Comment récupérer les fichiers cryptés par le ransomware CryptoHost ?

« Vos fichiers ont été chiffrés et sont inutilisables et inaccessibles. Ne vous inquiétez pas, ils sont en sécurités, pour le moment ». C’est la première phrase du message de rançon de CryptoHost qui vous demande pas moins de 0,33 bitcoins (120 euros) pour récupérer vos fichiers. Si vous avez êtes malheureusement victime de Cryptohost, voici comment récupérer vos fichiers sans débourser le moindre centime grâce à la méthode de Bleeping Computer, Michael Gillepsie et MalwareHunterTeam.

L’algorithme utilisé par CryptoHost pour créer le mot de passe qui verrouille l’archive contenant vos fichiers est généré en combinant le numéro d’identification du processeur de votre ordinateur, le numéro de série de la carte mère ainsi que celui de votre disque dur principal. De ce fait, personne ne possède le même mot de passe. Mais ne vous inquiétez pas, il existe bien une façon de  trouver son mot de passe.

Comment trouver son mot de passe pour Cryptohost ? 

1. Rendez-vous dans le dossier où se situe l’archive cryptée. Il s’agit du dossier dont voici le chemin : C:\Users\Nom d’utilisateur\AppData\Roaming. Ce dossier est caché par défaut. Pour y accéder, il faudra le rendre visible.  Ouvrez votre explorateur et faites : Affichage > Options> Modifier les options des dossiers et de recherches > Affichage > Afficher les fichiers…

Cette manipulation est valable pour les utilisateurs de Windows 10 mais est similaire sur les autres OS de Microsoft

2. Localisez l’archive cryptée. Elle est très facilement repérable, son nom est composé d’une suite alphanumérique imprononçable qui ressemble à 5432101234FEDABCA98765. Faites-un clic-droit sur l’archive, cliquez sur renommer puis refaites à nouveau un clic droit pour copier le nom de l’archive.

3. Créez un nouveau document texte et collez-y le nom de l’archive. Rajoutez ensuite votre nom d’utilisateur à la suite. Si votre nom d’utilisateur est "Paul", il vous suffit de le taper comme dans l'exemple ci-dessous :

4. Copiez le mot de passe entièrement, retournez dans le dossier où se trouve l'archive, ouvvrez là et collez-y votre mot de passe.

Pensez également à supprimer CryptoHost

1.Tuez son processus dans le gestionnaire de tâches (accessible avec la combinaison clavier CTRL + Alt + Suppr). Allez dans l'onglet "processus" repérez le , et mettez y fin en faisant "clic droit > arrêter le processus".

2. Supprimez le fichier CryptoHost.exe. Il se trouve dans le même dossier que l'archive verrouillée :  

C:\Users\Nom d’utilisateur\AppData\Roaming folder\cryptohost.exe.

3. Supprimez la clé de registre du ransomware avec votre éditeur de registre :

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\software%AppData%\cryptohost.exe 

Pour ouvrir votre éditeur de registre, allez dans votre menu démarrer, tapez regedit.exe dans le champ de recherche, cliquez droit sur l'application et faites "exécuter en tant qu'administrateur"

Pour vous évitez ce genre de mésaventure, il est recommandé de posséder un antivirus qui servira de premier rideau pour empêcher l'infection. Si toutefois un rançongiciel infecte votre machine, vous pourrez également utiliser un logiciel de désinfection anti-ransomware. Notez que ce genre de logiciel ne permet pas de récupérer les fichiers cryptés.