作者SheenaRingo0 (SheenaRingo)
看板Storage_Zone
標題[救援] 中勒索病毒有及時發現 想取出剩餘資料
時間Mon Oct 28 11:29:35 2019
昨天電腦中了勒索病毒
但是這個駭客不知道是沒寫好還是怎樣
電腦左上方馬上就跑出一個視窗開始跑俄文的程式
所以我察覺有異之後已經發現桌面還有很多軟體都被加密了
https://i.imgur.com/2bzAYBK.jpg
馬上拍個照關機
查了一下病毒種類跟駭客郵箱是上面這個
系統碟（SSD）的東西我已經不奢求可以救回
但是我最近一年的攝影作品都放在另一個HDD裡
最近都沒備份...以後不敢了
關電腦前還打開E槽看一下照片似乎還沒被加密
現在主機是斷網關機的狀態
一開機就會持續加密
想知道這種情況如果我只想把還未加密的資料備份出來
應該要找誰求助？
我目前的想法是單純取出未加密的資料應該不會太高難度吧？
想說直接找救援公司但是看了一下價目表6000起跳且通常都要萬，對窮學生來說有點貴
不知道一般的電腦維修能幫我安全解決嗎？
如果有台北市推薦的店家那就更感謝各位了！
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.164.1.139 (臺灣)
※ 文章網址: https://webptt.com/m.aspx?n=bbs/Storage_Zone/M.1572233377.A.697.html
1F：推 KyA : 那顆HDD先硬碟對拷，再用PE進去看檔案狀態跟備份10/28 11:34
但是我不確定HDD會不會也被植入病毒了耶
這樣會不會只是讓另一顆碟一起中毒？
想請問勒索病毒都是要聯網才能進行加密嗎？
我是否可以斷網開機進行備份？
※ 編輯: SheenaRingo0 (1.164.1.139 臺灣), 10/28/2019 11:41:16
※ 編輯: SheenaRingo0 (1.164.1.139 臺灣), 10/28/2019 11:42:05
2F：推 cid7 : 就是不知有無中毒，1樓大大才建議raw copy，再用PE10/28 12:08
3F：推 horng31208 : 中毒的系統被寫入惡意程式碼已經沒救了，請勿用該硬10/28 12:13
4F：→ horng31208 : 碟開機，請用未感染的系統去接中毒的硬碟救援10/28 12:13
請問我用未感染的系統去接硬碟有沒有可能讓這台原本沒感染的系統一起下去...
還是病毒只會在系統碟？
※ 編輯: SheenaRingo0 (223.137.185.151 臺灣), 10/28/2019 12:16:28
5F：推 etrogpx : linux live cd 去 copy10/28 12:17
6F：推 chang0206 : 推樓上10/28 13:00
7F：推 PatlaborGao : 這狀況找救援不如乖乖付錢 凹自己是窮學生討個折扣10/28 14:01
8F：推 sma1033 : 用ubuntu live CD開機去讀檔應該是沒問題才對10/28 14:03
9F：→ sma1033 : 沒怎麼看過同時在linux跟windows都可以發作的病毒10/28 14:04
10F：→ tomsawyer : 有R 病毒在hdd的firmware裡 不過現在不會有10/28 14:12
11F：→ tomsawyer : 單純取出很簡單 不用到救援10/28 14:13
12F：推 leftless : 就算HDD裡有病毒 放到新系統裡沒其他程式去執行它 10/28 14:16
13F：→ leftless : 它也不會動吧 10/28 14:16
14F：→ Kennyq : 系統format重灌就好啦！灌好看cpu有沒有異常使用率10/28 15:29
15F：→ Kennyq : 沒有就開始備份資料10/28 15:30
16F：→ Kennyq : 又不是硬碟掛了，何必花上萬救援？10/28 15:33
17F：推 waakye : 如果連live cd usb都不會用還是乖乖花錢好了10/28 17:37
18F：推 sppmg : Linux live +1真不會用花個1000請人也比救援便宜10/28 19:09
19F：→ mirc : 去買你D槽的硬碟外接盒，再不行把硬碟拿去商店配外10/28 20:03
20F：→ mirc : 接盒，找個朋友接他電腦做個備份，再去搞你的舊電腦10/28 20:04
21F：→ mirc : 如果已經被加密，送救援也只是碰運氣。但是機會不高 10/28 20:06
22F：→ eqhibiki : 根據公司的經驗，可以跟對方殺價 10/28 20:53
23F：→ chris1281 : 用linux開機，然後去撈資料 10/28 21:15
