作者SheenaRingo0 (SheenaRingo)
看板Storage_Zone
标题[救援] 中勒索病毒有及时发现 想取出剩余资料
时间Mon Oct 28 11:29:35 2019
昨天电脑中了勒索病毒
但是这个骇客不知道是没写好还是怎样
电脑左上方马上就跑出一个视窗开始跑俄文的程式
所以我察觉有异之後已经发现桌面还有很多软体都被加密了
https://i.imgur.com/2bzAYBK.jpg
马上拍个照关机
查了一下病毒种类跟骇客邮箱是上面这个
系统碟（SSD）的东西我已经不奢求可以救回
但是我最近一年的摄影作品都放在另一个HDD里
最近都没备份...以後不敢了
关电脑前还打开E槽看一下照片似乎还没被加密
现在主机是断网关机的状态
一开机就会持续加密
想知道这种情况如果我只想把还未加密的资料备份出来
应该要找谁求助？
我目前的想法是单纯取出未加密的资料应该不会太高难度吧？
想说直接找救援公司但是看了一下价目表6000起跳且通常都要万，对穷学生来说有点贵
不知道一般的电脑维修能帮我安全解决吗？
如果有台北市推荐的店家那就更感谢各位了！
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 1.164.1.139 (台湾)
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Storage_Zone/M.1572233377.A.697.html
1F：推 KyA : 那颗HDD先硬碟对拷，再用PE进去看档案状态跟备份10/28 11:34
但是我不确定HDD会不会也被植入病毒了耶
这样会不会只是让另一颗碟一起中毒？
想请问勒索病毒都是要联网才能进行加密吗？
我是否可以断网开机进行备份？
※ 编辑: SheenaRingo0 (1.164.1.139 台湾), 10/28/2019 11:41:16
※ 编辑: SheenaRingo0 (1.164.1.139 台湾), 10/28/2019 11:42:05
2F：推 cid7 : 就是不知有无中毒，1楼大大才建议raw copy，再用PE10/28 12:08
3F：推 horng31208 : 中毒的系统被写入恶意程式码已经没救了，请勿用该硬10/28 12:13
4F：→ horng31208 : 碟开机，请用未感染的系统去接中毒的硬碟救援10/28 12:13
请问我用未感染的系统去接硬碟有没有可能让这台原本没感染的系统一起下去...
还是病毒只会在系统碟？
※ 编辑: SheenaRingo0 (223.137.185.151 台湾), 10/28/2019 12:16:28
5F：推 etrogpx : linux live cd 去 copy10/28 12:17
6F：推 chang0206 : 推楼上10/28 13:00
7F：推 PatlaborGao : 这状况找救援不如乖乖付钱 凹自己是穷学生讨个折扣10/28 14:01
8F：推 sma1033 : 用ubuntu live CD开机去读档应该是没问题才对10/28 14:03
9F：→ sma1033 : 没怎麽看过同时在linux跟windows都可以发作的病毒10/28 14:04
10F：→ tomsawyer : 有R 病毒在hdd的firmware里 不过现在不会有10/28 14:12
11F：→ tomsawyer : 单纯取出很简单 不用到救援10/28 14:13
12F：推 leftless : 就算HDD里有病毒 放到新系统里没其他程式去执行它 10/28 14:16
13F：→ leftless : 它也不会动吧 10/28 14:16
14F：→ Kennyq : 系统format重灌就好啦！灌好看cpu有没有异常使用率10/28 15:29
15F：→ Kennyq : 没有就开始备份资料10/28 15:30
16F：→ Kennyq : 又不是硬碟挂了，何必花上万救援？10/28 15:33
17F：推 waakye : 如果连live cd usb都不会用还是乖乖花钱好了10/28 17:37
18F：推 sppmg : Linux live +1真不会用花个1000请人也比救援便宜10/28 19:09
19F：→ mirc : 去买你D槽的硬碟外接盒，再不行把硬碟拿去商店配外10/28 20:03
20F：→ mirc : 接盒，找个朋友接他电脑做个备份，再去搞你的旧电脑10/28 20:04
21F：→ mirc : 如果已经被加密，送救援也只是碰运气。但是机会不高 10/28 20:06
22F：→ eqhibiki : 根据公司的经验，可以跟对方杀价 10/28 20:53
23F：→ chris1281 : 用linux开机，然後去捞资料 10/28 21:15
24F：→ chris1281 : 前阵子用linux捞回一颗快坏掉的硬碟资料 10/28 21:16
