[Réglé] Je n'y comprends rien !!!

[jeansavard]

Bonjour,

À ma grande surprise je viens découvrir que tous mes fichiers avec les extensions rar, zip, doc, txt, pdf et j'en passe, se retrouvent chacun avec un ajout au bout du nom du fichier qui se termine par IDLSPLM. Autrement dit, si celui-ci se nommait travaux.doc il se nomme maintenant travaux.doc.idlsplm.

Évidemment j'ai tenté d'ouvrir un de ces fichiers mais je me retrouve avec toute une série de caractères hétéroclites du genre de ceux utilisés par les programmeurs. Si j'efface l'extension IDLSPLM et que je passe outre l'avertissement au sujet du changement d'une extension, ce même genre de caractères apparaît aussi. Je ne retrouve absolument rien qui se rapproche de près ou de loin au contenu de fichier original.

Bref, je ne peux plus lire mes fichiers alors imaginez dans quelle situation je me retrouve. J'ai beau chercher sur internet de l'info sur l'extension IDLSPLM... Il n'y a rien à ce sujet.

Quelqu'un peut m'aider svp ?

[bernard53]

Bonjour
Dis moi as tu essayer de renommer travaux.doc.idlsplm en travaux.doc et de voir ce que cela donne en info.

[jeansavard]

Bien sûr que j'ai fait ça puisque j'ai marqué dans mon message que j'avais enlevé le IDLSPLM ... Par conséquent je me retrouvais avec l'extension doc. Merci quand même pour la suggestion...

[bernard53]

J'ai bien peur que tu sois infecté.
Fait ceci s.t.p.Téléchargez FRST et enregistrez-le sur le Bureau.

Note Vous devez utiliser la version compatible avec votre système. Si vous n'êtes pas sûr de la version adaptée à votre système, téléchargez les deux versions et essayez de les exécuter. Une seule d'entre elles s'exécutera sur votre système, ce sera la 'bonne' version.

Faites un clic droit sur le fichier téléchargé (FRST.exe/FRST64.exe) et choisissez Exécuter en tant qu'administrateur
(Sous Windows XP faites un double clic sur FRST.exe/FRST64.exe puis cliquez sur 'Exécuter' lors de l'Avertissement de sécurité - Fichier ouvert).

Quand l'outil démarre, cliquez sur Oui si vous acceptez les termes de la fenêtre Disclaimer (clause de non-responsabilité).
Cliquez sur le bouton Scan. et vérifier qu’Addition.txt soit validé.

[*]L'outil va créer un fichier rapport [log] nommé FRST.txt situé dans le dossier depuis lequel l'outil s'exécute.
[*]Copiez et collez ce rapport dans votre réponse.
[*]La première fois où l'outil est exécuté, il crée un autre rapport nommé Addition.txt- situé également dans le même dossier que FRST.exe/FRST64
Mets les rapports ici car ils prennent bien de la place.
http://cjoint.com/
ou. http://www.1fichier.com/

ou Joins ces rapports dans ta prochaine réponse en suivant ce tutoriel.
 
PS: tu as tenter une restauration système avant ce soucis?

[diogene]

Bonjour,

À la demande de bernard53, pour un meilleur traitement, le sujet est transféré en section Sécurité et virus du forum.

[jeansavard]

Voilà les documents tel que demandé... Tout ça est totalement nouveau pour moi... J'espère avoir bien fait ce qui était demandé...

[bernard53]

Premier état du pc OK mais je sais que ce virus est difficile a déceler.
Dans un premier temps tu peux récupérer des docs si tu as des points de restauration via " Shadow Explorer"
http://www.vista-xp.fr/forum/topic2425.html

Ensuite tu as "Macrium" donc une sauvegarde de ton pc en image: très utile.
Sans aller jusque la fait ceci s.t.p.
Télécharger sur le bureau<< RogueKiller >> (by tigzy)
Quitter tous les programmes
Lancer RogueKiller.exe.
Attendre que le Prescan ait fini ...
Cliquer sur Scan. Cliquer sur Rapport et copier-coller le contenu du notepad

[jeansavard]

Tel que demandé...

