Re: [閒聊] 有逛日本網頁的最近注意下綁架病毒
作者: onelife (旺來) 2015-12-08 20:46:04
好的，我來分享一下中毒經驗...
我是在上週五中的
電腦平日就開著下載東西，然後下班回家後發現資料幾乎全滅
它加密後會將副檔名改成.vvv，並在每個資料夾都擺上一份勒索文件
勒索文件內容如下
http://imgur.com/RbUU1ZK
http://imgur.com/boouumi
我有看到被加密、沒加密的副檔名：
執行檔 exe,dll,bat 都沒加密
文件 txt,pdf,office各類文件都被加密
js,py被加密
圖檔 jpg,png被加密，bmp,gif沒有
psd,ai被加密，xcf沒有
影音 avi,mp4,flv,wmv被加密，mkv,mpg沒有
mp3,wav也沒有
壓縮檔 zip,rar,7z 被加密，tar沒有
至於加密時間
除了ssd系統碟外，我另有三顆硬碟分別是1T,2T,3T，容量9成滿
從檔案修改時間來看，被加密的時間應該是從周五的下午3點開始持續到9點多
這時仍有部份檔案沒被加密到，可能還沒全部跑完
另外我是上午7點左右離開電腦的，不知為何病毒下午才開始加密
也許有以閒置時間為條件
因為加密過程我人不在，不知道加密時有什麼特徵
例如CPU使用率會不會飆高，或是加密的優先順序之類
但如果在加密初期，你人在電腦前有察覺到異常
那立刻關機應該還能挽回多數檔案
我不清楚這個病毒是不是與日本在討論的一樣
但如果我是在日本網站中標，那比較可能是來自nico
因為我平常有在上的日本網站也就只有nico
另外作業系統是Win7 64bit
中毒前Flash確定已更新到最新，瀏覽器是Firefox，有用ABP
防護只有小紅傘免費版和win內建防火牆，沒有HIPS
我是在上週五中的
電腦平日就開著下載東西，然後下班回家後發現資料幾乎全滅
它加密後會將副檔名改成.vvv，並在每個資料夾都擺上一份勒索文件
勒索文件內容如下
http://imgur.com/RbUU1ZK
http://imgur.com/boouumi
我有看到被加密、沒加密的副檔名：
執行檔 exe,dll,bat 都沒加密
文件 txt,pdf,office各類文件都被加密
js,py被加密
圖檔 jpg,png被加密，bmp,gif沒有
psd,ai被加密，xcf沒有
影音 avi,mp4,flv,wmv被加密，mkv,mpg沒有
mp3,wav也沒有
壓縮檔 zip,rar,7z 被加密，tar沒有
至於加密時間
除了ssd系統碟外，我另有三顆硬碟分別是1T,2T,3T，容量9成滿
從檔案修改時間來看，被加密的時間應該是從周五的下午3點開始持續到9點多
這時仍有部份檔案沒被加密到，可能還沒全部跑完
另外我是上午7點左右離開電腦的，不知為何病毒下午才開始加密
也許有以閒置時間為條件
因為加密過程我人不在，不知道加密時有什麼特徵
例如CPU使用率會不會飆高，或是加密的優先順序之類
但如果在加密初期，你人在電腦前有察覺到異常
那立刻關機應該還能挽回多數檔案
我不清楚這個病毒是不是與日本在討論的一樣
但如果我是在日本網站中標，那比較可能是來自nico
因為我平常有在上的日本網站也就只有nico
另外作業系統是Win7 64bit
中毒前Flash確定已更新到最新，瀏覽器是Firefox，有用ABP
防護只有小紅傘免費版和win內建防火牆，沒有HIPS
作者: medama ( ) 2015-12-08 20:47:00
慘...
作者: peter210731 (ptt) 2015-12-08 20:49:00
拍拍
作者: erik777 (水樹奈奈紅白登場!!!) 2015-12-08 20:50:00
通常加密CPU會衝高
作者: onelife (旺來) 2015-12-08 20:52:00
是所有核心都會用到嗎? 如果只有單核，也許不易察覺
作者: SuperSg (萌翻天的時代來啦°▽°) 2015-12-08 20:53:00
根據日前推文所敘，會先從桌面開始封，所以感覺怪怪的就先看一下桌面出事沒接著拔網路線，再繼續處理後續動作
作者: cloud7515 (殿) 2015-12-08 20:55:00
拔網路線會停嗎…
作者: onelife (旺來) 2015-12-08 20:57:00
直接關機後把硬碟拆下，拿到別台電腦看比較保險
作者: tonyxfg (tonyxfg) 2015-12-08 21:04:00
拿到別台電腦插上去前應該還要做防護措施吧?
作者: sudekoma (′･ω･`) 2015-12-08 21:04:00
......感染途徑有沒有可能是開著的p2p軟體?
