作者goton (去者不追)
看板AntiVirus
标题[问题] 小红伞似乎有挡住Wanacry 更新完就没事了吗?
时间Sat May 13 21:52:14 2017
不好意思爬文没看到精确的描述
(因为都是说有没有开始中毒被改档名了
我不确定我这样算不算已经中了)
想请问一下小红伞一直出现挡住mssecsvc
电脑档案似乎没异状
(不过刚刚要开魔兽世界开不了 然後就出现小红伞)
这样算是没中毒吗?
是不是关闭SMB1 然後更新完就没问题了呢?
还有甚麽档案要删除的吗?
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 111.243.180.162
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/AntiVirus/M.1494683536.A.2C9.html
1F：→ trywish: 拔掉网路，如果小红伞没出现就表示都挡下来。如果有出现05/13 21:54
2F：→ trywish: 就表示已经在电脑里了。先把重要档案搬离开吧。不过要更05/13 21:54
3F：→ trywish: 安全还是重灌在更新到最新妥当。05/13 21:54
4F：→ ptt0219: 先关机，再拔网路线。05/13 21:55
5F：→ ptt0219: 从其他安全的电脑去下载更新档，然後传到随身碟，再以手05/13 21:56
6F：→ ptt0219: 动更新。05/13 21:56
7F：推 aa1477888: 根据#1P5hh4QR 现在应该是第一步骤05/13 22:00
8F：→ aa1477888: mssecsvc.exe会想丢tasksche.exe 但是被小红伞挡下来05/13 22:01
9F：→ aa1477888: 所以加密应该还没开始 看能不能让红伞自力清除05/13 22:02
10F：→ aa1477888: 保险一点的作法 就是先把东西备份後整个重灌05/13 22:03
11F：→ gwofeng: 小红伞没防火墙，所以才会出现mssecsvc05/13 22:16
12F：→ gwofeng: 有防火墙的直接拒绝连线，不会出现mssecsvc05/13 22:17
13F：→ goton: 结果档案还是被改了一部分05/13 22:38
14F：→ goton: C. EF全毁. D槽还没 只能把D槽还没备份的照片备份了05/13 22:39
15F：→ trywish: 时间差还是怪怪的，你检查时候还没有，应该就拔网路线了05/13 22:45
16F：→ trywish: 主程式被小红伞吃了，还能感染三槽。有其他机制吗？底下05/13 22:46
17F：→ trywish: 也是说插上随身硬碟被感染，怎和目前看到的资讯有落差。05/13 22:47
18F：→ goton: 刚刚在安全模式下备份到外接硬碟 这样不会把毒带过去吧or05/13 23:20
19F：→ goton: z ?05/13 23:20
20F：→ goton: 重新开机後还是一直跳警告05/13 23:21
21F：→ goton: 但是不是那个执行档 而是TR/FileCoder.72464505/13 23:21
22F：→ goton: 然後对象是我已经被改的E槽资料夹 05/13 23:22
23F：推 aa1477888: TR/FileCoder.724645 就是Wanncry病毒 这是雨伞的编号05/13 23:24
24F：推 aa1477888: mssecsvc.exe难道还有丢出什麽东西程式跑加密程序？05/13 23:28
25F：→ aa1477888: 好奇原PO在雨伞报毒之後有没有把马上网路中断05/13 23:28
26F：→ goton: 没有 ！05/13 23:30
27F：推 aa1477888: 嗯...没有...那就有几种可能让mssecsvc.exe找到漏洞05/13 23:36
28F：→ aa1477888: 接着把tasksche.exe引进来 就看透过什麽方式05/13 23:37
29F：→ aa1477888: 不然就是tasksche.exe早就开始作用了05/13 23:39
30F：→ aa1477888: 这只病毒应该还有些行为没有被分析出来05/13 23:40
31F：→ trywish: 因为没有断网，所以mssecsvc一直进来，可能在某次不小心05/13 23:43
32F：→ trywish: 被启动成功了，说不定tasksche没被挡下，就慢慢改掉了。05/13 23:43
33F：→ trywish: 而备份时候也可能没注意到，不小心连病毒都备份过去了(?)05/13 23:44
34F：推 aa1477888: 楼上说的应该是可能性最高的状况 漏掉某次就GG了05/13 23:49
35F：→ aa1477888: 我刚刚查了雨伞的VDF资料库 WanaCry特徵是在5/12 23:5705/13 23:50
