作者ottontu (好啦好啦)
看板AntiVirus
标题[问题] office档案被加上.jawjyynv副档名
时间Thu Jul 19 00:23:19 2018
晚上忽然发现，所以跟office相关的档案都被加上副档名.jawjyynv
把这串消掉後再打开档案，就显示为乱码了。
请问各位，这是中毒了吗？看前面文章，有人中勒索病毒，也是有一串怪的副档名。
这个还有得救吗？
除了office，影片档或是图片档都还正常。
现在已把网路线拔掉，小红伞没扫到任何病毒...
------------------------------
20180719 补充
现在不敢接上网路线，怕其他档案继续被加密。还是说重开机之後就没关系了？病毒会继
续作动吗？
防毒的话，只有用小红伞，平常会用ie搜寻一些种子，有些网站都会跳出快显，我都是直
接关掉，不会点开。但是这次病毒可能是直接跳出来吧。有可能藏在种子里面？
请问我如果现在用随身硬碟备份的话，病毒有可能会蔓延过去吗？不接网路的情况下。
病毒类型，下班回家之後再把讯息更新上来。
谢谢大家
-------------------------------
20180720
更新病毒资讯
今天鼓起勇气把电脑接上网路，仔细看了一下，
大概是2018/07/18 23:00开始被加秘，2018/07/18 23:57 发现挡案怪怪的
拔掉网路线。
现在接上网路，好像没继续被加秘，但没有把握
https://www.nomoreransom.org/zh/index.html
这个网站，把资料上传後，没跳出分析结果
https://id-ransomware.malwarehunterteam.com/identify.php?case=ac9f957f5ce0e0201ee86c9212aff38b788a4ac9
这个出现以下结果，看起来目前是没有解药。
https://imgur.com/a/eCud7ga
This ransomware has no known way of decrypting data at this time.
It is recommended to backup your encrypted files, and hope for a solution in
the future.
Identified by
custom_rule: Matching Tor address pattern (5 addresses)
ransomnote_url:
http://bruoicwqjztnhbu5995.plainme.space/jawjyynv
另外发现一点，我的电脑显示273天没更新了。
按了更新出现以下讯息，可能是更新很早之前就被锁住了。
https://imgur.com/a/eCud7ga
------------------------------------------------
20180723 更新状态
Windows可以更新了。打算先拿另一颗硬碟，感染的硬碟先留着等解药。
仔细把全部硬碟都检查过一次。很幸运的有一颗硬碟逃过一劫。
希望解药还有机会出现。
------------------------------------------------
20180727 更新状态
硬碟已格式化，重新安装作业系统win7，有考虑升到win10
再继续补充些知识，增加自我防护能力
受感染的档案，先存放在另一颗硬碟，等待解密的机会
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 118.166.62.31
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/AntiVirus/M.1531931002.A.F90.html
3F：→ sdbb: 辨识看看07/19 00:38
4F：→ sdbb: 帮红伞QQ07/19 00:39
5F：推 estupid: 你跟楼上几位乱码附档名的一样中标了07/19 05:58
6F：推 jhcleader: 最近怎麽那麽多？附上作业环境、防毒准备、操作习惯让07/19 08:32
7F：→ jhcleader: 大家有个底吧？07/19 08:32
※ 编辑: ottontu (175.97.16.196), 07/19/2018 09:11:44
8F：→ sam613: 最近这个灾情真的有点多 07/19 10:01
9F：推 popbitch: 中勒索那次也是用了ie 07/19 10:04
10F：→ popbitch: 所以你的windows也没更新吗? 07/19 10:04
11F：→ ottontu: 有开自动更新，但是近两个月就没注意到是不是有在更新 07/19 10:29
12F：→ TroutMVP: 请问原po的小红伞防毒软体是免费版还付费版? 07/19 10:55
13F：→ ottontu: 是免费版的 07/19 11:00
14F：→ lonewind220: 没救了，直接换硬碟重灌。希望之後有找到软体处理… 07/19 11:42
15F：→ ottontu: 请问是不是所有的硬碟都需要格式化？我电脑装了三颗硬碟 07/19 12:06
16F：推 gidapops: 所以说有adblock就是好 乱七八糟的都挡掉 07/19 15:46
17F：→ whatisapity: 只要稍微了解一下ABP清单的写法 07/19 18:39
18F：→ whatisapity: 就会知道这东西就只是挡广告的 07/19 18:39
19F：→ whatisapity: 拿来堵恶意软体的效果根本微乎其微 07/19 18:39
