作者lmkkml (小羊~~~)
看板AntiVirus
标题Re: [问题] 档案改唯读，是否可破勒索病毒行为？
时间Mon Jun 6 16:27:26 2016
※ 引述《GAMETYRANT ( 深水无痕 )》之铭言：
: 好多年没逛防毒版，过去靠着疯狂等级的 comodo 护持
: 即使没装任何防毒程式，电脑这样裸奔了多年也没中过毒
: 但这波勒索病毒的灾情确实怵目惊心
: 尤其这波病毒，专挑文件档、多媒体档这类容易被 HIPS 忽略的档案下手
: 假设说，将特定磁碟机、特定资料夹、或特定档案，改成唯读状态
: 不知有无办法对抗这勒索病毒的背景加密行为？
: ( 许多多媒体档案，终其一生不会进行编辑，改成唯读似乎有利无弊 )
直接拿病毒来做实验（先说一下这是在系统管理员帐户底下测试的），创三个文件夹1~3，1号是勾选唯读（这个唯读是仅套用资料夹中的档案）、2号是把 administrators 的写入权限封死，勾选禁止写入、3号是把自己的管理员帐户只保留唯读。分别是下面三张图：
http://i.imgur.com/XAbX5HN.png
http://i.imgur.com/223Rmcp.png
http://i.imgur.com/NXdFqGw.png
执行病毒 UltraCrypter（.cryp1）後，1号资料夹阵亡如下图，2、3号资料夹没事。
http://i.imgur.com/72eTrhO.png
2、3号资料夹换一只强一点的病毒 Cerber 来试试看，3号资料夹阵亡，2号资料夹依然没事。
http://i.imgur.com/shE9eLQ.png
虽然2号存活了下来，不过它最大的问题并不在於勒索病毒攻击，而是根本性的不方便。例如若尝试把档案放进去2号资料夹，会出现下图，要放东西就得把禁写勾勾取消掉。因此唯有在万年不去存放档案，只用来读取的资料夹上才会建议这样用，不然谁受得了。
http://i.imgur.com/LRyrUYT.png
--
Sent from my Windows
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 1.175.27.117
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/AntiVirus/M.1465201648.A.3A3.html
1F：推 l98: 有试验有推 06/06 16:29
2F：推 s1s1: 有实验有推，看来很适合用在多年累积的照片档、音乐档之类的 06/06 16:30
3F：推 vul354: 有实验给推，感谢分享结果 06/06 16:33
4F：推 lisbonbon: 推一个，反正影音档都这样设定就好 06/06 16:40
5F：推 Kuansun: 推 06/06 16:45
※ 编辑: lmkkml (1.175.27.117), 06/06/2016 16:49:47
6F：推 ptt1234567: 有测有推, 辛苦了 06/06 16:49
7F：推 jacklin2002: 请问中毒电脑工作管理员完全没有异状吗？ 06/06 17:05
8F：→ jacklin2002: 我是属於那种工作管理员有几只程式在执行都一清二楚 06/06 17:05
9F：→ jacklin2002: 的人，所以想知道，完全无法从程序或服务这些东西看 06/06 17:06
10F：→ jacklin2002: 出端倪吗？(还是中毒的人根本就不看这些) 06/06 17:06
当然有病毒在跑罗，不过中毒时要刚好开着工作管理员我想有难度吧。这些病毒最有感的
时候就是硬碟灯在猛闪的时候了，这时候发现中毒我觉得也加密的差不多了。
11F：→ yoyo80725: 有的会伪装吧 06/06 17:12
12F：→ yoyo80725: 而且没这麽常看 通常看到发现也差不多死了 06/06 17:13
13F：→ brianuser: 又不可能随时都在监看，何况有些是利用系统程式在作怪 06/06 17:13
14F：→ brianuser: 多一两个 svchost explorer rundll32 很难及时注意到 06/06 17:14
