Re: [闲聊] 有逛日本网页的最近注意下绑架病毒
楼主: onelife (旺來) 2015-12-08 20:46:04
好的，我来分享一下中毒经验...
我是在上周五中的
电脑平日就开着下载东西，然后下班回家后发现资料几乎全灭
它加密后会将副档名改成.vvv，并在每个资料夹都摆上一份勒索文件
勒索文件内容如下
http://imgur.com/RbUU1ZK
http://imgur.com/boouumi
我有看到被加密、没加密的副档名：
执行档 exe,dll,bat 都没加密
文件 txt,pdf,office各类文件都被加密
js,py被加密
图档 jpg,png被加密，bmp,gif没有
psd,ai被加密，xcf没有
影音 avi,mp4,flv,wmv被加密，mkv,mpg没有
mp3,wav也没有
压缩档 zip,rar,7z 被加密，tar没有
至于加密时间
除了ssd系统碟外，我另有三颗硬盘分别是1T,2T,3T，容量9成满
从档案修改时间来看，被加密的时间应该是从周五的下午3点开始持续到9点多
这时仍有部份档案没被加密到，可能还没全部跑完
另外我是上午7点左右离开电脑的，不知为何病毒下午才开始加密
也许有以闲置时间为条件
因为加密过程我人不在，不知道加密时有什么特征
例如CPU使用率会不会飙高，或是加密的优先级之类
但如果在加密初期，你人在电脑前有察觉到异常
那立刻关机应该还能挽回多数档案
我不清楚这个病毒是不是与日本在讨论的一样
但如果我是在日本网站中标，那比较可能是来自nico
因为我平常有在上的日本网站也就只有nico
另外作业系统是Win7 64bit
中毒前Flash确定已更新到最新，浏览器是Firefox，有用ABP
防护只有小红伞免费版和win内建防火墙，没有HIPS
我是在上周五中的
电脑平日就开着下载东西，然后下班回家后发现资料几乎全灭
它加密后会将副档名改成.vvv，并在每个资料夹都摆上一份勒索文件
勒索文件内容如下
http://imgur.com/RbUU1ZK
http://imgur.com/boouumi
我有看到被加密、没加密的副档名：
执行档 exe,dll,bat 都没加密
文件 txt,pdf,office各类文件都被加密
js,py被加密
图档 jpg,png被加密，bmp,gif没有
psd,ai被加密，xcf没有
影音 avi,mp4,flv,wmv被加密，mkv,mpg没有
mp3,wav也没有
压缩档 zip,rar,7z 被加密，tar没有
至于加密时间
除了ssd系统碟外，我另有三颗硬盘分别是1T,2T,3T，容量9成满
从档案修改时间来看，被加密的时间应该是从周五的下午3点开始持续到9点多
这时仍有部份档案没被加密到，可能还没全部跑完
另外我是上午7点左右离开电脑的，不知为何病毒下午才开始加密
也许有以闲置时间为条件
因为加密过程我人不在，不知道加密时有什么特征
例如CPU使用率会不会飙高，或是加密的优先级之类
但如果在加密初期，你人在电脑前有察觉到异常
那立刻关机应该还能挽回多数档案
我不清楚这个病毒是不是与日本在讨论的一样
但如果我是在日本网站中标，那比较可能是来自nico
因为我平常有在上的日本网站也就只有nico
另外作业系统是Win7 64bit
中毒前Flash确定已更新到最新，浏览器是Firefox，有用ABP
防护只有小红伞免费版和win内建防火墙，没有HIPS
作者: medama ( ) 2015-12-08 20:47:00
惨...
作者: peter210731 (ptt) 2015-12-08 20:49:00
拍拍
作者: erik777 (水树奈奈红白登场!!!) 2015-12-08 20:50:00
通常加密CPU会冲高
楼主: onelife (旺來) 2015-12-08 20:52:00
是所有核心都会用到吗? 如果只有单核，也许不易察觉
作者: SuperSg (萌翻天的时代来啦°▽°) 2015-12-08 20:53:00
根据日前推文所叙，会先从桌面开始封，所以感觉怪怪的就先看一下桌面出事没接着拔网络线，再继续处理后续动作
作者: cloud7515 (殿) 2015-12-08 20:55:00
拔网络线会停吗…
楼主: onelife (旺來) 2015-12-08 20:57:00
直接关机后把硬盘拆下，拿到别台电脑看比较保险
作者: tonyxfg (tonyxfg) 2015-12-08 21:04:00
拿到别台电脑插上去前应该还要做防护措施吧?
作者: sudekoma (′･ω･`) 2015-12-08 21:04:00
......感染途径有没有可能是开着的p2p软件?
