Bonsoir,
 
Enorme problème, j'ai été infecté par le Malware Rogue.
Je l'ai nettoyé, mais je me retrouve avec des fichiers ayant été renommés avec locked- au début et une extension aléatoire de quatre caractères.
 
Je ne sais pas s'il y a une cause à effet..
 
Par exemple le fichier image.jpg a été renommé en locked-image.jpg.yyts
 
Voici un fichier exemple à télécharger : http://dl.free.fr/o0N6HcHPP
 
Si je renomme le fichier avec son nom initial et que je tente de l'ouvrir, Windows m'annonce que le fichier possède un format inconnu.
Des centaines de fichiers ont été renommés ainsi..
 
Pouvez-vous m'aidez, car là c'est la catastrophe..
 
Par avance merci de votre aide !!

Bonjour,
Sufit de réinstaller et de récupérer ses données sur sa sauvegarde.
 
 
Si le fichier a été crypté par un virus il faut savoir le nom exacte du pour éventuellement retrouvé quel algorithme de cryptage a été utilisé et peut-être pouvoir retrouver le doc original.
 

Bonjour,
 
Je viens d'avoir le meme soucis ...
 
J'ai acheté le dernier magazine : pirates informatique il y a un cd de fourni avec et il y a un programme qui s'appeller rootkiller.exe que j'ai lancé et voyant que rien ne se passait je suis passé à autre chose ...
 
Me rendant compte que mon systeme était lent je regarde mon activité de disque dur (3.5To pour infos) et là je navigue dans mes dossiers et je vois des fichiers du style LOCKED-01.jpg.hiut -> O.o  
 
TOUS mes fichiers ont étés renommés, ils sont donc verouilles et inaccessibles, juste supprimables,
 
Avez vous une solutions ?

contacter le magazine ...

J'ai envoyé un mail mais pas de réponse !

j'ai le même souci ! j'ai nettoyé tout l'ordi mais tousmes fichiers sont lockés !!!!
renommer ne fonctionne pas
quelqu'un a t-il la solution ??

Je viens d'avoir le même problème chez un pote, pas trouvé de solution pour le moment...

Hello,
Même problème après une infection au Rogue et désinfection avec Rogue Killer... La quasi totalité des fichiers de tous les siupports connectés à mon PC à ce moment là ont été renommés en "locked.fichier.ext.euhgvd", la dernière séquence étant aléatoire...
Si quelqu'un trouve, je suis preneur...
 
Max

Nouveau virus ?
 
Les infos ont elles été transférée ? ou est ce simplement une routine bien ch*ante pour em*erdé le monde en cryptant les fichiers ???

@ cjackolass :
 
De quelles infos parles tu, qui seraient transférées ?
 
J'espère que c'est juste un truc qui renomme, mais malheureusement quand on veut les renommer soi-même comme il faut, ils ne marchent plus... Ce qui me laisse craindre qu'ils sont modifiés, en plus d'être renommés...
 
Max

Le but de ce genre de virus est de transférer de façon crypté les données utilisateurs c'est pour ça qu'ils sont inutilisables en les renommant
 
La seule façon de récupérer nos fichiers sources est de trouver la clé et la façon dont ils sont cryptés mais là c’est le début de la galère !

Le but est surtout d'obtenir une rançon... le principe est le suivant :
 
1) S'introduire sur la machine avec un logiciel malveillant
2) Crypter les fichiers de l'utilisateur
3) Diriger l'utilisateur vers un site, qui moyennant une rançon, dont le montant est en général inférieur à 100$, permet d'obtenir sa clef de décryptage
4) Retour à la normale (dans le meilleur des cas)
 
Les personnes qui programment ce genre de logiciels malveillants comptent sur le fait que le montant demandé est suffisamment faible pour être accessible au plus grand nombre multiplié par un nombre élevé d'infections. De plus quand le montant du préjudice est faible, il est rare qu'une plainte aille bien loin.

Je pense qu'il faudrait faire un scan avec un tools sur CD bootable tel que Avira rescue disk et voir quel variante exacte il s'agit.
Et peut-être a partir de la on pourra retrouver une  info sur internet pour decrypter les images.
 
Le fait de nettoyer un PC des virus n'enlevera pas les dégats occasionné par ce prog.

Sur "comment ça marche.net", il y a un modo qui propose de rassembler les sites et leur adresses consultées à l'aide de "dispdns.exe" et de leur envoyer le rapport pour croiser tous les résultats, et trouver le lien qui fout la merde... C'est peut-être un début d'idée...
 