作者: louie83279 (æ°¸é ä¸æº–的先知) 2015-12-08 21:06:00
這到底是怎麼中的?日本網站?p2p軟體下載時中毒?
作者: john5478 (john5478) 2015-12-08 21:08:00
不曉得linux是不是安全的...
作者: sudekoma (′･ω･`) 2015-12-08 21:11:00
事情傳到現在還沒辦法釐清病毒來源，總覺得有幾種可能
作者: cocolico ( G6票已售出) 2015-12-08 21:11:00
bitdefender有出專用疫苗,可以試試看pdf跟java也要更新
作者: tomalex (托馬列克斯) 2015-12-08 21:12:00
加密右下硬碟指示燈會一直狂轉吧y
作者: sudekoma (′･ω･`) 2015-12-08 21:13:00
1.感染途徑不方便與外人道 EX:免空下載網站廣告或P2P2.只要連網就可能被隨機攻擊的
作者: louie83279 (æ°¸é ä¸æº–的先知) 2015-12-08 21:15:00
靠，連網就會中?太恐怖了吧！根本防不住啊？
作者: sudekoma (′･ω･`) 2015-12-08 21:15:00
3.部分愉快犯刻意流傳不實的感染途徑(如antiまとめ者)
作者: darkbrigher (暗行者) 2015-12-08 21:19:00
下載東西時就有可能藏在壓縮檔裡這病毒可怕之處就是根本檔不了
作者: Galm (水牛) 2015-12-08 21:20:00
節哀...感覺沒中的人只是好運而已,不知道啥時候會中標
作者: minihyde (minihyde) 2015-12-08 21:21:00
好可怕
作者: sudekoma (′･ω･`) 2015-12-08 21:21:00
十年前的疾風病毒就是隨機偵測有連線的主機闖進來啊...
作者: onelife (旺來) 2015-12-08 21:22:00
下載我是用uTorrent，也很久沒更新了，不知道有無影響從後續受害消息沒有很大量來看，感染途徑似乎不活躍?所以應該不是主動入侵或泛用的系統漏洞
作者: Galm (水牛) 2015-12-08 21:24:00
如果BT的話我發現最近qb更新檔出的很勤快...不知道是否有關
作者: sudekoma (′･ω･`) 2015-12-08 21:25:00
之前影刃說這東西沒潛伏期，中了就會開始跑
作者: Galm (水牛) 2015-12-08 21:25:00
以前了不起三個月一次更新,最近是一個月內兩次更新就中了它會讓你知道,沒必要潛伏 就是勒索你...
作者: sudekoma (′･ω･`) 2015-12-08 21:26:00
既然原PO是在離開的時候才發毒，
作者: sorochis (ㄇㄚˇ ㄨㄟˇ ㄎㄨㄥˋ) 2015-12-08 21:26:00
爬前面文章，有人提到CHROME是沙盒運作所以沒問題
作者: sudekoma (′･ω･`) 2015-12-08 21:27:00
所以只好猜是開著P2P的影響.....離開時被家人好奇點了恭喜中iPHONE6的廣告這樣(?)
作者: onelife (旺來) 2015-12-08 21:28:00
也不一定，如果已經中毒，病毒想什麼時候跑都可以吧
作者: louie83279 (æ°¸é ä¸æº–的先知) 2015-12-08 21:28:00
BT嫌疑最大啊……但這裡又不能討論用什麼載BT最安全
作者: yuyemoon (榆葉＠HQ仁花廚) 2015-12-08 21:31:00
如果有視閒置時間，像我這樣開著就用，幾小時後沒使用就關電腦，如果中了是要什麼時候發作啊
作者: sorochis (ㄇㄚˇ ㄨㄟˇ ㄎㄨㄥˋ) 2015-12-08 21:32:00
寫一個小程式，監控桌面的某個*.txt，發現檔案不見了就關機這樣
作者: sudekoma (′･ω･`) 2015-12-08 21:37:00
https://www.youtube.com/watch?v=oMHZ17DEo5U剛才找到別人的測試影片。連上有問題的網址就會中毒。連上去過了15秒就自動跳出勒索說明，並加密桌面文件
作者: shadowblade (影刃) 2015-12-08 21:40:00
我中的那個不會鎖txt
作者: sudekoma (′･ω･`) 2015-12-08 21:41:00
影片主說是半年前錄的，所以也不知道有多少亞種了
作者: Foot (Foot) 2015-12-08 21:48:00
發現中毒馬上關機停止加密 然後把加密檔案刪除就好了嗎?還是還要重灌? 既然系統檔沒事 把資料碟清空就可以了嗎?
