Bonjour les experts,
 
Mon ordinateur est infecté par le virus Cryptowall et je ne m'en sors pas.
 
J'ai besoin de votre aide svp !
 
Voici le rapport ZHPDiag
 
http://www.cjoint.com/c/EKDlvwve1wv
 
Merci d'avance pour votre aide précieuse.

Si le programme est en train de crypter les données sur ton poste le mieux est de l'éteindre.
Tu feras une analyse depuis un CD ou un autre PC
 
Regarde si ton antivirus affiche le nom du cryptolocker.
Malwarebyte devrait réussir à te le supprimer.
 
A vue d'oeil, je pense que c'est C:\Users\pr\AppData\Roaming\wyddf-a.exe qui est le responsable.

J'ai lancé avast au redémarrage.
 
Dès que c'est terminé je lancerai malwarebytes.
 
Par contre comment décrypter les données?

Il y a peu de chances de pouvoir décrypter les données.
Regarde le nom du cryptolocker ca aidera.
 
Malwarebyte sera plus efficace qu'avast à mon avis.
tu peux même commencer par un adwcleaner, c'est le plus rapide.
 
Je ferais une analyse en mode sans échec pour qu'il évite de continuer à crypter les fichiers.

misère

tu pourras essayer le programme shadow explorer pour voir si des fichiers sont récupérables avec les versions précédentes.

Entendu merci beaucoup.
 
Je fais tout ça et revient vers toi.  
 

Salut,
 
 
On peut enlever facilement le cryptoware, on le voit bien dans ZHPDiag (wyddf-a.exe). Par contre, pour les données, c'est autre chose comme le souligne nnwldx.  
 
Très bonne idée d'utiliser un CD antivirus, ça empêcherait le cryptage supplémentaire des fichiers (si ce n'est pas trop tard). Si tu as un second PC, utiliser par exemple Kaspersky Rescue Disk 10.
 
Si je peux aider après l'utilisation d'Avast et de Malwarebytes, ce serait bien que tu fasses parvenir un nouveau rapport de ZHPDiag pour vérifier si le cryptoware est toujours là.
 
 
Edit: comment tu as attrapé la bestiole ?

Voici le lien.  
 
J'ai fait tourner avast et malwarebytes.
 
j'ai effacé le fichier wyddf-a.exe manuellement aussi
 
http://www.cjoint.com/c/EKDuHrxg2Gv
 
C'est mon père qui utilise ce pc et impossible de savoir comment il a choppé ca.
 
En tout cas merci

il est probable que cela vienne d'un mail avec une pièce jointe.
Recherche le nom du virus dans les rapports de l'antivirus ou mbam.
Il y a certains crypto que l'on peut décrypter, cependant les chances sont très faibles.

Il a été effacé du coup?

Un peu de lecture avec en fin de page la dernière mouture

http://forum.malekal.com/crypto-ra [...] 50701.html

et

http://forum.malekal.com/ransomwar [...] 49834.html

Edit

http://forum.malekal.com/cryptowal [...] 53393.html

Oui, il a été effacé. Reste quelques bricoles à supprimer.
 
 
 
==> ZHPFix
 
 

• Télécharger et installer le programme ZHPFix

• Puis, à partir du bureau, lancer le programme en faisant un clic droit de la souris sur son icône (une seringue) et en choisissant "Exécuter en tant qu'administrateur" (pour Windows Vista, 7/8/10).

   
 
 
     Attention, ce script suivant a été écrit spécifiquement pour l'ordinateur de optifree, il n'est pas
      transposable sur un autre ordinateur.
 
     Le temps de téléchargement du script a été volontairement limité à 4 jours.
 

• Cliquer sur ce lien http://www.cjoint.com/data3/EKEnptaebVY_script.txt
• Sur la page qui s'ouvre, faire un clic droit et choisir Tout sélectionner.
• Puis, refaire un clic droit et choisir Copier.
• Double clic gauche sur l'icône de ZHPFix qui se trouve sur le bureau ou lancer ZHPFix à partir du raccourci sur ModernUI (pour Windows 8).

• Sur La fenêtre qui s'ouvre, cliquer sur IMPORTER.

• Dans la plupart des cas, le script se colle automatiquement dans la zone de script.
• Dans le cas contraire, faire un clic droit de la souris dans la fenêtre de ZHPFix et choisir Coller.
• Cliquer sur Go.

• A la demande, confirmer le nettoyage des données en cliquant sur OUI.

• Patienter le temps du traitement (le traitement peut être long suivant la quantité de données à supprimer).
• ZHPFix va demander si vous souhaiter vider ta corbeille, accepter.  

• Un rapport nommé ZHPFixReport.txt sera créé et sauvegardé sur le bureau.  

