[心得] 我也中了CryptoL0cker勒索病毒

看板AntiVirus (防毒)作者Mophia (莫非莫非)時間10年前 (2015/12/14 18:06)推噓20(20推 0噓 40→)

留言60則, 19人參與討論串1/1

家裡的桌電OS用的是Windows7專業版，i3老電腦。上週在找試用版的序號，可能是載了crack檔，或是序號產生器，安裝視窗到一半卡住，無法下一步，有些納悶但沒太在意放著不管他，接下來是地獄般的半小時： 1.CPU異常飆高，開個網頁都很頓，Firefox一般經常都開幾十個tab，也沒太在意，重開了幾次Firefox後，仍然如故。 2.開工作管理員把loading最高的process: explorer關掉，過沒多久還是飆高。 3.重開機了兩次。(平常桌電都休眠喚醒，很少重開機) 4.情況依然如故，想到剛剛不以為意跳出的視窗都關掉，好像發生了大事，上網找了幾個關鍵字爬文，發現大事不妙，中了CryptoL0cker，快速把一些工作檔案收尾存檔，瀏覽器備份同步，接著拔網路線，等不及Windows慢慢關機，直接power off強制關機。清理戰場：每個被加密的檔案後面都被加上.encrypted副檔名，並會在該目錄留下 HOW_TO_RESTORE_FILES.html HOW_TO_RESTORE_FILES.txt，明確告知要勒索比特幣。接著搜尋*.encrypted、HOW_TO_RESTORE_FILES.html，查找被加密的檔案被加密的檔案類型有：文件檔：txt、doc、docX、pdf、pdf、htm 壓縮檔：ZIP、rar、影片檔：mp4、、mkv、flv、rmvb、ISO、字幕檔ass、sub 圖片檔：jpg (png gif都沒事) 部分程式碼目前作法： 1.其他HDD都離線，把系統碟C:整個format掉重灌OS；目前過了三天，還沒發現異狀。 2.把所有*.encrypted都刪掉，思考： 1.從被加密的檔案及時間，可以看出某些規則：最先加密的是純數字、英文命名的資料夾。會先加密最近存取過的檔案，可能是直接抓cache。 txt、jpg量最多，可能是檔案小，容易處理，(這兩種最令人心痛)，很多時候為了維持文件可讀性，很多資料都用txt檔，損失慘重。 2.不清楚是否拔掉網路線就停止加密，發現時最好盡快把所有HDD離線。 3.備份、雲端之前備份都是燒起來，但是量越來越大，後來就懶了，這次某個年份前的檔案還好都有備份燒起來，部分有回復回來，中間到最近這一段就都報銷了，雲端備份雖然不錯，但爬文看災情連雲端硬碟有設定client online同步可寫入的話，也會被加密的樣子，我承認這次是我一時想不開手賤去點了crack是主因，以後真的要認真做好備份，並離線，時常online的話，不管是雲端硬碟或是實體HDD，都有感染風險。 Windows、flash、java等要定期update，不要不裝防毒軟體讓電腦裸奔，我這樣跑了兩年多沒事並不代表未來還是沒事。本次損失的影片檔、圖檔很多，大概損失了幾百G，由於entry很多，半小時內他加密的範圍雖廣，四顆HDD都有檔案受害，但都是部分，再加上老電腦速度慢，可能因為這樣延後了私人資料的受害，最心痛的是近一兩年的部分照片、文件檔，還好有關工作上的東西幾乎都放在雲端，不然就真的要抱頭痛哭好幾天。我的C:D:是同一顆HDD分割，只format掉C:重灌，其他中獎的D: E:...等等不知道會不會受感染，目前這樣過了三天還沒發現異狀，不過過得有點戰戰兢兢，不時擔心會去看一下CPU loading有沒有異常，嘆氣..... 最近爬文受了不少幫助，也寫一篇受害經驗分享。 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.169.192.100 ※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1450087600.A.084.html

推

Cubelia

12/14 19:38, , 1^F

12/14 19:38, 1^F

推

gamesame7711

12/14 19:48, , 2^F

12/14 19:48, 2^F

推

Xenogamer

12/14 19:53, , 3^F

12/14 19:53, 3^F