504196189-1175609666-1000\Software\Freemake]
[-HKU\S-1-5-21-4098707584-1504196189-1175609666-1000\Software\OZJwsg]
[-HKU\S-1-5-21-4098707584-1504196189-1175609666-1000\Software\PlayFreeBrowser]
[-HKU\S-1-5-21-4098707584-1504196189-1175609666-1000\Software\ProductSetup]
[-HKU\S-1-5-21-4098707584-1504196189-1175609666-1000\Software\Zxskvvcnje]
[-HKU\S-1-5-21-4098707584-1504196189-1175609666-1000\Software\zZQHVKdsu7n6Hx4B]
[-HKU\S-1-5-21-4098707584-1504196189-1175609666-1000\Software\{ED1B9D37-BF23-4E95-82D3-964D8FD7F01E}]
[-HKLM\Software\WOW6432Node\BrowserOptout]
[-HKLM\Software\WOW6432Node\Casino Client]
[-HKLM\Software\WOW6432Node\Casino.com]
[-HKLM\Software\WOW6432Node\OZJwsg]

:files
C:\Windows\Temp\*
C:\Users\Pedro\AppData\Roaming\Mozilla\Firefox\Profiles\gnd3km7i.default\Extensions\jid1-aPwS0JCl36iLkQ@jetpack
C:\Users\Pedro\AppData\Roaming\Mozilla\Firefox\Profiles\gnd3km7i.default\Extensions\UWFJl@gmail.com
C:\0
C:\0.bak
C:\*.wgfmxed
C:\pUeh7vYQXMw3dezR
C:\Users\Pedro\AppData\Local\16859
C:\Users\Pedro\AppData\Local\*.wgfmxed
C:\Program Files (x86)\0749af4e-a498-4dfc-a3b2-3cf5067ea67f
C:\Program Files (x86)\c841fadf-2770-44db-b6b7-0da79b268189
C:\Program Files (x86)\a7e0734b-f5b5-4817-93e7-b7ca1f241b28
C:\Program Files (x86)\CutterGeneration
C:\Program Files (x86)\d7288a2e-0124-49fb-8700-7283a3d77458
C:\Program Files (x86)\eadd7f5d-af9f-4ab4-b0ae-65448cfbc8e1
C:\WINDOWS\Tasks\SpyHunter4.job
C:\WINDOWS\Tasks\suprize_notification_service.job
C:\WINDOWS\Tasks\suprize_updating_service.job
C:\WINDOWS\System32\Tasks\SpeeditUp Update
C:\WINDOWS\System32\Tasks\SpyHunter4 
C:\WINDOWS\System32\Tasks\suprize_notification_service
C:\WINDOWS\System32\Tasks\suprize_updating_service  

:commands
[emptytemp]

Colle (Ctrl+V) le texte précédemment copié dans le cadre Paste Instructions for Items to be Moved.
Clique maintenant sur le bouton MoveIt!
Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer.
Accepte en cliquant sur YES.

Poste le rapport situé dans ce dossier : C:\_OTM\MovedFiles\

*Le nom du rapport correspond au moment de sa création : date_heure.log

Alors ça ?

http://www.cjoint.com/c/FCbuDmVEOmk

bonjour

tu relances à chaque fois l ancienne version ( 22.02.2016.1 ) au lieu de la derniere à jour ( 29.02.2016.1 ) :/

Ceci alors :

http://www.cjoint.com/c/FCbovel2nVk.

Ceci alors :

http://www.cjoint.com/c/FCbovel2nVk.

heu pas vraiment non ^^

tu telecharges la derniere version , tu relances une analyse comme precedemment et tu heberges le nouveau rapport obtenu

Ceci alors ?
http://www.cjoint.com/c/FBDsnUGjfLk

oui mais celui-là c'est celui que tu as lancé la semaine derniere Start 22/02/2016 18:05:13 , il m'en faudrait un nouveau avec la version à jour

Je pensais déjà l'avoir mise cette adresse : http://www.cjoint.com/c/FBDnjkVTwfk
Pour le fichier trouvé, c'est clairement une tentative d'escroquerie.Je pense déposer une plainte; la police belge a un département informatique spécialisé.

a+

hello

ok

tu peux executer la derniere operation qui je viens de te demander stp ? j'ai besoin de quelques infos de plus , et héberge ce fichier sur http://cjoint.com aussi je veux voir ta trouvaille de plus près

PS: je suis allé voir avec Tor sur leur site , et ils proposent de décrypter 2 fichiers gratuitement , j'ai mis ton fichier crypté , et bien evidemment , la page n'aboutit jamais , ils risquent pas de gagner grand chose s'ils ne font meme pas ce qu ils disent pour appater les gens mdr

http://g3n-hackman.ddns.net/Capture_canada.PNG

par contre le premier lien est bloqué par Tor ( ransomware blablabla.... )

Bonjour,
Regardez un peu ce que je viens de trouver dans des télléchargements; je vous fait un copié/collé. C'est traduit par google; c'est pas tjrs très compréhensible, mais je crois que ça vaut son pesant de cacahuètes :

Vos documents, des photos, des bases de données et autres fichiers importants sont cryptées
avec le cryptage fort et clé unique générée pour cet ordinateur

clé de déchiffrement privée est stockée sur un secret de serveur, et personne ne peut
décrypter des fichiers jusqu'à ce qu'il est payé et vous recevrez la clé.