15F：推 jacklin2002: 以我例子，svchost就是固定11只，电脑在刚启动好状态 06/06 17:16
16F：推 mars1985: 哈哈哈。 06/06 17:17
17F：→ jacklin2002: 程序就是54，不多不少刚刚好，我只是在想，觉得奇怪 06/06 17:17
18F：→ jacklin2002: 的时候就看一下，发现异状就强制程序执行终止，也许 06/06 17:18
19F：→ jacklin2002: 是可以降低灾害的措施？ 06/06 17:18
20F：推 weichen5566: 设定权限当然可以防止，但是一般电脑设定权限不方便 06/06 17:26
21F：推 blackwindy: 谁没事会盯着程序看阿...而且直接拔电源线快多了 06/06 17:27
22F：→ weichen5566: 可以装一台NAS，每次备份就是要登入才能传也安全 06/06 17:28
23F：→ bluewinston: svchost 别乱关 有些系统会调用 来说说我 06/06 17:29
24F：→ bluewinston: 看过旧版加密中毒过程 恐怖在出现不到一 06/06 17:29
25F：→ bluewinston: 秒就隐藏本身进程 执行中cpu使用率完全正 06/06 17:29
26F：→ bluewinston: 常不会飘高 完全不会发觉 非常阴险 现在 06/06 17:29
27F：→ bluewinston: 大家电脑都很好还ssd 只能多加备份 唯一 06/06 17:29
28F：→ bluewinston: 解 06/06 17:29
29F：→ jacklin2002: 不用一直盯着看啊...觉得奇怪就Ctrl+Alt+Del一下很难 06/06 17:30
30F：→ jacklin2002: 吗...? 06/06 17:30
31F：→ HELLDIVER: 硬碟现在也不贵 做个系统完整备份不花太多钱的 06/06 17:30
32F：推 jacklin2002: 查过资料了，工作管理员内的程序不能被隐藏的，最多 06/06 17:56
33F：→ jacklin2002: 就是改名而已，所以平常多关心自己电脑，有没有多出 06/06 17:57
34F：→ jacklin2002: 什麽奇怪的执行程序吧。 06/06 17:58
35F：→ tsukiyo99: jacklin大大 你知道被加密的时候工作管理员和cmd都开不 06/06 17:59
36F：→ tsukiyo99: 起来吗XD 06/06 17:59
37F：→ jacklin2002: 我就是没中所以我才问啊...囧> 要不然我超想实验看看 06/06 18:00
38F：→ yoyo80725: 就像我讲的...当你觉得奇怪的时候你已经死了 06/06 18:00
39F：→ jacklin2002: 而且如果被加密工作管理员就不能开，那更好认了，只 06/06 18:00
40F：→ jacklin2002: 要发现打不开就立即关机，也好过全部被锁完跳勒索画 06/06 18:01
41F：→ jacklin2002: 面吧。 06/06 18:01
42F：推 aglet: 那SYSTEM的权限需要修改吗 06/06 18:02
SYSTEM部分我完全没去动它。
43F：→ blackwindy: 当你觉得奇怪的时候应该是直接关机而不是在那边找吧 06/06 18:07
44F：→ blackwindy: 现在名子都是用常见的 例如svchost or explorer 06/06 18:08
45F：→ blackwindy: 另外工作管理员内的程序还是可以隐藏的 你资料是哪来? 06/06 18:09
46F：→ bluewinston: 之前看到影片的 只出现不到一秒就隐身了 06/06 18:13
47F：→ bluewinston: 排列是 使用率 真的就不见了也没伪装 06/06 18:13
48F：推 jacklin2002: 可以用工作管理员或cmd下指令显示所有处理程序，所以 06/06 18:18