作者: louie83279 (æ°¸é ä¸æº–的先知) 2015-12-08 21:06:00
这到底是怎么中的?日本网站?p2p软件下载时中毒?
作者: john5478 (john5478) 2015-12-08 21:08:00
不晓得linux是不是安全的...
作者: sudekoma (′･ω･`) 2015-12-08 21:11:00
事情传到现在还没办法厘清病毒来源，总觉得有几种可能
作者: cocolico ( G6票已售出) 2015-12-08 21:11:00
bitdefender有出专用疫苗,可以试试看pdf跟java也要更新
作者: tomalex (托马列克斯) 2015-12-08 21:12:00
加密右下硬盘指示灯会一直狂转吧y
作者: sudekoma (′･ω･`) 2015-12-08 21:13:00
1.感染途径不方便与外人道 EX:免空下载网站广告或P2P2.只要连网就可能被随机攻击的
作者: louie83279 (æ°¸é ä¸æº–的先知) 2015-12-08 21:15:00
靠，连网就会中?太恐怖了吧！根本防不住啊？
作者: sudekoma (′･ω･`) 2015-12-08 21:15:00
3.部分愉快犯刻意流传不实的感染途径(如antiまとめ者)
作者: darkbrigher (暗行者) 2015-12-08 21:19:00
下载东西时就有可能藏在压缩档里这病毒可怕之处就是根本档不了
作者: Galm (水牛) 2015-12-08 21:20:00
节哀...感觉没中的人只是好运而已,不知道啥时候会中标
作者: minihyde (minihyde) 2015-12-08 21:21:00
好可怕
作者: sudekoma (′･ω･`) 2015-12-08 21:21:00
十年前的疾风病毒就是随机侦测有连线的主机闯进来啊...
楼主: onelife (旺來) 2015-12-08 21:22:00
下载我是用uTorrent，也很久没更新了，不知道有无影响从后续受害消息没有很大量来看，感染途径似乎不活跃?所以应该不是主动入侵或泛用的系统漏洞
作者: Galm (水牛) 2015-12-08 21:24:00
如果BT的话我发现最近qb更新档出的很勤快...不知道是否有关
作者: sudekoma (′･ω･`) 2015-12-08 21:25:00
之前影刃说这东西没潜伏期，中了就会开始跑
作者: Galm (水牛) 2015-12-08 21:25:00
以前了不起三个月一次更新,最近是一个月内两次更新就中了它会让你知道,没必要潜伏 就是勒索你...
作者: sudekoma (′･ω･`) 2015-12-08 21:26:00
既然原PO是在离开的时候才发毒，
作者: sorochis (ㄇㄚˇ ㄨㄟˇ ㄎㄨㄥˋ) 2015-12-08 21:26:00
爬前面文章，有人提到CHROME是沙盒运作所以没问题
作者: sudekoma (′･ω･`) 2015-12-08 21:27:00
所以只好猜是开着P2P的影响.....离开时被家人好奇点了恭喜中iPHONE6的广告这样(?)
楼主: onelife (旺來) 2015-12-08 21:28:00
也不一定，如果已经中毒，病毒想什么时候跑都可以吧
作者: louie83279 (æ°¸é ä¸æº–的先知) 2015-12-08 21:28:00
BT嫌疑最大啊……但这里又不能讨论用什么载BT最安全
作者: yuyemoon (榆叶＠HQ仁花厨) 2015-12-08 21:31:00
如果有视闲置时间，像我这样开着就用，几小时后没使用就关电脑，如果中了是要什么时候发作啊
作者: sorochis (ㄇㄚˇ ㄨㄟˇ ㄎㄨㄥˋ) 2015-12-08 21:32:00
写一个小程式，监控桌面的某个*.txt，发现档案不见了就关机这样
作者: sudekoma (′･ω･`) 2015-12-08 21:37:00
https://www.youtube.com/watch?v=oMHZ17DEo5U刚才找到别人的测试影片。连上有问题的网址就会中毒。连上去过了15秒就自动跳出勒索说明，并加密桌面文件
作者: shadowblade (影刃) 2015-12-08 21:40:00
我中的那个不会锁txt
作者: sudekoma (′･ω･`) 2015-12-08 21:41:00
影片主说是半年前录的，所以也不知道有多少亚种了
作者: Foot (Foot) 2015-12-08 21:48:00
发现中毒马上关机停止加密 然后把加密档案删除就好了吗?还是还要重灌? 既然系统档没事 把资料碟清空就可以了吗?
