作者tim2795 (楓糖家)
看板AntiVirus
標題Re: [求救] .crypt 綁架...
時間Fri Apr 22 08:45:01 2016
T____T 我好像也中毒了
一早上班 打開電腦 風雲變色
http://imgur.com/a/Ama5k
急撥鼎新客服來解決…等待中…
請問大家，除了付贖金外，資料真的救不回來嗎?
我的電腦全部都是歷史資料= = 好討厭!
也是每個資料夾都出現 de_crypt_readme (如下圖)
http://imgur.com/Pv5pef1
暈倒…
也太倒楣了吧 我也完全不曉得我按到什麼了
公司的電腦我也沒有亂開網頁，只用來上上fb而以 囧 怎會這樣
※ 引述《ckt1 (ckts)》之銘言：
: 本人也中了相同病毒
: 不過意外發現
: 此病毒會自動繞過 temp 資料夾
: D、E硬碟 皆設有 temp 資料夾 用來存放公務資料
: 連同子資料夾 都沒有被攻擊
: 分享情報給各位參考
: #補充:各碟 Program Files 資料夾 也發現繞過情形!!
: ※ 引述《tangent25 (Tan)》之銘言：
: : 1. 敘述問題：
: : 檔案被綁架…都被加上.crypt的副檔名
: : http://imgur.com/CSZtaD0
: : 2. 系統資料：
: : win10 + avast
: : 3. 分析報告：
: : Combofix報告：
: : 不支援 win 10...
: : Hijackthis ：
: : 不支援 win 10...
: : SRENG ：
: : Not Found(檔案不見了…)
: : 防毒軟體報告：
: : http://imgur.com/oQogeQs
: : 請各位版上的大大幫忙…thanks
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 211.75.191.30
※ 文章網址: https://webptt.com/m.aspx?n=bbs/AntiVirus/M.1461285903.A.D32.html
1F：推 abram: 提醒大家再備份的時間到了 04/22 08:48
3F：推 chang0206: 通常說沒有亂開網頁的 調歷史紀錄來看 都會很精彩... 04/22 10:27
4F：→ chang0206: 因為根本不覺得自己開的那些網頁會有問題.. 04/22 10:28
5F：→ chang0206: 然後如果你的電腦都是需要保存的「歷史」資料 04/22 10:28
6F：→ chang0206: 你卻完全沒有備份的觀念？ 04/22 10:28
7F：→ chang0206: 只知道問一些一再被重複的問題？ 04/22 10:29
8F：推 abram: 哈算了 他也吃到苦頭了 這個勒索軟體應該是Chimera 04/22 10:30
9F：→ abram: 好消息是Panda好像有研發出解密程式，詳見： 04/22 10:30
11F：→ abram: 或搜尋Panda Ransomware Decrypt 04/22 10:32
12F：推 eva05s: 每個中獎的人講的話都差不多（笑 04/22 10:37
13F：推 estupid: Js porn pop 色情網站廣告 04/22 11:53
14F：推 estupid: 原來是上一篇的= = 04/22 12:26
15F：→ HELLDIVER: 我敢保證你絕對有亂開網頁 04/22 12:57
16F：推 blackwindy: 所以這個是有裝ESET還是中獎? 04/22 17:12
17F：→ sheilarea200: 真的 每個中的人 台詞都差不多 XDDDDDDDDDDD 04/22 19:21
對啊 電腦有裝ESET NOD32 還是中毒 囧 (防毒有付費買授權唷)
呃…因為我進公司八年 電腦從來沒有中過毒 所以就懶得備份了
通常公司的電腦我只用來上FB跟LINE 中午休息也會上一下PTT
因為進公司八年來 一直都這麼用電腦 過去也都沒事 所以我不覺得我有亂開網頁
雖然都是歷史資料 但我也懶得救資料了 @@
有些資料已經有建置在ERP了 也有要求鼎新重灌時OUTLOOK的資料要保留
我發現OUTLOOK沒有遭到感染 所以有些資料可以從OUTLOOK找回
部分救不回來的文件 就只好之後自己再重新建立了
主要只是想抱怨 寫病毒的人真的很無恥 怎麼可以這樣 太過份了
※ 編輯: tim2795 (27.247.103.17), 04/22/2016 20:10:39
18F：推 mathrew: 推3F，一天到晚幫客戶處理這種事情 04/22 22:05
19F：→ mathrew: 還有 user 自己釋放垃圾郵件，打開附件解壓縮點 .js 04/22 22:06
