_Locky_recover_instructions.txt

Coucou,

une amie m'a envoyé ce message : "
J'ai un fichier :
_Locky_recover_instructions.txt
qui s'est "installé" je ne sais pas comment vers 16 heures.
J'ai plein de photos supprimées, ainsi que des documents.
As-tu un remède pour retrouver ce qui est répertorié en lettres ?"

Est-ce qu'à votre avis un nettoyage comme je fais suffira
adw cleaner
cc cleaner
antivirus
malwarebyte

Toyia

Hello malheureusement il est récent et avec les malwares recents la récupération des fichiers semble quasiment impossible.

Tu as des infos ici http://forum.malekal.com/locky-ransomware-crypto-ransomware-t54444.html

Il ne semble pas s'installer donc un nettoyage n'est pas nécessaire mais passe quand même malwarebyted pour être sûr
https://morbak-home.forumgratuit.org/t998-desinfection-modes-d-emplois-des-logiciels#14657

ok merci je vous tiens au courant

coucou,
j'ajouterai ce lien moi aussi pour s'informer un peu : https://morbak-home.forumgratuit.org/t931-se-proteger-de-cryptowall-ctb-locker-et-autres-malwares-de-cryptage

Pour ce qui est de "comment c'est venu?" c'est écrit dans le lien de malekal, c'est par mail qu'il est arrivé et il a été exécuté en parce qu'il utilise les macro d'office : https://support.office.com/fr-fr/article/Activer-ou-d%C3%A9sactiver-les-macros-dans-les-documents-Office-7B4FDD2E-174F-47E2-9611-9EFE4F860B12

la personne l'a reçu via un duplicata de facture qui était en pièce jointe dans un mail.

reste à savoir si c'etait un mail d'une connaissance (donc via une adresse piratée), ou un mail bidon d'une société qui soit disant nous facture un truc qu'on a évidemment pas à payer, et qui fait que les gens cliquent par peur, plutôt que simplement ignorer le mail. Personnellement je pense que c'était via un mail bidon mais on ne sait jamais.

c'était une personne qu'elle ne connaissait pas

ok

Donc pour récupérer les fichiers si malwarebytes ne trouve aucune infections (puisque cette version semble ne pas s'installer), il faudra essayer les versions précédentes de fichiers comme expliqué sur les liens donnés (avec shadow explorer par exemple) tout en espérant évidemment que ca marche et que les versions précédentes de fichiers sont activées ce qui n'est pas toujours le cas.

Malheureusement pour ton amie il n'y a aucune garantie que les fichiers soient récupérables.

avec shadow?

Shadow explorer (voir le lien de notre forum que j'ai mis plus haut) permet de restaurer les versions précédentes de plusieurs fichiers/dossiers d'un seul coup, alors que windows ne permet pas ca, il faudrait le faire un par un, ca peut être long.

Mais si les versions précédentes de fichiers ne sont pas activées sur le pc (c'est à voir dans les paramètres de restauration système), il ne trouvera rien et sera donc inutile. En plus certaines versions de l'infection suppriment les versions précédentes des fichiers mais là je parle des infections comme cryptowall/cryptolocker qui sont installées sur le pc. Dans le cas de locky , rien n'est installé normalement donc il reste une chance que les versions précédentes ne soient pas supprimées.

ton amie a quelle version de windows?

Windows 7
pour les versions précédentes, aucune n'est disponible

arf donc c'est mort pour les fichiers, eventuellement elle peut tenter un point de restauration qui date d'avant l'ouverture du mail si elle a mais ca m'etonnerait que ca fonctionne.

pour la restauration, j'essayerai en fin d'aprem.
Si cela ne marche pas, doit-elle supprimer ses fichiers, changer ses mots de passe....

j'ai toujours tendance à dire de conserver les fichiers "au cas où" mais c'est risqué puisque certaines versions du malware relancent l'infection si on tente d'ouvrir un fichier crypté, du coup ca peut entrainer le cryptage d'autres fichiers.

Donc si elle souhaite conserver les fichiers au ca soù un jour une methode de décryptage fonctionne, elle devrait les déplacer sur dvd et ne plus y toucher. Sinon il est plus sage de les supprimer puisque de toute facon, vu le cryptage, actuellement aucune méthode de décryptage ne fonctionne. Si les versions précédentes et la restauration sont inefficaces ou impossibles, autant supprimer les fichiers (inutile de conserver quelque chose qu'on ne peut pas utiliser et qui est potentiellement dangereux).

Pour les mots de passe c'est pareil, ils ne sont pas concernés par ce type d'infections normalement, les malfaiteurs n'ont pas besoin de voler les données puisqu'ils poussent les utilisateurs a leur donner de l'argent pour récuperer les données. Cela dit avec l’évolution constante des infections, il est plus prudent de changer les mots de passe web, surtout pour les sites bancaires, d'achats en ligne etc s'ils ont été utilisés sur le pc récemment, ou s'ils sont enregistrés dans le navigateur.

Malheureusement, ça n'a rien changé pour les fameux fichiers

hello, le rapport de malwarebytes ca donne quoi? il a trouvé un truc ou pas?

sinon vu que pour les fichiers c'est mort, il ne te reste qu'a faire de la prévention auprès de ton amie et la conseiller pour que ca ne se reproduise pas.

Parmi les conseils les plus importants, bien sécuriser son pc (voir par exemple le sujet "terminer une desinfection" chez nous), ne pas ouvrir des mails provenants d'inconnus, surtout ceux écrit en anglais, et surtout ne pas télécharger les pièces jointes sans être sûr de ce dont il s'agit.

Toujours analyser les fichiers sur virustotal avant de les ouvrir, régulièrement vérifier la présence de point de restauration, mettre les fichiers importants sur DVD et naviguer avec un bloqueur de pubs je pense que c'est dejà pas mal ^^

il avait un cheval de troie, j'ai fait le nettoyage comme vous me l'aviez appris sur ce forum, j'en ia refait un deuxième pour être sure qu'il n'y ait plus rien;
Et pour les emails, comme je dis toujours quand on ne connait pas c'est direct la corbeille.
Concernant ses mots de passe....ses fichiers, je lui ai fait un copier coller de la réponse de Casper.
En plus de ça j'ai "crisé" j'ai passé deux heures à faire ses maj windows qu'elle n'avait pas faite grrrrrrrrrr

^^ il faut lui faire prendre de bonnes habitudes et le reste viendra tout seul.

On peut fermer le sujet du coup ou tu as d'autres questions?

tu peux fermer