作者: sorochis (ㄇㄚˇ ㄨㄟˇ ㄎㄨㄥˋ) 2015-12-08 21:50:00
要删除的应该不是加密档案，是躲起来的加密后台
作者: darkbrigher (暗行者) 2015-12-08 21:50:00
看讨论是马上关机只是让你有机会备份
作者: spfy (spfy) 2015-12-08 21:51:00
可以爬防毒版 目前结论是付钱比较快 虽然有可能撕票
作者: intela60474 (Alber) 2015-12-08 21:52:00
有没有用chrome也中标的？
作者: sorochis (ㄇㄚˇ ㄨㄟˇ ㄎㄨㄥˋ) 2015-12-08 21:52:00
写一个小程式，监控桌面的*.TXT *.MP4 *.AVI等等全部只要一个档案不见了就下警告文件然后关机这样回家发现电脑关机了就拔硬盘道别台电脑看有没有警告文件
作者: spfy (spfy) 2015-12-08 21:53:00
已经被加密档案的没传染性 木马本体才有传染性 而且会去找所有区网有权限的地方全部加密 再来是加密时需要用网络传金钥所以断网似乎有用 前提是你有发现正在被加密
作者: sorochis (ㄇㄚˇ ㄨㄟˇ ㄎㄨㄥˋ) 2015-12-08 21:54:00
加密时需要用网络传金钥应该只是一开始吧？不然难道加密了上万个档案，全部的金钥都不一样吗？
作者: spfy (spfy) 2015-12-08 21:55:00
现在变种非常多 每只变种针对的档案类型不同 卡巴的解药和bitdeffender的防护也仅限于极少数的分支变种
楼主: onelife (旺來) 2015-12-08 21:55:00
也有不需连网的加密勒索病毒http://www.ithome.com.tw/news/99827
作者: spfy (spfy) 2015-12-08 21:56:00
防毒版比较详细 因为强国这里似乎没什么灾情 完全没看到人中
作者: yam276 ('_') 2015-12-08 22:50:00
不需连网的有可能反组译找出加密金钥吗
作者: spfy (spfy) 2015-12-08 23:04:00
以人类目前技术不可能 因为都是RSA-2048加密
作者: erik777 (水树奈奈红白登场!!!) 2015-12-08 23:56:00
能够把档案加密应该是透过某途径把病毒档抓到了本机上单纯断网是无效的 因为病毒程式已经在硬盘里了
作者: jiko5566 (云落炩) 2015-12-09 00:02:00
该死的win8天天爆cpu,怎么看的出来...
作者: louie83279 (æ°¸é ä¸æº–的先知) 2015-12-09 00:33:00
用沙盒开网页“应该“可以有效防止被绑架吧……?
作者: reaturn (廿年后回头看台湾) 2015-12-09 02:44:00
开VM上网或是分成上网用电脑跟作业用电脑
作者: belion (灭) 2015-12-09 03:27:00
vm的话,virtual pc 效能还不错,vmware吃太多资源了
作者: udo ( `_ゝ′ニダ) 2015-12-09 03:43:00
所以原po的感染原因是下载bt?
作者: blackwindy (黑色的风) 2015-12-09 04:37:00
拔网络线没什么屁用 甚至离线板都有了请问一下使用的Firefox版本? 是官方版本还是特殊版?另外使用的BT版本? 最近有执行什么抓来的谜物吗?
楼主: onelife (旺來) 2015-12-09 09:12:00
Firefox是portableapps下的38.0.5，之后没在更新BT是用uTorrent版本有点忘了，好像3.2.X谜物就没印象了，最近都在搞PS3的东西，PC主要只在玩WOWDiablo这些而已
作者: ss1h2a3tw (微微甜) 2015-12-09 10:31:00
用linux 只要有基本权限 安全知识就好了
作者: painvano (河蟹になりたい) 2015-12-09 11:26:00
好在意究竟是因为uTorrent中毒或是下载的软件?
继续阅读
[漫画] 效率厨魔导师 LEVEL 01 - 我穿我穿我穿SuperSg[新闻] 长鸿漫画10本300元 22本600元medama[庶民样本] 开箱要找对地方.... jrxcombine[讨论] 感应少年新章15 assxassRe: [闲聊] 战斗女子学园 这游戏颇佛?!lo84Re: [闲聊] 新妹魔王的契约者 9 (内有剧情)rx79bd1Re: [讨论] 无职转生~在异世界认真地活下去-爽作(雷)dukemon[HSDD] 恶魔高校ＤxＤBorN OVA 烤鸡妹大总汇LABOYSRe: [闲聊] 战斗女子学园 这游戏颇佛?!fish770130[推荐] 梦王国(ry 满满的声优喔喔喔~jugularnotch