Si vous voyez la fenêtre serrure principale, suivez les instructions sur le casier.
Il semble que vous ou votre programme antivirus supprimé le programme de casier.
Maintenant vous avez la dernière chance de décrypter vos fichiers.

Ouvrez http://fizxfsi3cad3kn7v.onion.cab ou http://fizxfsi3cad3kn7v.tor2web.org dans le navigateur.
Ils sont des ports publics à le secret du serveur.

Dans certains ports, utilisez une connexion directe:

1. Télécharger Navigateur Tor http://torproject.org

2. Tor Browser ouvrir http: //fizxfsi3cad3kn7v.onion/
Remarque: Ce serveur est uniquement disponible via le navigateur Tor.
S'il vous plaît essayer de nouveau dans une heure si le site est pas accessible.

Copiez et collez la clé publique suivante dans la forme sur le serveur.
EOGJVLU-WNENCB3-6LGNY27-57IJWKQ-PNHIUQ6-CTPJDBI-YKVPGMY-LQOALOQ
3NM3N2N-TGMSKXJ-JGVUM6B-BATM2F6-5KA6XFE-ZP5WVKR-C5GW3SK-XUCNX2B
RMW7GIG-SPGMZ37-ZYPO3EW-OEDQTSR-5HAHJRM-R66XQ32-SIY2TCJ-T5FGW6G

Suivez les instructions du serveur.

A vous lire

Amitiés.

Christian

re

c'est ok j'ai fixé le beug , donc supprime la version que tu as et le rapport puis retélécharge-le ici : https://toolslib.net/downloads/viewdown ... quickdiag/ ( j'ai pas la main pour le modifier sur SOSVirus pour l instant )

il devrait aller jusqu'au bout maintenant

http://www.cjoint.com/c/FBwngvVFeSk

tu as bien cliqué sur le bouton du milieu "Quick" ? et désactivé tes protections ? fais voir le bout de rapport que tu as dans C: stp

J'ai le message suivant qui s'affiche : Autolt Error
Line 5000 (File"C:\User\Pedro\Desktop\QuickDiag.exe"):
Error: The requested action with this objet has failed.

désactive ton antivirus le temps du téléchargement et du scan
Télécharge quickDiag de g3n-h@ckm@n sur ton bureau
lance-le ( pour vista/7/8/8.1/10 = clic droit "Executer en tant qu'administrateur" )
clique sur "Quick" puis une fois terminé :
héberge le rapport sur http://upload.sosvirus.net
Donne le lien obtenu dans ta prochaine réponse

note : le rapport sera sur le bureau au nom de QuickDiag_date_heure.txt, et une copie du même nom sera disponible à la racine de ton disque ( logiquement C: )

Je veux bien, c'est sympa, d'autant qu'il est assez lent( beaucoup trop de processus ouverts, je pense.
Amitiés.

hello tu veux qu'on fasse un diagnostique voir s'il ne traine rien d'autre tout de même ?

Tant pis. Incroyable ce truc; jamais vu ça.
En tous cas, sois remercié pour tout ce temps passé en vaines recherches.
Bonne continuation.
Christian

hello j'ai bossé sur ton fichier avec plusieurs methodes de décryptage et apparemment pas moyen d'en sortir quelque chose , il semblerait qu'il ne soit pas possible de les décrypter pour le moment

Voici le lien : http://www.cjoint.com/c/FBowrbt7aJk

hello héberge-le sur cjoint.com et donne le lien obtenu en échange

en pièce jointe.

hello tu peux m'envoyer un fichier JPG crypté stp ?

Bonsoir Doc: Déjà un diagnostique, une idée? grave? Que donnent les analyses?

J'avais laissé la fenêtre ouverte; les deux menaces détectées sont "neutralisées".

c'est vrai qu il est mal fait ce tuto , il fallait cliquer sur neutraliser ^^

FORUM D’ENTRAIDE INFORMATIQUE (FEI)Site d’assistance et de sécurité informatique

Répondre

Revue du sujet : "sur-extension". Étendre la vue

Forum d'Entraide Informatique (FEI)

FORUM D’ENTRAIDE INFORMATIQUE (FEI)
Site d’assistance et de sécurité informatique