RogueKiller V10.1.0.0 (x64) [Dec 11 2014] par Adlice Software
email : http://www.adlice.com/contact/
Remontées : http://forum.adlice.com
Site web : http://www.adlice.com/fr/logiciels/roguekiller/
Blog : http://www.adlice.com

Système d'exploitation : Windows 8.1 (6.3.9200 ) 64 bits version
Démarré en : Mode normal
Utilisateur : Moi-Même [Administrateur]
Mode : Scan -- Date : 12/12/2014 04:04:56

¤¤¤ Processus : 0 ¤¤¤

¤¤¤ Registre : 27 ¤¤¤
[Suspicious.Path] (X64) HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\RunSwUSB (C:\Windows\runSW.exe) -> Trouvé(e)
[Suspicious.Path] (X64) HKEY_LOCAL_MACHINE\RK_System_ON_D_110D\ControlSet001\Services\ATICDSDr -> Trouvé(e)
[Suspicious.Path] (X64) HKEY_LOCAL_MACHINE\RK_System_ON_D_110D\ControlSet001\Services\RunSwUSB (C:\Windows\runSW.exe) -> Trouvé(e)
[Suspicious.Path] (X64) HKEY_LOCAL_MACHINE\System\ControlSet001\Services\RunSwUSB (C:\Windows\runSW.exe) -> Trouvé(e)
[PUM.Proxy] (X64) HKEY_USERS\RK_Moi-Même_ON_D_4F94\Software\Microsoft\Windows\CurrentVersion\Internet Settings | ProxyServer : 127.0.0.1:8080 -> Trouvé(e)
[PUM.Proxy] (X86) HKEY_USERS\RK_Moi-Même_ON_D_4F94\Software\Microsoft\Windows\CurrentVersion\Internet Settings | ProxyServer : 127.0.0.1:8080 -> Trouvé(e)
[PUM.Dns] (X64) HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters | DhcpNameServer : 192.168.0.1 24.200.243.189 24.200.241.37 [CANADA (CA)][CANADA (CA)] -> Trouvé(e)
[PUM.Dns] (X64) HKEY_LOCAL_MACHINE\RK_System_ON_D_110D\ControlSet001\Services\Tcpip\Parameters | DhcpNameServer : 192.168.0.1 24.200.243.189 24.200.241.37 [CANADA (CA)][CANADA (CA)] -> Trouvé(e)
[PUM.Dns] (X64) HKEY_LOCAL_MACHINE\System\ControlSet001\Services\Tcpip\Parameters | DhcpNameServer : 192.168.0.1 24.200.243.189 24.200.241.37 [CANADA (CA)][CANADA (CA)] -> Trouvé(e)
[PUM.Dns] (X64) HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{4CBFBA69-A127-40C1-A23F-22513F4B36B4} | DhcpNameServer : 192.168.0.1 24.200.243.189 24.200.241.37 [CANADA (CA)][CANADA (CA)] -> Trouvé(e)
[PUM.Dns] (X64) HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{5A090FC5-3DFC-4DB8-B89D-52637A33CCCE} | DhcpNameServer : 192.168.0.1 24.200.243.189 24.200.241.37 [CANADA (CA)][CANADA (CA)] -> Trouvé(e)
[PUM.Dns] (X64) HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{E5AB3C70-B6F1-4D0A-AF97-C15ADC42FBF3} | DhcpNameServer : 192.168.0.1 24.200.243.189 24.200.241.37 [CANADA (CA)][CANADA (CA)] -> Trouvé(e)
[PUM.Dns] (X64) HKEY_LOCAL_MACHINE\RK_System_ON_D_110D\ControlSet001\Services\Tcpip\Parameters\Interfaces\{09A38F51-7FDF-4A1E-B313-07193F21690C} | DhcpNameServer : 192.168.0.1 24.200.243.189 24.200.241.37 [CANADA (CA)][CANADA (CA)] -> Trouvé(e)
[PUM.Dns] (X64) HKEY_LOCAL_MACHINE\RK_System_ON_D_110D\ControlSet001\Services\Tcpip\Parameters\Interfaces\{F1A69F25-DC40-4111-B1E3-F9D11342B03E} | DhcpNameServer : 192.168.0.1 24.200.243.189 24.200.241.37 [CANADA (CA)][CANADA (CA)] -> Trouvé(e)
[PUM.Dns] (X64) HKEY_LOCAL_MACHINE\System\ControlSet001\Services\Tcpip\Parameters\Interfaces\{4CBFBA69-A127-40C1-A23F-22513F4B36B4} | DhcpNameServer : 192.168.0.1 24.200.243.189 24.200.241.37 [CANADA (CA)][CANADA (CA)] -> Trouvé(e)
[PUM.Dns] (X64) HKEY_LOCAL_MACHINE\System\ControlSet001\Services\Tcpip\Parameters\Interfaces\{5A090FC5-3DFC-4DB8-B89D-52637A33CCCE} | DhcpNameServer : 192.168.0.1 24.200.243.189 24.200.241.37 [CANADA (CA)][CANADA (CA)] -> Trouvé(e)
[PUM.Dns] (X64) HKEY_LOCAL_MACHINE\System\ControlSet001\Services\Tcpip\Parameters\Interfaces\{E5AB3C70-B6F1-4D0A-AF97-C15ADC42FBF3} | DhcpNameServer : 192.168.0.1 24.200.243.189 24.200.241.37 [CANADA (CA)][CANADA (CA)] -> Trouvé(e)
[PUM.StartMenu] (X64) HKEY_USERS\S-1-5-21-2868109751-2820656018-696748103-1004\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced | Start_TrackProgs : 0 -> Trouvé(e)
[PUM.StartMenu] (X86) HKEY_USERS\S-1-5-21-2868109751-2820656018-696748103-1004\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced | Start_TrackProgs : 0 -> Trouvé(e)
[PUM.DesktopIcons] (X64) HKEY_LOCAL_MACHINE\RK_Software_ON_D_6202\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel | {20D04FE0-3AEA-1069-A2D8-08002B30309D} : 1 -> Trouvé(e)
[PUM.DesktopIcons] (X64) HKEY_LOCAL_MACHINE\RK_Software_ON_D_6202\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel | {59031a47-3f72-44a7-89c5-5595fe6b30ee} : 1 -> Trouvé(e)
[PUM.DesktopIcons] (X64) HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel | {20D04FE0-3AEA-1069-A2D8-08002B30309D} : 1 -> Trouvé(e)
[PUM.DesktopIcons] (X64) HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel | {59031a47-3f72-44a7-89c5-5595fe6b30ee} : 1 -> Trouvé(e)
[PUM.DesktopIcons] (X86) HKEY_LOCAL_MACHINE\RK_Software_ON_D_6202\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel | {20D04FE0-3AEA-1069-A2D8-08002B30309D} : 1 -> Trouvé(e)
[PUM.DesktopIcons] (X86) HKEY_LOCAL_MACHINE\RK_Software_ON_D_6202\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel | {59031a47-3f72-44a7-89c5-5595fe6b30ee} : 1 -> Trouvé(e)
[PUM.DesktopIcons] (X86) HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel | {20D04FE0-3AEA-1069-A2D8-08002B30309D} : 1 -> Trouvé(e)
[PUM.DesktopIcons] (X86) HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel | {59031a47-3f72-44a7-89c5-5595fe6b30ee} : 1 -> Trouvé(e)