25F：推 p520888 : 为啥会中病毒R10/28 21:27
26F：推 Lemming : 想知道为何中+1 感觉蛮有用的:p10/28 21:33
27F：推 michael26 : 想知道+110/28 22:36
28F：推 rugalex : 中过勒索病毒+110/28 23:35
29F：推 AISC : 如果是win7就正常10/29 00:28
其实要我说原因我不敢保证
我是win7
昨天使用pcman combo内建的搜寻功能
搜下去的瞬间中毒
虽然也不能排除是病毒潜伏刚好触发
但上网查的确有提到kkman之类的ptt软体
里面浏览器是内建旧版ie，有漏洞会中毒
所以我觉得机会很大就是pcmancombo
※ 编辑: SheenaRingo0 (118.160.164.46 台湾), 10/29/2019 01:44:19
30F：推 wtfconk : 好在很久没用桌机看PTT了… 10/29 09:48
31F：推 DayFly0515 : pcman用的是旧ie核心 开网页弹出广告想点掉就中了 10/29 10:16
32F：→ DayFly0515 : 要嘛就是进pcman设定改http(s)连结用chrome开启 10/29 10:17
33F：→ DayFly0515 : 要嘛就是不要直接搜、点连结，复制贴到chrome去跑 10/29 10:18
34F：推 DayFly0515 : 要救就是如1楼所言 会怕就搞一台不重要或新的电脑 10/29 10:22
35F：推 horng31208 : 以後除玩游戏付费软体外，都开沙盒如VBOX用，保证安 10/29 11:25
36F：→ horng31208 : 全 10/29 11:25
37F：推 nissptt : 沙盒真的百分百安全吗???? 10/29 11:39
38F：→ pepsilee : 安全是相对的，有谁敢保证100%安全 10/29 12:38
39F：推 xvid : 虚拟机器和沙盒都没保证啦 开虚拟机器也吃资源 10/29 12:50
40F：→ xvid : Guess OS除非用免费系统 不然也要多买授权 10/29 12:51
41F：推 z22771187 : 我的pcman lite点开网页都会使用我的火狐 10/29 13:41
42F：→ z22771187 : 所以combo是包含浏览器的版本? 10/29 13:42
43F：推 michael26 : 原来如此，感谢告知可能原因10/29 14:13
44F：推 qunxiang : 感谢经验分享，立马把PCMAN改了连结设定10/29 16:32
45F：推 IOU9527 : 现在电脑都用FF直接开 term.ptt.cc 了，PCMAN很少用10/29 20:47
46F：推 Lemming : 是什麽网站啊 某些缩网址是真的挡过 PTT常看到那个10/29 20:55
47F：推 andy199113 : Win7有更新吗? SMB有关闭?10/29 21:18
48F：→ SheenaRingo0: 更新和SMB我都不确定当时状况了 总之大家尽量升级w10/30 01:16
49F：→ SheenaRingo0: in10和避免使用各种有漏洞的东西吧（ie flash之类10/30 01:16
50F：→ SheenaRingo0: 的10/30 01:16
51F：推 waggy : 建议你用pttchrome,或是装ptt star10/30 11:46
52F：推 whatcanidoo : 我上次中是马上关机 拔网路线 然後登安全模式 把病 10/30 13:19
53F：→ whatcanidoo : 毒删除顺便备份 就这麽简单 10/30 13:19
54F：推 lolicat : 档案被加密你送救援也没用吧 10/30 18:15
原本是想说要请他们帮我救还没被加密的档案
後来问大家之後发现不需要请他们处理
55F：推 is1128 : chrome 直接装外挂用网页看不就好了 10/31 08:22
56F：→ is1128 : 太久不更新的软体都不建议用了 10/31 08:22
※ 编辑: SheenaRingo0 (203.121.254.182 台湾), 10/31/2019 13:01:53
57F：推 cka : 问题应该是在你的WIN7啦 PCman combo都公开程式码了 10/31 18:30
58F：→ cka : 最好的方法你就直接装WIN10 10/31 18:30
59F：推 kaoru7568 : 只敢用纯PCMAN，combo的浏览器调用IE，啥时被捅到都 11/01 23:33
60F：→ kaoru7568 : 不知道... 11/01 23:33
61F：→ kaoru7568 : 至於你的硬碟，建议请会弄的朋友帮忙处理，事後请顿 11/01 23:34
62F：→ kaoru7568 : 好料吧。看要用PE、linux live cd都可以 11/01 23:34