        Note: le rapport se trouve aussi à cet emplacement, disque dur C:\ZHP\ZHPFix[R1].txt
 

• Fermer ZHPFix et redémarrer l'ordinateur (s'il ne redémarre pas de lui-même).

• Héberge le rapport sur www.Cjoint.com, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.  

Merci Mille fois.
 
Voici le rapport: http://www.cjoint.com/c/ELbs262lxqv
 
Une idée pour décrypter mes fichier ?
 
Ils sont désormais en .vvv
 
Voici une copie du message qui s'affiche.
 
 
 
 
 ________________________1234____________________________________-
What happened to your files ?
All of your files were protected by a strong encryption with RSA-2048.
More information about the encryption keys using RSA-2048 can be found here: http://en.wikipedia.org/wiki/RSA_(cryptosystem)
 
What does this mean ?
This means that the structure and data within your files have been irrevocably changed, you will not be able to work with them, read them or see them,
it is the same thing as losing them forever, but with our help, you can restore them.
 
How did this happen ?
Especially for you, on our server was generated the secret key pair RSA-2048 - public and private.
All your files were encrypted with the public key, which has been transferred to your computer via the Internet.
Decrypting of your files is only possible with the help of the private key and decrypt program, which is on our secret server.
 
What do I do ?
________________________1234____________________________________
Alas, if you do not take the necessary measures for the specified time then the conditions for obtaining the private key will be changed.
If you really value your data, then we suggest you do not waste valuable time searching for other solutions because they do not exist.
________________________1234____________________________________
 
For more specific instructions, please visit your personal home page, there are a few different addresses pointing to your page below:
1. http://gfhshhf.home7dfg4.com/553EB3D537C61AC0
2. http://td63hftt.buwve5ton2.com/553EB3D537C61AC0
3. https://tw7kaqthui5ojcez.onion.to/553EB3D537C61AC0  
 
If for some reasons the addresses are not available, follow these steps:
1. Download and install tor-browser: http://www.torproject.org/projects/torbrowser.html.en  
2. After a successful installation, run the browser and wait for initialization.
3. Type in the address bar: tw7kaqthui5ojcez.onion/553EB3D537C61AC0  
4. Follow the instructions on the site.
 
IMPORTANT INFORMATION:
Your personal pages:
http://gfhshhf.home7dfg4.com/553EB3D537C61AC0
http://td63hftt.buwve5ton2.com/553EB3D537C61AC0  
https://tw7kaqthui5ojcez.onion.to/553EB3D537C61AC0  
Your personal page (using TOR-Browser): tw7kaqthui5ojcez.onion/553EB3D537C61AC0  
Your personal identification number (if you open the site (or TOR-Browser's) directly): 553EB3D537C61AC0

Après bon restauration de sauvegarde pour les données cryptées et tout rentre dans l'ordre

Malheureusement il n'y a pas de sauvegarde ...

Si tu n'as pas de point de restauration du système, utiliser ShadowExplorer ne sera donc pas utile et il n' y a pas actuellement de décrypteur de documents permettant de les récupérer.  
 
On ne répètera jamais assez l'importance de faire des sauvegardes externes (ou des ghosts) sur un disque dur externe.  
 
 
Je t'invite à lire ce qui suit et à utiliser des programmes de nettoyage pour finaliser la maintenance malware. Il faut notamment bien mettre à jour certains programmes sensibles car c'est par ces programmes que les malwares entrent et se développent sur le PC.
 
 
 
 
==> Nettoyage complémentaire :  
 
 
 
1- SFTGC de Pierre13 – Nettoyage des fichiers temporaires :
 
 

• Télécharger SFTGC sur ton bureau

• Lancer le programme en faisant un clic droit de la souris sur l'icône de SFTGC et en choisissant "Exécuter en tant qu'administrateur" (pour Windows Vista, 7/8/10)  

• Le logiciel s'initialise puis s'ouvre
• Cliquer alors sur le bouton Go pour supprimer les fichiers temporaires inutiles et attendre la fin du nettoyage

     
 
 
 
2- DelFix de Xplode
 
 
Cet outil va permettre d'une part de supprimer tous les outils de désinfection utilisés lors du nettoyage de l' ordinateur et d'autre part de purger la restauration système. La purge de la restauration système est importante, elle permet de supprimer tous les points de restauration potentiellement infectés et de créer un nouveau point de restauration exempt de nuisible.  
 

