[ MATERIEL INFORMATIQUE ] Cochonnerie de Virus

Bonjour à tous,

je vous souhaite à tous une excellente année 2023 et surtout une très bonne santé pour vous et tous vos proches...

Ca fait pas mal de temps que je n'ai pas posté de message sur le forum même si j'y viens de temps en temps, mais c'est qu'en fait, je n'ai pas grand chose à vous montrer.

Je me permets donc de vous contacter car j'ai attrapé un virus sur mon ordinateur qui me pose pas mal de soucis, peut-être y avez-vous aussi été confronté ... ce que je n'espère pas...

Voilà le problème: Je pense que le virus s'appelle "cm-lock" c'est comme ça qu'il apparait dans le dossier "ProgramData. Il a changer l'extension de plusieurs fichiers, essentiellement pour les images, les PDF, les fichiers excel... Il remplace par exemple le *.jpg par des *_jpg ou *.pdf par *_pdf en ajoutant une extension cachée "selsclxvf". Du coup, impossible de les ouvrir! Les antivirus n'y font rien et même si je n'ai pas vraiment cherché à y voir plus loin, je me doute bien que l'on me demande de payer pour tout remettre dans l'ordre mais ça c'est hors de question car c'est mettre le doigt dans un engrenage incontrôlable...

Savez vous si il y a une possibilité de remédier à ce problème et de me débarrasser de ce virus?
Par avance merci

Salut Bruno

merci , bonne année à toi également
c'est un vieux virus , c'est locky  , à moins que ca soit une nouvelle variante je crois que les anti virus peuvent le supprimer , mais je crois aussi que pour les fichiers infectés , c'est irréversible
regardes par ici

Grand merci à toi.
J'ai téléchargé AVAST et fait un scan complet.... mais j'ai pas l'impression que ça ai changé quoi que se soit, pas de virus repéré. Du coup je l'ai désinstallé...

Salut Bruno
Je pense que pour les fichiers infectés c est irréversible, par contre si aucun virus n'est détecté, il ne doit plus être présent ? Est ce que les nouveaux fichiers sont toujours vérolés?

Bonjour à tous,
Excellente année 2023,
Une piste pour récupérer tes fichiers, j'avais eu un virus similaire il y a une dizaine d'années que m'avait résolu un ami.
Un petit programme en Java spécifique qui parcourait mon disque dur et remodifiait les extensions.
Il ne te reste plus qu'a trouver un bon programmeur, chez moi, c' était les fichiers images jpg, word, excel et j'avais tout récupéré.
Bon courage.
Jacques

Bonsoir,

Bruno a écrit:Voilà le problème: Je pense que le virus s'appelle "cm-lock" c'est comme ça qu'il apparait dans le dossier "ProgramData. Il a changer l'extension de plusieurs fichiers, essentiellement pour les images, les PDF, les fichiers excel... Il remplace par exemple le *.jpg par des *_jpg ou *.pdf par *_pdf en ajoutant une extension cachée "selsclxvf". Du coup, impossible de les ouvrir! Les antivirus n'y font rien et même si je n'ai pas vraiment cherché à y voir plus loin, je me doute bien que l'on me demande de payer pour tout remettre dans l'ordre mais ça c'est hors de question car c'est mettre le doigt dans un engrenage incontrôlable...

Que se passe t-il lorsque tu tentes de renommer à nouveau correctement l'extension d'un de ces fichiers que le virus à modifier ( par exemple un original : *.jpg, modifié en *_jpgxxxxx par le virus et de nouveau renommé par toi en *.jpg)
L'extension ainsi renommée comme à l'origine reste t'elle non modifiée même après un redémarrage de la machine ou est de nouveau modifiée ?
Si elle conserve son statut après redémarrage de la machine, il y a alors peut être une solution pour rechercher tous les fichiers *._jpg* sur la machine et les renommer en batch en *.jpg

Autre question : Le lien qui figure dans ton profil pour accéder à ton site est il bien le bon ou est il lui aussi vérolé ?

JDD

Bonjour JDD,
en fait, il est impossible de renommer les fichier., ou plus exactement, si, je peux modifier l'extension des fichiers par "*.jpg" mais pas l'extension cachée "selsclxvf" qui n'est visible que lorsque je fais "propriété" du fichier... redémarrage ou pas de l'ordinateur...

Non, mon site web n'est pas atteint par le virus, il fonctionne bien.

Bonjour  [Vous devez être inscrit et connecté pour voir ce lien]

bruno a écrit:ou plus exactement, si, je peux modifier l'extension des fichiers par "*.jpg" mais pas l'extension cachée "selsclxvf" qui n'est visible que lorsque je fais "propriété" du fichier

Si je comprends bien, lorsque tu fais "propriétés" du fichier le nom de l'extension que tu lis est *.jpgselsclvfx

Quel est l'attribut qui est alors affecté à ce fichier ? Lecture seule, Caché ?
Dans l'Exploreur de Windows, tu peux affecter une colonne pour afficher tous les attributs des fichiers situés dans un dossier ( par défaut seules les colonnes Nom, Date, Type). En cliquant droit sur l'entête d'une de ces colonnes tu peux en afficher d'autres comme "Attributs)
En procédant ainsi dans un dossier contenant tes fichiers JPG vérolés, quels types d'attributs sont affectés à ces fichiers ?