49F：推 abramtw: 平时2号设定 要放档案才解除 放完再2号怎样呢？ 06/06 18:19
是这样没错呀，就当作那种要输入密码才能打开的资料夹，但是如果常常要开开关关就是
看每个人的接受度了吧。
50F：→ jacklin2002: 隐藏没有用，所以tsukiyo99说的应该就是了，直接封锁 06/06 18:19
51F：→ jacklin2002: 不让你开启指令集，更狠.... 06/06 18:20
52F：→ tsukiyo99: 加密软体的CPU使用效能不会很高 而是disk高 因为都在IO 06/06 18:23
53F：→ yoyo80725: 看到硬碟灯疯狂闪就差不多是了 06/06 18:28
54F：→ bluewinston: 他是测试 加密前就开了 管理 点病毒执行 06/06 18:31
55F：→ bluewinston: 我也不相信啊 因为我也会监看管理员的 06/06 18:31
56F：推 kenick: 推lmk大实验 06/06 18:40
57F：推 GAMETYRANT: 感谢lmk大的详细试验，看来单纯的唯读果然还是不够... 06/06 18:42
58F：→ mayuyu: 可以隐藏自身进程 只要hook枚举进程的api 06/06 19:07
59F：→ mayuyu: 然後移除想要隐藏的进程就可以了 工作管理员看不到的 06/06 19:08
60F：→ mayuyu: 还有一些木马会利用远程注入的方法 06/06 19:08
61F：→ mayuyu: 把要执行的代码放进其他系统程序里面去执行 06/06 19:08
62F：→ mayuyu: 注入以後就可以把自己的进程给杀掉了 出现闪一下就不见了 06/06 19:08
63F：→ mayuyu: 有些是写成dll让系统在启动时加载 不会看到处理程序 06/06 19:08
64F：→ mayuyu: 有些是替换掉系统正常的服务 从服务列表也看不出来 06/06 19:09
65F：→ mayuyu: 有些是直接装到内核级的驱动 随便它想要怎麽修改 06/06 19:09
66F：→ mayuyu: 显示给用户层看的结果就怎麽修改 一般程式根本看不到它的 06/06 19:09
67F：→ mayuyu: 存在 除非你也使用内核级的检测工具 06/06 19:09
68F：→ mayuyu: 而且加载的优先权还要高於木马的rootkit 06/06 19:09
69F：推 mayuyu: 请问l大，如果创建一个新的系统管理员帐户， 06/06 19:13
70F：→ mayuyu: 将目前的帐户转为一般使用者，然後限制这个使用者 06/06 19:13
71F：→ mayuyu: 的访问权限(也就是你推荐的方法一)， 06/06 19:13
72F：→ mayuyu: 这样可以挡住这二个病毒吗? 06/06 19:13
73F：→ mayuyu: 如果可以，用你的方法一在使用上应该比较方便 06/06 19:13
Cerber在管理员帐户底下会要求提权(UAC弹出)，同意了就是文中3号资料夹的死法，若按
「否」就会很烦的一直弹。而在使用者帐户底下Cerber不会触发UAC，很单纯执行加密，因
此只要没写入权限就可以挡下。UltraCrypter视同CryptXXX，目前这一系列就算要求提权
也只是要删除磁碟区阴影复制而已。
74F：推 abcccbbs: -------------楼下使用方法2设定D槽影片中------------- 06/06 20:23
75F：推 srewq: 哈 我的确是在用方法2设定D槽中 一些几年来拍的照片跟影片 06/06 21:17
76F：→ srewq: 毕竟久久才会去新增更动一次 不碍事 06/06 21:17
77F：推 GAMETYRANT: 改资料夹权限应该是目前最轻松的防堵方式了 06/06 22:14
78F：→ GAMETYRANT: 不过当用户已受感染且不知情(不知病毒已作动)前提下 06/06 22:14
79F：→ GAMETYRANT: 虽然透过资料夹权限，可以挡死病毒的侵害行为 06/06 22:15
