# Systmes > Windows > Scurit >  Dcrypter fichier : PDF,word,excel et image suite infestation CryptoWall

## hunyka

Bonjour,

Je viens d'arriver dans une nouvelle entreprise et pour la premire semaine j'ai le droit  un gros souci. Mon collgue initialement prsent  tait confront au virus CryptoWall et un grand nombre de fichier est encrypt sur le poste du responsable du groupe. 

Je recherche des logiciel qui permettrai de rcuprer les fichiers. J'ai lu sur un forum que visiblement ce sont les en-ttes qui sont modifi par CryptoWall.

Cordialement

----------


## BenjGe

les fichiers crypts par cryptowall sont en thorie irrcuprables.
En pratique si l'ordinateur infect a t teint rapidement lors de l'infection et qu'il n'a pas t ralllum trop longtemps, il faut basculer en mode sans chec, utiliser un antilmalware pour virer cryptowall, puis tenter de rcuprer les fichiers.

Pour rcuprer les fichiers il faut dj en tablir la liste, apparemment cryptowall sotcke dans HKCU\<id>\PROTECTED  la liste de tous les fichiers qu'il crypte. Il existe des utilitaires pour extraire ce contenu sur le net, mais il vaut mieux tenter de le faire soit mme

Pour chaque fichier essayer de remonter une sauvegarde si elle existe.
Si il n'y a pas de sauvegarde vous pouvez tenter de faire clic droit/proprits/versions prcdentes pour voir si des versions prcdentes sont disponibles. Cependant si cryptowall a tourn trop longtemps sur la machine avant de la basculer en sans chec il aura aussi effac les sahdow copy et donc les versions prcdentes ne seront pas affiches. De mme si la protection du systme n'tait pas activ il n'y aura pas de shadow copy.

Si aucune mthode de rcupration ne fonctionne il existe apparemment une dernire mthode  tenter mais un peu longue. En fait dans l'algorithme de cryptowall pour chaque fichier qu'il crypte il semble qu'il opre ainsi:
-copie du fichier
-cryptage de l'original
-en cas de russite destruction de la copie et enregistrement dans la base de registre de la trace du fichier crypt

Hors un fichier effac peut en thorie tre rcupr l encore si l'ordinateur infect n'a pas t trop utilis aprs l'infection (une opration d'criture sur le disque risque d'effacer toute trace du fichier sur le disque)
Il faut donc extraire le disque de l'ordinateur, l'envoyer sur une autre machine avec un os et lancer un utilitaire de rcupration de donne sur disque. Ce sont des outils qui analysent tous les secteurs d'un disque pour tenter de retrouver tous ses fichiers sans passer par la Master File Table (la table o sont dclars tous les fichiers dans une partition NTFS). Ces utilitaires savent rcuprer des fichier sur partition formate.

J'ai dj utilis testdisk+photorec. Photorec est particulirement efficace. il faut juste penser  restaurer les fichier  un autre emplacement...

Aprs cela formatage bas niveau du disque infect puis rinstallation et surtout *mise en place d'une vraie stratgie de sauvegarde*

----------


## hunyka

Merci pour tes prcisions. Dsol de mon retard.

----------