Max

Bonjour
 
Pareil pour moi; tous les fichiers sont renommés et préfixés 'locked-'
J'ai fait le tour de différents forums, pas de solution pour l'instant. c'est la catastrophe.
Max, je n'ai pas trouvé sur "comment ça marche"
Pourvu que quelqu'un trouve vite une solution pour récupérer ces fichiers

Quelqu'un peu peut être faire un scan de son poste avec un avira Rescue disque afin que l'on connaisse la variante du virus qui a été utilisé, et peut que l'on peut trouvé l'algorithme et la solution de décryptage ?
 
Si c'est une technique de hammeconnage, il y a sans doute un moyen de décrypter.  
Le seul moyen de décrypter un document et de connaitre par quel chiffrement il a été crypté. Le seul moyen de savoir par quel chifrement il a été crypté et de savoir de quel logiciel malveillant il s'agit exactement et pas juste la famille.
 
Faire bruler une bougie et attendre que quelqu'un d'autre poste la bonne réponse, et rever qu'il est tombé sur la même variante et donc le même algorithme de cryptage, je pense qu'il va faloir vous armer de beaucoup de patience.

Sauf que la difficulté n'est pas l'algorithme de cryptage... mais bel et bien la clef utilisée qui tu peux t'en douter sera différente pour chaque PC infecté.
 
J'imagine assez bien que la routine du "ransomware" génère cette clef pseudo-aléatoirement, upload sur un site dans le giron de l'auteur du logiciel la clef privée (permettant de décrypter) et commence à crypter les fichiers de l'utilisateur avec la clef publique.
 
Quand ce dernier remarque les fichiers "locked" sur sa machine, la clef privée est déjà transférée depuis belle lurette.
 
La seule attaque qui marcherait pour décrpyter est en brute-force (c'est à dire en essayant toutes les possibilités) et là malheureusement même avec une puissance de calcul considérable tu as aucune chance avec un algorithme récent du genre AES, Blowfish, ...

 
Oui un cryptage c'est un algorithme et une clé ne connaitre ni l'un ni l'autre c'est partir au hasard. Une clé peut toujours être cassé tout n'est que question de temps (1h ou 3 ans). PAr contre connaitre plus de détail c'est peut être augmenter les chances de trouver un tools une méthode, un post.
La sans aucun détail tu peux trouver plein de post sans jamais savoir si c'est vraiment ton cas.

En tout cas, ce virus a l'air bien méchant... D'après Malekal "Pour le moment, il n'y a pas de solution".
Mettez bien à jour votre navigateur, plugin flash, lecteur pdf, etc... C'est probablement un exploit.

En particulier si tu as des activités de surf "à risque" le mieux reste encore une machine virtuelle avec VirtualBox ( www.virtualbox.org ) avec un Linux (Ubuntu par exemple, perso j'utilise une CentOS... mais je pense passer à une version plus "Light", genre minimale avec plus ou moins juste un GUI et un browser)... d'une part l'OS n'est pratiquement pas pris pour cible et d'autre part en cas de pépin c'est confiné à la VM.
 
Il suffit en plus de prendre une ISO de LiveCD et de la monter dans la VM, pas d'install compliquée, direct utilisable... et comme c'est une ISO elle a aussi l'avantage "d'oublier" les précédents lancement, cookies, historique, malware éventuels.
 
Les éventuels téléchargements sont ensuite rapatriés via SSH / WinSCP.

Je n'ose proposer la sauvegarde pour ses données. Souvent ca marche sauf si le disque de sauvegarde est connecté en permanence sur l'ordi.
 
Sinon on a déja déterminé que c'est forcément un cryptage à clé asymétrique très très complexe, même si moi je ne sais pas comment on est arriver a cette conclusion. Ca pourrait être un système de cryptage très simple, et je suppose de façon tout aussi absurde et sans réel conviction que c'est peut être un cryptage très simpliste, car plus le cryptage est simple plus il arrive a crypté vite les doc, ceux qui à l'air d'être l'objectif de l'auteur.
 
Celui qui est intéressé par le cryptage , essayer de  crypté une clé de 4Go avec Bitlocker vous verez qu'un cryptage complexe ne va pas toujours très vite.
 
Maintenant gardons le mystère sur ce logiciel malveillant c'est plus sympa.
 
Pour ceux qui ne veulent pas il est toujours possible de faire un scan pour essayer de déterminer de quel virus il s'agit, certain éditeur d'antivirus donne défois des solutions. J'ai réussi à récupérer une fois les doc d'un amis simplement avec un scan non correctif de avira rescue disk suivi d'une recherche sur internet.  Malheureusement quand ca marche ca supprime le côté mystérieux de la chose.
 
