作者coord (那又怎樣)
看板AntiVirus
標題[問題] 中了Cryptowall
時間Mon Nov 16 11:51:42 2015
工作的電腦不幸中了，工作列出現兩次有檔案未燒錄，接著就是全桌面檔名.ccc，
這之前我只有開chrome搜尋圖片，開畫3D的軟體，
常駐的有QQ，SKYPE，一些3D軟體更新
檔案有備份到隨身硬碟不知道有沒有潛伏，目前關機準備買新SSD重灌，
回報一下災情，各位小心阿
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 182.235.97.114
※ 文章網址: https://webptt.com/m.aspx?n=bbs/AntiVirus/M.1447645905.A.258.html
1F：推 woow1225: 幫QQ 但是為什麼要買SSD 11/16 12:14
2F：推 chang0206: 只有「搜尋」，沒有點進去網站看？ 11/16 12:15
3F：→ coord: 不確定，我是搜尋腳踝角度相關資料，等我再開再來回報 11/16 12:45
4F：推 Lukesky: 作業系統是? 11/16 12:53
5F：→ coord: win7 小紅傘免費板 各項更新應該只有java比較不新 11/16 13:04
6F：→ cys070: 都有更新還是中，UAC沒開對吧..... 11/16 13:07
8F：→ brianuser: UAC沒有用，大部分樣本連直接執行都不會攔了 11/16 13:26
10F：→ a5091300: 樓上可以給一下樣本嗎？虛擬機研究一下。謝謝！ 11/16 14:02
11F：→ brianuser: 自己找，中國的卡飯樣本區第一頁就有 11/16 14:18
12F：推 APM99: 感覺好好玩 來抓抓看 11/16 16:32
更新一下，買好SSD想說來一睹勒索畫面，開機一樣繼續閃有檔案要燒錄，
JAVA的更新提醒還在左下角亮著，不過為時已晚，
照他的網頁做，確定是中Cryptowall，要500USD，
開chrome紀錄還在，我先是找博碩士論文網，之後是在google圖片點開幾個，
連外的xuite日誌，維基百科，山姆伯伯工作坊，
medical-dictionary.thefreedictionary.com <- 我懷疑就是他了!
再之後是樂器網站drummerworld，樂器品牌TAMA
我買SSD是想說重灌剛好趁機會換SSD拉，哈哈
※ 編輯: coord (182.235.97.114), 11/16/2015 19:19:48
13F：推 b24333666: 樓下點 11/16 19:40
14F：→ sam613: 應該不是medical那個...不過java沒更新超危險 11/16 20:15
15F：推 yangway: 借串問一下 禮拜六下午用IE更新JAVA 禮拜天早上起來發現 11/16 20:38
16F：→ yangway: 很多檔案都變成.ccc 把一堆recovery_html 跟txt 跟.ccc刪 11/16 20:38
17F：→ yangway: 光後 目前預計用隨身硬碟先把存活的檔案備份到筆電內，想 11/16 20:39
18F：→ yangway: 問如何檢測電腦內還有殘留的病毒與否? 11/16 20:39
19F：推 xul327: 聽說是抓不到 病毒在斷網或重開機就消滅了 小弟也中 試了 11/16 21:04
20F：→ xul327: 4種掃毒軟體 都掃不出病毒。目前把中的檔案都刪了 11/16 21:04
21F：推 masterliy: 你可能是第一位有備份的版友 11/16 21:33
23F：推 hwcox: 請問瀏覽器有裝adblock之類的擋廣告擴充嗎? 11/16 22:02
24F：→ hwcox: 擋掉一些不知名廣告, 不知道能不能降低一些風險... 11/16 22:03
25F：→ hwcox: 原po所舉的網址是自己點的,還是彈跳出來的網站? 11/16 22:05
26F：→ jjdean: 上次找到的crypt0l0cker上傳virustotal還掃不出來，隔天 11/16 23:46
27F：→ jjdean: 才陸陸續續的找到.. 11/16 23:48
28F：推 coyoteY: 愈來愈可怕...根本不知怎麼中..中了只有全砍一途..抖 11/17 03:10
29F：推 chang0206: 可能需要不只一天的紀錄 通通匯出來找勇士來看？ XD 11/17 10:56
30F：推 kenick: 一般使用者 java到底用不用得到 最近看這麼多人中 11/17 11:10
31F：→ kenick: 這病毒 我都想直接看砍掉java..... 11/17 11:11
32F：推 Norther: 正想裝個防毒軟體 看來還是算了XD 11/17 11:23
33F：推 idunhav1: 請問大家沙盒都裝那一版? 11/17 13:07
34F：推 chang0206: 沙盒有隔離功能就好 需要計較哪一版？ 11/17 15:07
35F：推 wayne7388: 我的sandboxie打不開firefox Orz 11/17 16:08
36F：→ Cubelia: Sandboxie 11/17 16:26
37F：推 markvend: 最近天天都有人中 有點斗 我也來備分~ 11/17 18:03
38F：推 markvend: 更新反被更新誤 防毒反被防毒誤? @O@ 11/17 18:07
39F：→ a5091300: Sandboxie 3.x版有漏洞證實可以Bypass影響系統 灌最新版 11/17 20:44
40F：→ a5091300: 吧！ 11/17 20:44
41F：→ Cubelia: 不過說到底還是做離線備份最重要 11/17 22:50
42F：推 doom3: chrome還能被繞過喔... 11/18 05:55
43F：→ louis925: 對啊，重點是用了Chrome還是中耶 11/18 08:48
44F：→ louis925: 是不是回報給Google一下，右上角的三條線點>幫助>回報 11/18 08:50
45F：推 chang0206: 為啥會認為CHROME不會中？ 11/18 14:53
46F：→ louis925: Chrome自己說很安全的 11/18 17:06
47F：→ squrar: 在管理者環境下 以guest權限啟動chrome 這樣病毒取得的 11/18 17:17
48F：→ squrar: 權限是管理者 還是用chrome漏洞啟動的guest權限 11/18 17:18
49F：→ squrar: 如果權限不一樣的話是否就可以防止取得管理者權限改寫檔案 11/18 17:19
50F：→ blackwindy: 你用guest 應該打不開chrome 總是要些權限去存取dll 11/18 21:02
51F：→ blackwindy: chrome很早就被針對了 被繞過一點都不意外 11/18 21:03
52F：→ blackwindy: 特別是掛java那更好繞 畢竟跳到java去 chrome管不到 11/18 21:04
53F：推 asd2260123: 真可怕 先調UAC好了 11/19 18:32
54F：推 srx080578: 好像之前有人說調UAC也沒用 11/19 22:18
55F：→ TobyH4cker: 有讀寫權限的話沒UAC也可以加密唷 11/27 12:43
56F：→ TobyH4cker: 有 11/27 12:44