36F：→ aa1477888: 随着7.14.6.158 VDF一起被推送更新 还不到24小时05/13 23:51
37F：→ aa1477888: 所以前面有装雨伞却没拦到可以说得通 可能刚好在空档05/13 23:52
38F：→ aa1477888: 总结就是 如果防毒叫了 第一时间就是断网杀毒05/13 23:53
39F：→ aa1477888: 接着离线更新填漏洞 关闭SMB 443 PORT锁起来05/13 23:54
40F：→ aa1477888: 如果这样还是救不到 那就要怀疑是变种或未知行为了05/13 23:54
41F：→ aa1477888: 更正 443 PORT05/13 23:55
42F：→ trywish: 是445 port。反正现在用来控制感染的网址失效了，只要不 05/14 00:01
43F：→ goton: 嗯嗯 毕竟我电脑已经被家人开了一个晚上05/14 00:02
44F：→ trywish: 是已经存在的病毒档，应该不会再发生类似感染。但port还05/14 00:02
45F：→ trywish: 是先锁起来好。能更新就更新。档案放半年看看，文字好像05/14 00:02
46F：→ goton: 看看档案也没动静 所以就先没理他 先来作功课05/14 00:03
47F：→ trywish: 有说半年後说不定有机会(?)，不过真没必要还是全砍了，免05/14 00:03
48F：→ trywish: 的还有什麽不可预期的情况。05/14 00:03
49F：推 aa1477888: 我怎麽更正还是错XD 445对啦XD05/14 00:04
50F：→ goton: 照片档会有夹带病毒的可能性吗 ？05/14 00:05
51F：→ aa1477888: 我觉得如果加密确实是RSA2048 除非美国拿出秘密武器05/14 00:06
52F：→ aa1477888: 不然要救回来真的难上加难...05/14 00:06
53F：→ aa1477888: 什麽档案都有夹带病毒的可能性 尤其是加密过的档案05/14 00:06
54F：→ aa1477888: 谁知道还包进去了什麽鬼东西 放着别动他最好05/14 00:06
我复制的档案都是看似正常
没被改过加密的说
这样还是可能有问题吗orz ?
没放到别台电脑
因为会怕影响别台
但是是在安全模式下
55F：推 kreuzritter: 请问我用AVAST昨晚挡住一次後立马断线，然後今早检查05/14 00:07
56F：→ kreuzritter: C槽未发现taskche等等档案，也没听到AVAST持续警告，05/14 00:07
57F：→ kreuzritter: 请问是否表示拦截成功05/14 00:07
58F：→ kreuzritter: 可以进行备份工作了吗？怕连外接硬碟一起死...05/14 00:08
59F：推 aa1477888: 建议楼上先做一次全机扫描 因为可能不只C而已05/14 00:18
60F：→ aa1477888: 总而言之网路绝对不要先连回去这样05/14 00:19
※ 编辑: goton (114.136.78.47), 05/14/2017 00:19:47
61F：→ aa1477888: 虽然我的个性还会先去抓Avast的病毒码来做离线更新 05/14 00:20
62F：→ aa1477888: 但这个步骤非必要就是 毕竟没另一台电脑也不方便这样做 05/14 00:20
63F：→ aa1477888: 全机扫描结束没问题之後 进安全模式再外接硬碟备份 05/14 00:21
64F：→ aa1477888: 基本上这样已经算是很谨慎了 05/14 00:22
65F：→ aa1477888: 如果这样还是GG 那就代表目前对Wanncry的研究不够透彻 05/14 00:22
66F：→ aa1477888: 回原PO 如果已经复制就复制了吧 05/14 00:23
67F：→ aa1477888: 到时候电脑重灌或者找另一台电脑之後 再去扫外接硬碟 05/14 00:23
68F：→ aa1477888: 如果防毒软体没报毒就可以比较安心 05/14 00:24
69F：推 kreuzritter: 已经全机扫描过了，中间还有偷偷连上网路几分钟更新 05/14 00:29
70F：→ kreuzritter: 病毒码，後再扫描重开都未发现@@ 05/14 00:29
71F：推 kreuzritter: 目前看看CDE槽，档案都还正常无异状这样 05/14 00:31
72F：→ aa1477888: 那我觉得应该是没问题 SMB Windows TCP那些赶紧处置 05/14 00:32
73F：→ aa1477888: 应该就算是从鬼门关前救了回来 感恩AVAST吧XD 05/14 00:32
74F：推 kreuzritter: 阿弥陀佛.....QQ 05/14 00:39