Gardons un peu de mystère c'est plus sympa.
 
 
Tortue-Geniale : tu connais des virus sympa ?

J'en ai connu un une fois, on a eu une histoire ensemble.
Ça s'est mal fini malheureusement... Mais bon j'étais jeune.

@phil255 : Bitlocker sur une clef USB est plutôt limité par la capacité du bus USB et la vélocité des puces mémoire. Le CPU lui se tourne les pouces pendant ce temps... actuellement de l'AES ça va très très vite (comparé à une échelle humaine) pour crypter des données.
 
Il faut aussi voir, si tu réfères au post d'Armaniz, qu'il suffit de crypter quelques Ko de l'entête du fichier pour le rendre inutilisable, c'est bien plus rapide que de le crypter entièrement les fichiers, mais largement suffisant pour atteindre le but en question.

 
Oui mais ce que je veux dire moi c'est que personne ne sait vraiment de quel virus il s'agit mais tout le monde en déduit que c'est un cryptage AES fait par des Ivoiriens.
 
Apparement personne ne veut vraiment savoir si une solution existe, donc je pense que l'on peut clôturer le sujet.
 

Je suis absolument désolé mais hors de question que je lache l'affaire !
 
80Go de données sont en locked et je vais attendre peut etre un moment mais je les supprimerait pas bettement en me disant : arf c'est pas grave !
 
Quelqu'un aurait testé un petit Kaspersky 2011 ???

 
Bienvenue au club des infectés, voici où trouver sur le site comment ca marche la discution concernant ce virus :
 
http://www.commentcamarche.net/for [...] help?full#
 
En espérant qu'une solution soit trouvée rapidement car moi j'ai des tonnes de photos, musiques, vidéos cryptées et inutilisables

De même chez Malekal :
 
http://forum.malekal.com/fichiers- [...] 37192.html
http://forum.malekal.com/ransomwar [...] 37140.html
 
Ils étudient le problème...

Bon et bien ça semble mal parti pour vos fichiers...
 
Dixit commentcamarche et Malekal :

Pour ceux que ça intéresse, l'état des lieux des recherches sur ce virus :
http://forum.malekal.com/ransomwar [...] ml#p289899
 
En résumé, très peux de chances de pourvoir décrypter les fichiers.

Hello, j’intègre le club des infectés.
 
Pour essayer de faire un peu avancer les choses, j'ai analysé deux comparaisons de fichiers attaqués avec leurs sauvegardes respectives.
Il semble bien que le virus fasse un "scramble" des 4096 premiers blocs du fichier, quel qu'il soit, ce qui correspond aux blocs de 000 à FFF en héxadécimal, soit une modification de 4096 x 16 bits = 65536 bits, 65536 bits/8 = 8192 octets, soit 8 ko.
 
Autrement dit, le suite des 8 ko serait récupérable.
 
Voila pourquoi les MP3 semblent de pas avoir souffert du problème.
 
Pourquoi ne pas essayer de récupérer ces 8 ko avec un éditeur comme HEX Editor, par une action de copier-coller à partir d'un fichier sain de même nature?
J'ai essayé avec un Jpeg et ça a fonctionné.
Apparemment par ce biais, on pourrait sauver les fichiers ISO, qui ont un codage qui commence par un bon paquet de zéros, bien supérieurs aux 8 premiers ko du virus.

En reprenant un peu les choses, j'ai réussi a sauver toutes mes photos et mes vidéo sur un carte SDHC que j'avais laissé dans un lecteur et qui ont été renommées et cryptées.
 
Pour les photo Jpeg, j'en ai retrouvé des saines à partir desquelles j'ai copié les 4096 premiers blocs.
(Pour ce faire, utilisez Hex Editor VXI qui est totalement gratuit, et ouvrez un fichier sain. Seléctionnez les blocs de 000 à FFF, copier-les dans le presse-papiers, Edition, Copy to Clipboard).
Ensuite, je les ai recollés à la place des données corrompues dans le fichier infecté (ouvert également par une deuxième session de Hex Editor:
Allez jusqu'au bloc FFF, selectionner Edition->Delete to cursor -ce qui efface tout, avant et jusqe FFF, et collez depuis le presse-papiers, Edition->Paste from Clipboard).
 
Attention, les annulations sont impossibles, donc si vous en êtes à vote phase d'essais, faites "Save As", pour ne pas écraser le fichier d'origine.
 
