作者brianuser (產業廢棄物)
看板AntiVirus
標題[閒聊] 勒索軟體新成員 Petya 登場
時間Sat Mar 26 14:17:49 2016
G DATA BLOG:
https://goo.gl/ze447Q
在卡飯看到的。
跟以前一些 WinLocker 不一樣，那些勒索是：開機還是能開機，
但進去 Windows 之後會鎖住你的操作，簡單利用一些工具就能解開，
大不了重灌反正檔案還是能撈得出來。
但是 Petya 更賤，它會
寫入 MBR 讓電腦當機之後，
重新啟動不會進去 Windows 而是顯示一個
假的磁碟掃描程式，
假裝在掃描其實是在加密，硬碟整顆鎖起來不給你用。
之後會秀一個可怕的紅色骷髏頭閃閃閃，跟你說該付錢囉。
就算拔到其他電腦也看不到檔案。
建議中獎之後
(怎麼知道中獎？啊災)不要馬上重新啟動電腦，
因為一重開看到那個假掃描開始加密就麻煩了。
Windows 光碟開機用 bootrec /fixmbr 把
MBR 修復就沒事了。
看討論區有人說對 GPT 分割沒效。
樣本本身 UAC 會擋下，雖然威力很強但這個應該比較不會流行。
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.172.208.205
※ 文章網址: https://webptt.com/m.aspx?n=bbs/AntiVirus/M.1458973071.A.D04.html
1F：推 BITMajo: 唉，進入大勒索時代了 03/26 14:26
2F：推 abram: 不知道MBR轉為GPT有沒有副作用 03/26 14:48
※ 編輯: brianuser (1.172.208.205), 03/26/2016 16:14:01
3F：→ brianuser: 我把Windows自動修復的LOG看成是勒索軟體留下的了 囧 03/26 16:15
4F：→ yehmd: 哇……… 03/26 17:06
5F：推 Angrierb: 這跟現在的Crypt系列有什麼差別嗎？ 03/27 00:44
6F：→ Cubelia: 會不會鎖檔案-會 會不要要求贖金-會 03/27 01:46
7F：→ Cubelia: 會不會讓使用者感到恐懼-絕對會 03/27 01:46
8F：→ estupid: 驚嚇指數100 03/27 02:58
9F：→ abram: 跟現在Crypt系列差別? 就是加密整顆硬碟的概念 非檔案而已 03/27 08:50
10F：推 eyeonme: 差別喔 Crypt系最多不要檔案 電腦可以繼續用 03/27 12:24
11F：→ eyeonme: 甚至有機會救回 (如果中的是已經破解的版本 03/27 12:26
12F：→ eyeonme: Petya中了就付錢or重灌吧 目前無解 03/27 12:27
13F：推 wuliou: 越來越機車了 03/27 14:42
14F：→ skychy: 不過這種重開機才開始加密的作法，代表加密金鑰應該還在電 03/27 14:52
15F：→ skychy: 腦裡吧？反而是相對容易找出對策的樣子 03/27 14:53
16F：推 jackyT: 相對容易找對策+這種漏洞難找=想出來的沒用腦 03/27 17:25
17F：推 hirokofan: 一般狀態下應該沒辦法動到MBR吧，再笨的防毒應該都會攔 03/28 08:19
18F：→ brianuser: 這種單一行為智慧型的主防反而不太會攔的樣子，BD GD 03/28 08:28
19F：→ brianuser: SEP AVG 似乎都掛掉 03/28 08:29
※ 編輯: brianuser (1.172.213.105), 03/28/2016 08:31:09
20F：推 abram: 瀏覽器用沙盒 應該就不會被動到MBR了吧 是嗎？ 03/28 08:31
21F：→ brianuser: 沙盒裡面跑沒事，除非你的沙盒有問題 03/28 08:31
22F：推 abram: 那就放心了 謝謝啦！ 03/28 08:32
23F：推 mathrew: 整顆加密反而要不到錢 一般user會以為電腦壞掉 04/02 10:25
24F：→ mathrew: 賺到的會是電腦店老闆 04/02 10:26
25F：推 mathrew: 而且這種做法 要怎麼付錢? 沒網路啊 04/02 10:28
26F：→ mathrew: 用別台或ibon 輸入 code 嗎? 04/02 10:29