家裡的桌電OS用的是Windows7專業版,i3老電腦。
上週在找試用版的序號,可能是載了crack檔,或是序號產生器,
安裝視窗到一半卡住,無法下一步,有些納悶但沒太在意放著不管他,
接下來是地獄般的半小時:
1.CPU異常飆高,開個網頁都很頓,Firefox一般經常都開幾十個tab,也沒太在意,
重開了幾次Firefox後,仍然如故。
2.開工作管理員把loading最高的process: explorer關掉,過沒多久還是飆高。
3.重開機了兩次。(平常桌電都休眠喚醒,很少重開機)
4.情況依然如故,想到剛剛不以為意跳出的視窗都關掉,好像發生了大事,
上網找了幾個關鍵字爬文,發現大事不妙,中了CryptoL0cker,
快速把一些工作檔案收尾存檔,瀏覽器備份同步,接著拔網路線,
等不及Windows慢慢關機,直接power off強制關機。
清理戰場:
每個被加密的檔案後面都被加上.encrypted副檔名,並會在該目錄留下
HOW_TO_RESTORE_FILES.html
HOW_TO_RESTORE_FILES.txt,明確告知要勒索比特幣。
接著搜尋*.encrypted、HOW_TO_RESTORE_FILES.html,查找被加密的檔案
被加密的檔案類型有:
文件檔:txt、doc、docX、pdf、pdf、htm
壓縮檔:ZIP、rar、
影片檔:mp4、、mkv、flv、rmvb、ISO、字幕檔ass、sub
圖片檔:jpg (png gif都沒事)
部分程式碼
目前作法:
1.其他HDD都離線,把系統碟C:整個format掉重灌OS;目前過了三天,還沒發現異狀。
2.把所有*.encrypted都刪掉,
思考:
1.從被加密的檔案及時間,可以看出某些規則:
最先加密的是純數字、英文命名的資料夾。
會先加密最近存取過的檔案,可能是直接抓cache。
txt、jpg量最多,可能是檔案小,容易處理,(這兩種最令人心痛),
很多時候為了維持文件可讀性,很多資料都用txt檔,損失慘重。
2.不清楚是否拔掉網路線就停止加密,發現時最好盡快把所有HDD離線。
3.備份、雲端
之前備份都是燒起來,但是量越來越大,後來就懶了,
這次某個年份前的檔案還好都有備份燒起來,部分有回復回來,中間到最近這一段
就都報銷了,雲端備份雖然不錯,但爬文看災情連雲端硬碟有設定client online同步
可寫入的話,也會被加密的樣子,
我承認這次是我一時想不開手賤去點了crack是主因,
以後真的要認真做好備份,並離線,時常online的話,不管是雲端硬碟或是實體HDD,
都有感染風險。
Windows、flash、java等要定期update,不要不裝防毒軟體讓電腦裸奔,
我這樣跑了兩年多沒事並不代表未來還是沒事。
本次損失的影片檔、圖檔很多,大概損失了幾百G,由於entry很多,
半小時內他加密的範圍雖廣,四顆HDD都有檔案受害,但都是部分,
再加上老電腦速度慢,可能因為這樣延後了私人資料的受害,
最心痛的是近一兩年的部分照片、文件檔,還好有關工作上的東西幾乎都放在雲端,
不然就真的要抱頭痛哭好幾天。
我的C:D:是同一顆HDD分割,只format掉C:重灌,
其他中獎的D: E:...等等不知道會不會受感染,
目前這樣過了三天還沒發現異狀,
不過過得有點戰戰兢兢,不時擔心會去看一下CPU loading有沒有異常,嘆氣.....
最近爬文受了不少幫助,也寫一篇受害經驗分享。