• Télécharger DelFix de Xplode sur le bureau

• Lancer le programme en faisant un clic droit de la souris sur l'icône de DelFix et en choisissant "Exécuter en tant qu'administrateur" (pour Windows Vista, 7/8/10)
• Cocher toutes les cases comme indiquer sur l'image ci dessous
• Cliquer sur Exécuter

     
 
 
 
==> Mises à jour de sécurité :
 
 
Il est important de mettre à jour tous ses programmes et en particulier le système d'exploitation Windows, les navigateurs internet, Adobe Flash Player, Adobe Reader et Java, ces programmes étant les plus attaqués par les malwares notamment par l'intermédiaire d'exploits (infection automatique par simple visite d'un site web).  
L'installation des dernières mises à jour permettent ainsi de sécuriser le PC et de combler les failles par lesquelles les malwares entrent et se développent (pour plus de détails voir plus loin la rubrique "compléments d'informations" ):
 
 
 
1- Vérification et mises à jour du système d'exploitation Windows:
 
   

• Pour Windows Vista, 7 et 8 : se rendre dans le Panneau de configuration\Système et sécurité\Windows Update\  et sélectionner Rechercher des mises à jour.

 
 
 
2- Vérification et mises à jour des navigateurs internet :
 

• Pour Internet Explorer et Microsoft Edge: les mises à jour se font en même temps que celles du système d'exploitation.  
• Pour Mozilla : cliquer sur le menu Mozilla représenté par 3 barres (en haut à droite du programme). Cliquez sur le "?", puis “ à propos de Mozilla“.
• Pour Google Chrome : OK !

 
 
3- Adobe Reader DC: N'est pas à jour, c'est une faille de sécurité importante.
 

• Désinstaller la version actuelle via le panneau de configuration / Programmes / Désinstaller un programme.
• Télécharger et installer la nouvelle mouture d'Adobe Reader => Site Adobe Reader

Ne pas oublier avant le téléchargement de décocher la case proposant le sponsor McAfee dans les offres facultatives, ce programme ne sert à rien.
 
     
 
 
 
4-Adobe Flash Player : OK.
 
 
 
5- Java : Non présent sur le PC.
 
 
 
 
==> Quelques conseils de prudence et de vigilance :
 
 

• Ne télécharger pas de programmes sur certains sites revendeurs comme 01.net, Softonic, BrotherSoft, ces sites utilisent leur propre installateur et rajoutent pendant l'installation des programmes indésirables LPI/PUP (toolbars, adwares, spywares, hijackers).  

• Préférer les téléchargements chez l'éditeur du programme  

• Lors de l'installation d'un programme, lire attentivement ce que l'on propose, choisir l'installation personnalisée ou avancée et décocher les programmes additionnels inutiles ou cliquer sur Skip (Passer).

• Chercher le vrai lien de téléchargement sur la page d'un site.

• Filtrer les publicités malicieuses (malvertising) qui peuvent installer des malwares à l'aide du programme Adblock Plus.  

        Pour chaque navigateur internet concerné, copier l'adresse du lien ci dessous (en faisant un clic droit de
        la souris + copier l'adresse du lien), ouvrez le navigateur et collez le lien dans la barre d'adresse (clic  
        droit + coller):  
 
         - pour Internet Explorer
         - pour Mozilla
         - pour Google Chrome  
         - pour Opéra
 

• Attention aux fausses mises à jour, plugins et faux codecs qui sont proposés notamment sur des sites de jeux, de streaming ou de charmes, ceux-ci installent aussi des malwares.

• Au niveau des mails et des réseaux sociaux, n'ouvrez pas des pièces jointes et ne cliquer pas sur des liens dans des messages douteux, ceux-ci pourraient être piégés.    

• Cracks: refuser de télécharger et d'utiliser illégalement des œuvres protégés par un copyright (non libre de droits). En plus d’être passible de sanctions vis-à-vis de la loi et d'Hadopi, ces œuvres piratées en provenance du réseau du P2P, du Direct Down Load ou par tout autre biais sont la source de la plupart des infections les plus dangereuses.

• Scanner (analyser) régulièrement son PC avec son antivirus résident et vérifier que la base de signatures virales est bien à jour afin de détecter les derniers malwares présents sur le net.  

• Vacciner ses supports amovibles externes (clés Usb, disques dur externes, cartes mémoire, Ipod, MP3…) à l'aide du programme UsbFix car beaucoup d'infections se propagent par ce biais.  

• Sauvegarder sur un disque dur externe vos données personnelles (documents, images, vidéo, musiques) au cas où une panne sérieuse arriverait et empêcherait le PC de redémarrer, ou qu'un malware supprime ou crypte de façon irréversible ces données (sauvegarder sur un disque dur externe non connecté en permanence au PC).

 
 
 
==> Complément d'informations :
 
 

• Stop les publicités intempestives adwares et programmes parasites de Malekal.
• Pourquoi mettre à jour son PC contre les failles de sécurité Comment ça marche.net.
• Les risques sécuritaires du P2P Libellules.ch
• Sécuriser son ordinateur et connaitre les menaces de Malekal.

 
 
Bonne journée.
 
 
 
 
 
 
 
   

Merci beaucoup.  
 
J'ai suivi tes indications.
 
Je vais faire en sorte que ca ne m'arrive plus....