作者: sorochis (ㄇㄚˇ ㄨㄟˇ ㄎㄨㄥˋ) 2015-12-08 21:50:00
要刪除的應該不是加密檔案，是躲起來的加密後台
作者: darkbrigher (暗行者) 2015-12-08 21:50:00
看討論是馬上關機只是讓你有機會備份
作者: spfy (spfy) 2015-12-08 21:51:00
可以爬防毒版 目前結論是付錢比較快 雖然有可能撕票
作者: intela60474 (Alber) 2015-12-08 21:52:00
有沒有用chrome也中標的？
作者: sorochis (ㄇㄚˇ ㄨㄟˇ ㄎㄨㄥˋ) 2015-12-08 21:52:00
寫一個小程式，監控桌面的*.TXT *.MP4 *.AVI等等全部只要一個檔案不見了就下警告文件然後關機這樣回家發現電腦關機了就拔硬碟道別台電腦看有沒有警告文件
作者: spfy (spfy) 2015-12-08 21:53:00
已經被加密檔案的沒傳染性 木馬本體才有傳染性 而且會去找所有區網有權限的地方全部加密 再來是加密時需要用網路傳金鑰所以斷網似乎有用 前提是你有發現正在被加密
作者: sorochis (ㄇㄚˇ ㄨㄟˇ ㄎㄨㄥˋ) 2015-12-08 21:54:00
加密時需要用網路傳金鑰應該只是一開始吧？不然難道加密了上萬個檔案，全部的金鑰都不一樣嗎？
作者: spfy (spfy) 2015-12-08 21:55:00
現在變種非常多 每隻變種針對的檔案類型不同 卡巴的解藥和bitdeffender的防護也僅限於極少數的分支變種
作者: onelife (旺來) 2015-12-08 21:55:00
也有不需連網的加密勒索病毒http://www.ithome.com.tw/news/99827
作者: spfy (spfy) 2015-12-08 21:56:00
防毒版比較詳細 因為強國這裡似乎沒什麼災情 完全沒看到人中
作者: yam276 ('_') 2015-12-08 22:50:00
不需連網的有可能反組譯找出加密金鑰嗎
作者: spfy (spfy) 2015-12-08 23:04:00
以人類目前技術不可能 因為都是RSA-2048加密
作者: erik777 (水樹奈奈紅白登場!!!) 2015-12-08 23:56:00
能夠把檔案加密應該是透過某途徑把病毒檔抓到了本機上單純斷網是無效的 因為病毒程式已經在硬碟裡了
作者: jiko5566 (雲落炩) 2015-12-09 00:02:00
該死的win8天天爆cpu,怎麼看的出來...
作者: louie83279 (æ°¸é ä¸æº–的先知) 2015-12-09 00:33:00
用沙盒開網頁“應該“可以有效防止被綁架吧……?
作者: reaturn (廿年後回頭看台灣) 2015-12-09 02:44:00
開VM上網或是分成上網用電腦跟作業用電腦
作者: belion (滅) 2015-12-09 03:27:00
vm的話,virtual pc 效能還不錯,vmware吃太多資源了
作者: udo ( `_ゝ′ニダ) 2015-12-09 03:43:00
所以原po的感染原因是下載bt?
作者: blackwindy (黑色的風) 2015-12-09 04:37:00
拔網路線沒甚麼屁用 甚至離線板都有了請問一下使用的Firefox版本? 是官方版本還是特殊版?另外使用的BT版本? 最近有執行什麼抓來的謎物嗎?
作者: onelife (旺來) 2015-12-09 09:12:00
Firefox是portableapps下的38.0.5，之後沒在更新BT是用uTorrent版本有點忘了，好像3.2.X謎物就沒印象了，最近都在搞PS3的東西，PC主要只在玩WOWDiablo這些而已
作者: ss1h2a3tw (微微甜) 2015-12-09 10:31:00
用linux 只要有基本權限 安全知識就好了
作者: painvano (河蟹になりたい) 2015-12-09 11:26:00
好在意究竟是因為uTorrent中毒或是下載的軟體?
繼續閱讀
[漫畫] 效率廚魔導師 LEVEL 01 - 我穿我穿我穿SuperSg[新聞] 長鴻漫畫10本300元 22本600元medama[庶民樣本] 開箱要找對地方.... jrxcombine[討論] 感應少年新章15 assxassRe: [閒聊] 戰鬥女子學園 這遊戲頗佛?!lo84Re: [閒聊] 新妹魔王的契約者 9 (內有劇情)rx79bd1Re: [討論] 無職轉生~在異世界認真地活下去-爽作(雷)dukemon[HSDD] 惡魔高校ＤxＤBorN OVA 烤雞妹大總匯LABOYSRe: [閒聊] 戰鬥女子學園 這遊戲頗佛?!fish770130[推薦] 夢王國(ry 滿滿的聲優喔喔喔~jugularnotch