20F：→ mathrew: 然後跟我們靠腰說，為什麼是寄給我的 我不能打開..... 04/22 22:06
21F：→ mathrew: 又是一個 我有買防毒為什麼還會中......... 04/22 22:08
22F：→ Decill: 話說我從來不相信什麼防毒軟體的 誤判 沒判到的一大堆XD 04/23 00:39
23F：推 masterliy: 我各大porn入口網幾乎每天逛，到現在都沒中獎過，提醒 04/23 00:40
24F：→ masterliy: 原po，不管做什麼用途，資料都要異地備份，硬碟也有壞 04/23 00:40
25F：→ masterliy: 的一天啊 04/23 00:40
26F：推 sagesatan: 前幾天家裡電腦也中cerber,還是不想灌防毒,防毒軟體只 04/23 11:00
27F：→ sagesatan: 防的了小病小毒,對於厲害的大毒都嘛後知後覺 04/23 11:00
28F：推 fireflyyen: 提供最近的經驗，w8.1電腦連上網路 首頁為MS 只單純接 04/23 14:26
29F：→ fireflyyen: 上後，開啟首頁，沒多久出現某某網站要求下載檔案 04/23 14:26
30F：→ fireflyyen: 檔案為一連串的亂碼結尾為.js 04/23 14:27
31F：→ fireflyyen: 我不知道是首頁被值入還是客戶電腦本身問題 04/23 14:28
32F：→ fireflyyen: 只能推廣大家平時都要做備份... 04/23 14:28
33F：→ tim2795: 我好像也有出現跟樓上一樣的狀況耶…fireflyyen 04/23 19:18
34F：→ tim2795: 有跳出一個程式說要更新我的電腦 我就按是 @@ 04/23 19:19
35F：→ tim2795: 然後就變成這樣了 04/23 19:19
36F：→ go1717: 你應該有點到關鍵字：是.執行.yes.你中了iPhone等 04/23 19:48
37F：推 aria0520: 你按是......... 04/24 02:49
38F：推 skychy: 你的年資在這個事件中一點意義也沒有，8年來也是最近才開 04/24 11:44
39F：→ skychy: 使出現網路勒索病毒。 反倒是"過去怎麼樣都沒事"的心態， 04/24 11:45
40F：→ skychy: 會讓自己變成下一個惡意軟體鎖定的目標啊!! 04/24 11:45
41F：→ fish0112: 按是不冤枉了 按右上角X還中獎比較慘 04/24 15:52
42F：→ sheilarea200: 是 XDDDDDDDDDDDD 04/24 16:50
43F：推 aria0520: 有句話說得好 不作死 就不會死 04/24 17:44
44F：→ aria0520: 按了個"是"還這麼晚說 害板友分析半天 04/24 17:45
45F：→ chancewen: 你對資料在乎的話，做好異地備份才有用 04/24 20:35
46F：→ iampcuser: 公司最近進了幾台win8.1的 開首頁msn 沒說要下載啥阿 04/24 20:37
47F：→ iampcuser: 有沒有當時的照片可參考? 04/24 20:40
按是很奇怪嗎 @@?
我以為是電腦會自動版本更新 所以才按 是
有時候電腦不是都會自動跳出訊息 @@
※ 編輯: tim2795 (27.245.134.128), 04/24/2016 21:02:43
48F：→ iampcuser: 我是說fire大不是說某網站要求下載檔案 有沒印象是哪個 04/24 21:14
我的印象很模糊@@ 好像是一打開ie 會有windows資訊的網頁
不太確定叫什麼
49F：→ DevilJJ: 每個訊息都要仔細看啊 .... 04/24 21:43
因為自己太懶惰了
50F：→ DevilJJ: 我以前用某虛擬光驅 一直按確定 結果中惡意軟體XD 04/24 21:44
51F：→ eva05s: 跳訊息也是要看的啊.... 04/24 22:44
52F：→ Argent: 虛擬光驅八成是指daemon tool吧 04/24 23:33
53F：推 mathrew: 你以為？ 所以你在外面看合約都不用看內容的，別人叫你 04/25 07:00
54F：→ mathrew: 簽你就簽 是這樣嗎？ 04/25 07:00
看合約當然會仔細看 可是對於電腦更新真的沒什麼警覺心
55F：推 SSglamr: 你按是 就無解 自己讓綁架程式進來 防毒也無解 04/25 08:50
56F：→ SSglamr: 用FB也會開到其他網頁啊 用什麼瀏覽器Flash有無更新 04/25 08:50
57F：→ SSglamr: 尤其現在變種的超多 途逕難抓 04/25 08:51