80F：→ GAMETYRANT: 但未来新增档案，打开资料夹权限时，仍有风险再被加密 06/06 22:15
81F：→ GAMETYRANT: 因无法得知病毒母体是否已自杀，或已停止继续加密 06/06 22:15
82F：→ GAMETYRANT: 因此建议在该磁碟或它磁碟根目录下放几张不重要的 06/06 22:16
83F：→ GAMETYRANT: 图片当诱饵，作为判别电脑是否受感染的暂时判断法.. 06/06 22:16
84F：推 mathrew: 个人认为，把平常没在用的重要档案 例如多年来的照片 06/06 22:26
85F：→ mathrew: 你平时不会去看嘛，直接丢在一颗硬碟，然後把那颗硬碟 06/06 22:27
86F：→ mathrew: 设定离线，真的有需要用时，再设定回连线 06/06 22:27
87F：→ mathrew: 改权限目前可以挡，但是哪天骇客来个漏洞修改权限+勒索 06/06 22:28
88F：→ mathrew: 就.............. 06/06 22:29
89F：→ HELLDIVER: 现在随身碟都有64G甚至更高了 内接硬碟也才2K 06/06 22:31
90F：→ HELLDIVER: 这麽大费周章 还不如乾脆另外备份比较快 06/06 22:32
91F：推 abram: BIOS里把某硬碟disable 这样怎麽修改权限都不可能伤害到了 06/06 22:32
92F：→ abram: 连硬碟都不可能被抓到了... 06/06 22:33
※ 编辑: lmkkml (1.175.27.117), 06/06/2016 23:33:50
93F：推 vobor: 我觉得离线这招更有效耶，不过病毒可以侦测离线硬碟并且把 06/06 23:15
94F：→ vobor: 他修改回连线然後开始加密吗？ 06/06 23:15
95F：推 abram: BIOS离线就不可能 非BIOS的离线也很难 除非UAC完全关闭 06/06 23:17
96F：→ mayuyu: 也就是说方法一都有效对不对？ 如果都有效，方法一好像 06/07 00:20
97F：→ mayuyu: 比较方便 06/07 00:21
回楼下麻友友大说的是别的方法一XD。只拿Cerber等现在流行的病毒来说是都有效没错，
但如果我在病毒执行後UAC一律放行，那个方法也是有机会挂掉，特别是删除阴影复制+加
密这类的，又或是Petya这种以MBR为目标的勒索病毒，UAC一按放行就直接没救了。
98F：推 vobor: 方法ㄧ不就是最快被破解的那个吗.. 06/07 01:10
※ 编辑: lmkkml (1.175.27.117), 06/07/2016 01:47:07
99F：推 vobor: 了解 06/07 03:16
100F：推 vobor: l大我还想到一个方法，如果让资料碟在没有使用的时候离线， 06/07 03:18
101F：→ vobor: 并且把UAC层级拉到最高，这样资料碟的资料应该就可以免受 06/07 03:18
102F：→ vobor: 威胁了吧？ 06/07 03:18
103F：→ vobor: 因为开启磁碟管理会触发最严格的UAC，当然别去按是就好了 06/07 03:18
104F：→ vobor: 是说这类的病毒会去侦测离线的硬碟并且让他恢复连线吗？ 06/07 03:20
我不认为病毒有办法做到恢复连线，离线/连线交互使用磁碟机本身我觉得就是很棒的方
法罗，重点放在连线时小心使用这样子。
105F：→ louis925: 感觉应该要设计一个特大号的硬碟读写灯放在桌上 06/07 05:50
106F：→ louis925: 只要有大量读写，灯狂闪的时候，就注意一下 06/07 05:50
哈哈，桌面永久常驻工作管理员也是可以啦....
※ 编辑: lmkkml (1.175.27.117), 06/07/2016 11:18:52
107F：→ louis925: 工作管理员会耗CPU啊~~ 06/08 04:25
108F：推 gamesame7711: 06/08 07:11