¤¤¤ Tâches : 0 ¤¤¤

¤¤¤ Fichiers : 0 ¤¤¤

¤¤¤ Fichier Hosts : 0 ¤¤¤

¤¤¤ Antirootkit : 0 (Driver: Chargé) ¤¤¤

¤¤¤ Navigateurs web : 0 ¤¤¤

¤¤¤ Vérification MBR : ¤¤¤
+++++ PhysicalDrive0: ST3750528AS ATA Device +++++
--- User ---
[MBR] 2d8f5598ac10fa5ae823e5cf4786c8b1
[BSP] ac138ecc379c3ffbf072d2ecd71d6cdd : Windows Vista/7/8 MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x7) [VISIBLE] Offset (sectors): 63 | Size: 115263 MB
1 - [XXXXXX] NTFS (0x7) [VISIBLE] Offset (sectors): 236060672 | Size: 100154 MB
2 - [XXXXXX] EXTEN-LBA (0xf) [VISIBLE] Offset (sectors): 441178049 | Size: 499981 MB
User = LL1 ... OK
User = LL2 ... OK

+++++ PhysicalDrive1: General USB Flash Disk USB Device +++++
--- User ---
[MBR] 8396b8a6e5495aa9ffc889023d26e897
[BSP] 9e3b3c473b1db0daa516427cdae6e1cc : Windows Vista/7/8 MBR Code
Partition table:
0 - [ACTIVE] FAT32-LBA (0xc) [VISIBLE] Offset (sectors): 2048 | Size: 15282 MB
User = LL1 ... OK
Error reading LL2 MBR! ([32] Cette demande n?est pas prise en charge. )

+++++ PhysicalDrive2: Generic Compact Flash USB Device +++++
Error reading User MBR! ([15] Le périphérique n?est pas prêt. )
Error reading LL1 MBR! NOT VALID!
Error reading LL2 MBR! ([32] Cette demande n?est pas prise en charge. )

+++++ PhysicalDrive3: Generic SD/MMC USB Device +++++
Error reading User MBR! ([15] Le périphérique n?est pas prêt. )
Error reading LL1 MBR! NOT VALID!
Error reading LL2 MBR! ([32] Cette demande n?est pas prise en charge. )

+++++ PhysicalDrive4: Generic microSD USB Device +++++
Error reading User MBR! ([15] Le périphérique n?est pas prêt. )
Error reading LL1 MBR! NOT VALID!
Error reading LL2 MBR! ([32] Cette demande n?est pas prise en charge. )

+++++ PhysicalDrive5: Generic MS/MS-PRO USB Device +++++
Error reading User MBR! ([15] Le périphérique n?est pas prêt. )
Error reading LL1 MBR! NOT VALID!
Error reading LL2 MBR! ([32] Cette demande n?est pas prise en charge. )

+++++ PhysicalDrive6: Generic SM/xD-Picture USB Device +++++
Error reading User MBR! ([15] Le périphérique n?est pas prêt. )
Error reading LL1 MBR! NOT VALID!
Error reading LL2 MBR! ([32] Cette demande n?est pas prise en charge. )

Merci pour votre aimable collaboration !!!