Ci joint la liste des attributs Windows et leur signification.

[Vous devez être inscrit et connecté pour voir cette image]


Autres points que tu peux vérifier, mais ils sont situées dans la Base de Registre de Windows.
Si tu n'as jamais accédé et modifié quelques chose dans cette base je ne te le conseille pas de le faire.

Sinon :

il te suffit d'aller dans la base de registre et de vérifier quelques clés, pour ce, tu fais :

démarrer
exécuter
regedit
ok

Maintenant on est dans la Base de Registre

ensuite tu déroules la hiérarchie en cliquant sur le > devant
>HKEY_Local_Machine
>Software
>Microsoft
>Windows
>Explorer
>Advanced
>Folder
>Hidden

la tu trouvera encore 2 sous répertoires NOHIDDEN et SHOWALL

dans le NOHIDDEN vérifies que les clés soit à ces valeurs:
CheckedValue=2
DefaultValue=2

dans le SHOWALL pareil mais avec ces valeurs ci:
CheckedValue=1
DefaultValue=2

Si tu n'as pas ces 4 valeurs comme mentionnée ici, tu les modifies
Puis tu sors de l'éditeur du registre et tu redémarres la machine.

Autres Questions : Quel anti-virus utilises tu? As-tu questionné ton fournisseur d'anti-virus pour savoir s'il possède une solution pour résoudre tout ou partiellement ton problème?
Perso j'utilise McAfee comme anti virus et leurs services assistances est Top, ils répondent systématiquement à toutes demandes

bruno a écrit:Non, mon site web n'est pas atteint par le virus, il fonctionne bien.

Quand je clique sur le lien je tombe sur ce site Chinois. C'est le bon ?

[Vous devez être inscrit et connecté pour voir cette image]

Mon site web est celui-ci:
[Vous devez être inscrit et connecté pour voir ce lien]

je n'ai jamais été voir dans la base de registre.... je ne suis pas trop doué en informatique.
voici les propriétés d'un fichier vérolé:

[Vous devez être inscrit et connecté pour voir ce lien]

Par ailleurs, voici ce qui est indexé sous forme de page "web" dans chacun des dossiers infectés:

ALL YOUR DOCUMENTS PHOTOS DATABASES AND OTHER IMPORTANT FILES HAVE BEEN ENCRYPTED!
====================================================================================================
Your files are NOT damaged! Your files are modified only. This modification is reversible.

The only 1 way to decrypt your files is to receive the private key and decryption program.

Any attempts to restore your files with the third party software will be fatal for your files!
====================================================================================================
To receive the private key and decryption program follow the instructions below:

1. Download 'Tor Browser' from [Vous devez être inscrit et connecté pour voir ce lien] and install it.

2. In the 'Tor Browser' open your personal page here:


[Vous devez être inscrit et connecté pour voir ce lien]


Note! This page is available via 'Tor Browser' only.
====================================================================================================
Also you can use temporary addresses on your personal page without using 'Tor Browser':


[Vous devez être inscrit et connecté pour voir ce lien]


Note! There are temporary addresses! They will be available for a limited amount of time!

OK merci, c'est plus clair,

Tu as été infecté par un rançongiciel (ransomware) de type "My Decriptor"
Pas de solution alors à te proposer car il n'y en a pas , sauf accepter de payer la rançon et sans aucune garantie qu'une fois la rançon versée, le décryptage soit inversé et tes fichiers de nouveau utilisables.

Pour plus d'explications sur ce virus rançongiciel voir : ICI

Maintenant concernant ton site, en suivant le lien que tu viens de me donner, OUI cela semble bien être le tiens, mais par contre lorsque je clique sur le lien qui figure sous ton AVATAR quand tu postes sur le forum, et bien on tombe sur un site vérolé ( CF. image dans ma précédente conversation)

[Vous devez être inscrit et connecté pour voir cette image]


JDD

JDD a écrit:Maintenant concernant ton site, en suivant le lien que tu viens de me donner, OUI cela semble bien être le tiens, mais par contre lorsque je clique sur le lien qui figure sous ton AVATAR quand tu postes sur le forum, et bien on tombe sur un site vérolé ( CF. image dans ma précédente conversation)

[Vous devez être inscrit et connecté pour voir ce lien] pour le lien vers le site je viens de corriger le profil , ca va maintenant vers ton site

[Vous devez être inscrit et connecté pour voir ce lien]

Il y a une raison fait que ce lien était vérolé ?

JDD a écrit: [Vous devez être inscrit et connecté pour voir ce lien]

Il y a une raison fait que  ce lien était vérolé ?

le lien du site n'avait rien à voir avec le site actuel de Bruno

C'est bien ce que j'avais constaté et avait fait remarqué [Vous devez être inscrit et connecté pour voir ce lien]