58F：推 chang0206: 所以過去「八年來」 你都是這樣看都不看就按「是」？ 04/25 11:59
以前xp版本 好像比較不會跳出自動更新的程式
最近的電腦 常常會自己跳出要幫你更新flash版本 或是java等等
所以就沒仔細注意
59F：推 purplvampire: 為什麼不備份？ 04/25 18:50
因為懶惰…
總之，我的電腦主機已重灌好了 謝謝大家關心
我唯一比較困擾的是
我電腦裡的考勤系統也重毒了 重新建置要1500 這個月算薪資也要花費比較多時間
不過還好outlook沒中毒
因為我主管在外縣市 常用outlook email互通資料
好多資料都可以從outlook救回來 不幸中的大幸
感謝：)
從經驗記取教訓 @@
※ 編輯: tim2795 (27.245.22.150), 04/26/2016 20:45:10
60F：推 chang0206: 記取教訓.....所以你備份了嗎？ 04/27 10:29
= =才剛重灌好 是要備份什麼啊 囧
我這幾天一直從outlook撈資料
很奇怪的是 重灌後 我的outlook郵件 以前明明已經看過的 又變成未讀信件8、9千封
真的就是不幸中的大幸 (科科科)
很多資料都從outlook救回來了，老天爺果然對我很好
天無絕人之路 XDDD
所以大家說不定也可以把outlook當備份空間呢
61F：推 TCdogmeat: 怎麼砲火這麼猛烈... 04/27 11:06
62F：推 fireflyyen: 當下沒有拍照，不過有記得是 04/27 12:12
63F：→ fireflyyen: 你要開啟或儲存來自 www.________.com 的 一連串英文 04/27 12:12
64F：→ fireflyyen: 亂碼.js (2x kb) 嗎? 當時網頁是msn首頁 04/27 12:12
65F：→ fireflyyen: 那時候我只有接上網路後開起IE後就沒管他 忙到一段落 04/27 12:13
66F：→ fireflyyen: 才發現最底下有要求我下載東西 可是看到.js就馬上斷網 04/27 12:13
67F：→ fireflyyen: 後，之後再測試就沒出現了 04/27 12:13
68F：→ fireflyyen: ____是不記得啥網址了，只是網址名稱很詭異也沒記起來 04/27 12:14
※ 編輯: tim2795 (39.9.198.147), 04/27/2016 19:26:07
69F：推 Akaski: 把Outlook當備份空間......如果你們公司是自己架信箱 04/28 07:48
70F：→ Akaski: 網管會恨死你 04/28 07:48
71F：→ Akaski: 你都想到可以把資料丟到Outlook為甚麼不直接用免空就好呢 04/28 07:50
不是刻意把outlook當備份空間 完全是誤打誤撞 所以才說自己很幸運
公司不是自己架信箱 而是用hibox 每個帳號有2G的容量
雖然要定期到hibox清理信箱 可是outlook的郵件都還是會保留
請問免空是什麼意思?
公司是有NAS，但自己的資料習慣存在自己的電腦 這樣會很奇怪嗎?
那我以後帶隨身碟存在隨身碟 應該也ok吧
※ 編輯: tim2795 (211.75.191.30), 04/28/2016 08:20:11
※ 編輯: tim2795 (211.75.191.30), 04/28/2016 08:21:36
72F：推 TokyoHeart: Dude，現在這種病毒真的無孔不入，各種包裝欺騙，下次 04/28 12:31
73F：→ TokyoHeart: 一定要驚覺啊 04/28 12:31
74F：→ louis925: 勒索病毒很多是開 PDF 檔中的，尤其是從郵件夾帶進來的 04/28 14:18
75F：推 hera000: 我也遇到crypt綁架 QAQ 想請問前大大們 中毒後還會擴散去 04/28 23:22
76F：→ hera000: 影響其他文件嗎？如果刪文件後一定要電腦重灌嗎？ 04/28 23:22
77F：推 chang0206: 你的備份觀念有問題 不是把資料放在隨身碟就叫備份 05/03 10:16
78F：→ chang0206: 另外，hera你問的問題 大概被問了第一百遍了吧... 05/03 10:17
79F：→ chang0206: 剛重灌就不用備份？那你從outlook救回的檔案呢？ 05/03 10:17
80F：→ chang0206: 「反正OUTLOOK可以叫回來，幹嘛另外備份？」 05/03 10:17
我從outlook救回來的檔案 在我的電腦裡啊
下次我再請教鼎新工程師 要怎麼備份好了
不過outlook真的很方便就是
※ 編輯: tim2795 (39.13.145.129), 05/04/2016 20:09:16