Certaines photos ou été réparées, mais j'ai pu trouver un logiciel génial pour les retrouver. VLC! et ouais! il les lit comme des vidéos et les affiches pendant quelques secondes. Pour enregistrer la photo, il faut aller dans Vidéo->Capture d'écran, et voila une jolie photo .PNG dans mes documents!
 
Après, je me suis attaqué à mes vidéos... Il y a un endroit dans ce type de fichier où on a un champ avec  beaucoup de zéros qui se suivent avant les données vidéo elle-mêmes. Il faut aller parfois assez loin dans le fichier. Toujours avec Hex Editor. On efface tout ce qu'il y a avant y compris l'espace vide, et on recolle l'équivalent de cette partie effacée venant d'un autre fichier.
Les vidéos que je n'avais pas pu ressusciter on été retravaillées par VirtualDuB, et bye bye les dégâts occasionnés pas le virus!
Mais cela a été plus facile que les photos.
J'ai même pu sauver un fichier ISO par la même méthode.
 
Alors, avant de faire le deuil de vos photos et vidéos souvenirs, essayez cette méthode. C'est fastidieux, mais ça marche.
 
J'ai pas essayé pour les fichiers Word par exemple, mais je pense que Word peut les réparer, du moins en partie.
 
Voila pour mes news.

 
Hello Forxav,
 
Voici ton fichier réparé, ou plutôt, "rafistolé" grâce à ma méthode citée plus haut. --> http://dl.free.fr/getfile.pl?file=/74NxM7dC
Ton fichier a été réparé à partir d'une photo tirée de mon téléphone portable, un Samsung SGH i900.
Voila, dans les paramètres du fichier, c'est moi qui me serais théoriquement rendu dans le 77 pour tirer le portrait de ton vélo.
 
Bonne récupération, et bon courage à tous.
 
Inu.

Hello Inu-Shiba,
 
Respect pour ta méthode et soluce.
 
Je vais essayer de traiter les fichiers cruciaux, pour certains autres j'avais de la sauvegarde.
Je suis parano en ce moment sur les accès HDD.
 
   
 
Forxav.

bonjour  
 
moi aussi j'ai attrapé cette saleté pour enlever l'image (fausse amende gendarmerie) qui bloque le Pc
 j'avais prévu plusieurs sessions donc je redémarre mon Pc je rentre sur une autre session je télécharge malwarebyte et ça supprime la page fausse amende gendarmerie
 
Mais une nouvelle version fait que tous les fichiers vidéo music photo sont loked !
 
pour les fichiers audio j'ai trouvé une astuce reconvertir le fichier audio en mp3 high qualités et le fichier est à nouveau disponible
 
mais malheureusement je n'ai pas réussi pour les fichiers vidéo  
 
je pense que la piste de la conversion des fichiers est a étudié c'est juste un avis personnel
 
Merci à vous pour toutes les infos

[quotemsg=3035185,12,42813]Le but est surtout d'obtenir une rançon... le principe est le suivant :
 
1) S'introduire sur la machine avec un logiciel malveillant
2) Crypter les fichiers de l'utilisateur
3) Diriger l'utilisateur vers un site, qui moyennant une rançon, dont le montant est en général inférieur à 100$, permet d'obtenir sa clef de décryptage
4) Retour à la normale (dans le meilleur des cas)
 
 
Merci pour les infos  
je rajouterais il ne faut JAMAIS PAYER c'est une arnaque et si des victimes payent sa ne fera qu'inciter ce genre de personne à multiplier ses différentes saloperies trojan virus etc. lol
 
 

Salut Inu ! tu sais si cela marche avec un fichier word ? je n'arrive pas à l'appliquer avec ta méthode mais je suis une quiche en inormatique aussi je débute ^^
par exemple avec ce fichier word : http://dl.free.fr/buX1yiPmo
Bref merci à toi, à ceux qui se creusent les méninges et bon courage aux inféctés

La solution a été trouvée, testée et approuvée, allez voir ce fil : http://www.commentcamarche.net/for [...] ion-dr-web

j ai une solution pour tous, si vous voulez recuperer vos fichier video,images,docs etc.....
solution allez dans  le disque dur c: > proprietes> versions precedente>choissez une version date d'avant votre virus> ouvrir> et la vous pouvez recuperer tous vos fichiers dans utilisateur  ou windows selon ce que vous voulez, j ai eu le meme probleme et j ai pu recuperer tout .ensuite j ai supprimé tous mes fichiers "locked"