20F：→ whatisapity: 不过如果真的很相信这东西的话，是有别的订阅方式啦 07/19 18:39
21F：→ whatisapity: 07/19 18:39
23F：推 popbitch: 现在不是都用ublock origin? 我是恶意网域选项全点 07/19 20:44
24F：推 popbitch: 防毒还是装主动防御型的比较好，未知病毒也能挡 07/19 20:49
25F：→ popbitch: 例如卡巴，或我现在用的BitDefender 07/19 20:50
26F：→ whatisapity: 挡广告清单几乎都是用ABP语法啊 07/19 21:03
27F：→ whatisapity: 这些清单里面都有一堆为了不破坏网站建的放行规则 07/19 21:05
28F：→ whatisapity: 不然就是根本没有防御效果的元素隐藏规则 07/19 21:05
29F：推 whatisapity: 恶意网域的清单也主要是靠用户回馈建立的 07/19 21:09
30F：→ whatisapity: 这种东西真的那麽有用的话 07/19 21:09
31F：→ whatisapity: Safe Browsing和Smart Screen早就成神了 07/19 21:09
32F：→ whatisapity: 真的要防恶意广告不如直接把网站脚本封锁住 07/19 21:16
33F：→ whatisapity: uBO就是拿来挡广告的，拿来防毒根本是奇思异想 07/19 21:16
34F：推 Kreen: 用 ubo 勾进阶使用者，可以挡不同网站的 script，其实也是 07/19 22:00
35F：→ Kreen: 蛮有帮助的。甚至也可以网站第三方 script 全挡掉，再把要 07/19 22:01
36F：→ Kreen: 放行的开起来。对避免中毒帮助也是蛮大的。 07/19 22:02
37F：推 sdbb: ubo挡病毒挡勒索也有点作用 07/20 00:25
38F：推 Halk: 我是用hinet PC-cillin 勒索克星可以透过设定来保护资料夹 07/20 10:37
40F：推 ww: 如果是要保护资料夹 win10 1709之後的版本都有内建 07/20 12:14
41F：→ ww: 所以这次的病毒管道还是来自IE跟Flash吗? 07/20 12:16
42F：→ sam613: IE和flash的漏洞都有 07/20 20:30
43F：→ whatisapity: IE的那个漏洞在5月8号就补好了 07/20 20:41
44F：→ whatisapity: 骇客使用的攻击工具在6月才出现 07/20 20:41
※ 编辑: ottontu (36.229.146.62), 07/20/2018 21:07:54
45F：→ whatisapity: 打开services.msc，先把Windows Update停用 07/20 21:19
46F：→ whatisapity: 然後把C:\Windows\SoftwareDistribution\DataStore 07/20 21:19
47F：→ whatisapity: 这里面的东西砍掉 07/20 21:19
48F：→ whatisapity: 再把services.msc的Windows Update启用 07/20 21:19
49F：→ ottontu: 谢谢，可以检查更新了。不过还是一直失败，继续试看看 07/20 22:05
50F：→ sam613: 去update catalog下载更新来装也不行吗 07/20 22:33
51F：→ ottontu: 下载下来显示不适用，刚才灌完卡巴，整个变超顿的 07/20 23:51
52F：→ whatisapity: 有错误代码吗？ 07/21 10:26
53F：推 waterblue85: 有些病毒是夹带在投放的广告里 挡广告多少有用处 07/21 12:11
54F：→ whatisapity: 在各种有用的方法中最没用的一个 07/21 13:21
55F：→ whatisapity: 确实还是有用没错啦 07/21 13:22
56F：推 wantsleep: 公司也中类似的 小红伞确定没用 装bitdefender吧 07/22 13:29
57F：推 popbitch: 换win10吧 07/22 13:38
※ 编辑: ottontu (36.225.29.10), 07/23/2018 23:49:40
58F：推 waterblue85: 挡广告就只是辅助而已啊 主要还是系统更新+网路防毒 07/24 03:55
59F：→ waterblue85: win10从根本上是比以往的windows安全很多没错 07/24 03:55
60F：→ MVagusta: 中毒帮QQ 如果是强调主防功能卡巴真的不错或是你也可以 07/25 21:09
61F：→ MVagusta: 试试全方位的pccillin 也是简单好用 目前原po应该是已经 07/25 21:09
62F：→ MVagusta: 排除电脑问题但还未将资料救出 建议先存档 过一阵子看看 07/25 21:09
63F：→ MVagusta: 趋势的免费解密工具可以帮忙解 07/25 21:09
※ 编辑: ottontu (111.249.35.65), 07/27/2018 01:04:11
64F：推 israelii: 直接装win10啦 win7安全性很差 08/07 00:00
65F：→ israelii: 重要资料记得备份 08/07 00:01
66F：→ israelii: 我记得win7可以免费升10 08/07 00:01