作者fucc214 (越嚼越香)
看板AntiVirus
標題[心得] CERBER中毒處理經過
時間Mon Aug 1 18:44:57 2016
本篇對剛中病毒的人有參考價值，但對已經被加密的檔案無法提供幫助，先予說明。
發生原因:
點到廣告後連接到掛馬網頁(原本用CHROME開不了，後用IE開啟就中)
事中處理:
剛中CERBER，CPU使用率會飆高，中途會出現兩個CMD視窗，馬上開啟工作管理員查看CPU使用
率最高的程式，按右鍵進入病毒所在資料夾，用解鎖程式刪除(我用的是IOBIT UNLOCKER)
CERBER在我的電腦程式名稱為FC.exe，刪除之後就正常另外，用強制中止程序是沒用的
而且它會自動加入啟動項，下次開機他還是會自動運作，一定要確實刪除運作的檔案。
事後分析:
因為檔案都有備份，所以傷害對我而言並不大，所以我把所有加密的檔案通通刪除，因為
看了也礙眼(我是用EVERYTHING把所有.CERBER檔案刪除)
以下也是經過EVERYTHING分析結果
大概短短五分鐘就有5GB左右的檔案被加密，以JPG、RAR、TXT、PDF為主，但不以此為限
只要不會妨礙系統運作的檔案都是下手的目標，我磁碟有分成三區，它會三區掃描完後開
始同步加密。根據統計，在C槽(作業系統，也是病毒所在位置)它會從執行路徑附近資料
夾開始亂槍打鳥隨意加密，因為C槽是病毒所在，所以可能也造成被加密數量最多。
其次是放資料的D跟E，在這兩個磁區的攻擊模式(同步選擇1.資料夾容量最大跟內含檔案
數目最多 2.資料夾名稱排序在首位) 另外他會優先加密圖片檔(JPG、PNG)，再來是TXT跟
RAR，而PDF這次只有兩個被加密，再來是微軟檔案一個也沒被加密讓我覺得有點奇怪。
預防措施:
聽說防毒現在可以掃到，不過那也是因為發生之後，病毒行為模式被解讀之後的事，所以
我們需要一個資料夾監控程式名叫directory monitor，它可以偵測資料夾或檔案的一切
變更行為，一但有變更下方會馬上出現氣泡通知，如果你發現你電腦都沒在使用卻一直出
現變更通知 就要非常小心。至於directory monitor有一些設定技巧 GOOGLE上也都沒有
較詳細說明，留待日後有時間會分享設定心得。
以上僅供參考!
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 118.233.69.145
※ 文章網址: https://webptt.com/m.aspx?n=bbs/AntiVirus/M.1470048299.A.EED.html
1F：→ Oudie: 請問CPU的型號、RAM的大小和硬碟是傳統HD還是SSD? 08/02 08:35
2F：→ fucc214: 我用AMD APU筆電 RAM8G 硬碟兩顆 SSD 60G + HITACHI 750G 08/02 14:28
3F：推 ben4918: 趨勢昨天有釋出可以解cerber類型的解密工具！正打算找樣 08/02 15:53
4F：→ ben4918: 本測試 08/02 15:53
5F：→ fucc214: 如果原檔案有備份的話 記得比對一下MD5值是否一樣 如果 08/03 10:44
6F：→ fucc214: 不一樣 我覺得還是怕怕的 不過可以確的是被感染過的電腦 08/03 10:47
7F：→ fucc214: CERBER那裏的伺服器似乎有記住IP 容易成為下一次攻擊的 08/03 10:48
8F：→ fucc214: 目標 需要特別注意 08/03 10:48
9F：→ Oudie: 請問被加密的5G是在750G的傳統硬碟上嗎？ 08/03 11:10
10F：→ fucc214: 都有因為SSD是系統槽 傳統硬碟我是當作資料槽 08/05 09:04
11F：推 nissptt: f大用心，教學文詳細，推。我四個月前在線檔案全中！已 08/05 11:17
12F：→ nissptt: 封存等解藥。 08/05 11:17
13F：→ fucc214: 還有一個程式我忘記說 叫SYSTEM EXPLORER 我把它常駐在 08/07 20:57
14F：→ fucc214: 右下狀態列 以便隨時注意CPU使用狀況 而且他還有一個很好 08/07 20:57
15F：→ fucc214: 用的功能 可以檢查處理程序的安全性 大家可試試 08/07 20:59