[bernard53]

avant toutes suppressions, tu es bien au canada ou pas?
Tu as regardé Shadow Explorer pour tes docs?

[jeansavard]

Je viens soudainement de réaliser que la partition infectée est mon disque virtuel et non la partition de windows. Cette partition virtuelle me servait à placer tous mes fichiers (doc,jpeg,pdf, etc..) justement au cas où je devrais réinstaller windows. Après un examen minutieux je suis en mesure d'affirmer qu'aucun fichier avec l'extension IDLSPLM se trouve sur ma partition windows, ils sont tous sur la partie virtuelle de mon disque.

J'aurais préféré évidemment que ce fut le contraire mais hélas ce n'est pas le cas. Je ne comprends pas non plus pourquoi il n'y a absolument rien sur l'internet qui parle de cette situation, même pas un seul document. C'est comme si j'étais le premier à vivre une telle situation. Serait-ce un nouveau virus ?

Je suis ouvert à toute solution si je peux retrouver finalement tous mes fichiers et toutes mes photos... Quelle perte épouvantable !!!

Merci pour votre précieuse collaboration !

Jean Savard

[jeansavard]

Oupsss.... OUI ! je suis du Canada, je vis au Québec (à Montréal plus précisément)

[bernard53]

ok bonne nouvelle que cette partition est virtuelle.
Peux tu récupérer tes doc via Shadow Explorer.
Sinon après vire carrément cette partition virtuel..

[jeansavard]

Je ne comprends pas ce que vient faire Shadow Explorer dans cette histoire... Que peut-il faire ce programme puisque tous mes fichiers sont contaminés ? Est-ce un logiciel qui va pouvoir remettre mes fichiers doc et mes photos dans leur état originaux ? J'en doute mais puisque je ne le connais pas, je suis prêt à tout essayer car de toutes façons ils sont devenus inutilisables. Que dois-je faire maintenant avec Shadow Explorer?

Et en passant, comment se fait-il qu'il n'y ait AUCUN, je dis bien AUCUN article à ce sujet sur l'internet ? Une idée du pourquoi... ?

Encore merci pour tout ce temps consacré à mon problème

Jean Savard

[jeansavard]

J'ai finalement trouvé la cause de mon problème. Je suis victime d'u virus CRITRONI. En effet voici ce que je viens de lire sur un de mes fichiers contaminés :

Your documents, photos, databases and other important files have been encrypted
with strongest encryption and unique key, generated for this computer.

Private decryption key is stored on a secret Internet server and nobody can
decrypt your files until you pay and obtain the private key.

If you see the main locker window, follow the instructions on the locker.
Overwise, it's seems that you or your antivirus deleted the locker program.
Now you have the last chance to decrypt your files.

Open http://5kiuc45pat3qr6gd.onion.cab or http://5kiuc45pat3qr6gd.tor2web.org
in your browser. They are public gates to the secret server.

If you have problems with gates, use direct connection:

1. Download Tor Browser from http://torproject.org

2. In the Tor Browser open the http://5kiuc45pat3qr6gd.onion/
Note that this server is available via Tor Browser only.
Retry in 1 hour if site is not reachable.

Copy and paste the following public key in the input form on server. Avoid missprints.
H5NXLW-4UIU2E-X74HEK-JQP5NW-MEADS7-FRH6BP-TK5BG7-ITG7W3
47HAU2-6OH6NH-QHXXPA-OIVAUK-ZKXV4V-OZDYGX-I4RWR3-36AILE
HX3ED6-7FC2O3-6ZVHTL-P4IXOL-U55RW7-PQVA4D-NVVD5G-LTX5G3

Follow the instructions on the server.

Il me reste maintenant à trouver une solution....

[bernard53]

OK voila l'élément que me manquait.
Regarde ceci et hélas impossible de récupérer tes infos.
http://www.bleepingcomputer.com/virus-r ... nformation

Pour ce qui est de " Shadow Explorer" ce dernier permet de récupérer des fichiers perdu ou corrompu via des points de restauration.