24F：→ chris1281 : 前陣子用linux撈回一顆快壞掉的硬碟資料 10/28 21:16
25F：推 p520888 : 為啥會中病毒R10/28 21:27
26F：推 Lemming : 想知道為何中+1 感覺蠻有用的:p10/28 21:33
27F：推 michael26 : 想知道+110/28 22:36
28F：推 rugalex : 中過勒索病毒+110/28 23:35
29F：推 AISC : 如果是win7就正常10/29 00:28
其實要我說原因我不敢保證
我是win7
昨天使用pcman combo內建的搜尋功能
搜下去的瞬間中毒
雖然也不能排除是病毒潛伏剛好觸發
但上網查的確有提到kkman之類的ptt軟體
裡面瀏覽器是內建舊版ie，有漏洞會中毒
所以我覺得機會很大就是pcmancombo
※ 編輯: SheenaRingo0 (118.160.164.46 臺灣), 10/29/2019 01:44:19
30F：推 wtfconk : 好在很久沒用桌機看PTT了… 10/29 09:48
31F：推 DayFly0515 : pcman用的是舊ie核心 開網頁彈出廣告想點掉就中了 10/29 10:16
32F：→ DayFly0515 : 要嘛就是進pcman設定改http(s)連結用chrome開啟 10/29 10:17
33F：→ DayFly0515 : 要嘛就是不要直接搜、點連結，複製貼到chrome去跑 10/29 10:18
34F：推 DayFly0515 : 要救就是如1樓所言 會怕就搞一台不重要或新的電腦 10/29 10:22
35F：推 horng31208 : 以後除玩遊戲付費軟體外，都開沙盒如VBOX用，保證安 10/29 11:25
36F：→ horng31208 : 全 10/29 11:25
37F：推 nissptt : 沙盒真的百分百安全嗎???? 10/29 11:39
38F：→ pepsilee : 安全是相對的，有誰敢保證100%安全 10/29 12:38
39F：推 xvid : 虛擬機器和沙盒都沒保證啦 開虛擬機器也吃資源 10/29 12:50
40F：→ xvid : Guess OS除非用免費系統 不然也要多買授權 10/29 12:51
41F：推 z22771187 : 我的pcman lite點開網頁都會使用我的火狐 10/29 13:41
42F：→ z22771187 : 所以combo是包含瀏覽器的版本? 10/29 13:42
43F：推 michael26 : 原來如此，感謝告知可能原因10/29 14:13
44F：推 qunxiang : 感謝經驗分享，立馬把PCMAN改了連結設定10/29 16:32
45F：推 IOU9527 : 現在電腦都用FF直接開 term.ptt.cc 了，PCMAN很少用10/29 20:47
46F：推 Lemming : 是什麼網站啊 某些縮網址是真的擋過 PTT常看到那個10/29 20:55
47F：推 andy199113 : Win7有更新嗎? SMB有關閉?10/29 21:18
48F：→ SheenaRingo0: 更新和SMB我都不確定當時狀況了 總之大家儘量升級w10/30 01:16
49F：→ SheenaRingo0: in10和避免使用各種有漏洞的東西吧（ie flash之類10/30 01:16
50F：→ SheenaRingo0: 的10/30 01:16
51F：推 waggy : 建議你用pttchrome,或是裝ptt star10/30 11:46
52F：推 whatcanidoo : 我上次中是馬上關機 拔網路線 然後登安全模式 把病 10/30 13:19
53F：→ whatcanidoo : 毒刪除順便備份 就這麼簡單 10/30 13:19
54F：推 lolicat : 檔案被加密你送救援也沒用吧 10/30 18:15
原本是想說要請他們幫我救還沒被加密的檔案
後來問大家之後發現不需要請他們處理
55F：推 is1128 : chrome 直接裝外掛用網頁看不就好了 10/31 08:22
56F：→ is1128 : 太久不更新的軟體都不建議用了 10/31 08:22
※ 編輯: SheenaRingo0 (203.121.254.182 臺灣), 10/31/2019 13:01:53
57F：推 cka : 問題應該是在你的WIN7啦 PCman combo都公開程式碼了 10/31 18:30
58F：→ cka : 最好的方法你就直接裝WIN10 10/31 18:30
59F：推 kaoru7568 : 只敢用純PCMAN，combo的瀏覽器調用IE，啥時被捅到都 11/01 23:33
60F：→ kaoru7568 : 不知道... 11/01 23:33
61F：→ kaoru7568 : 至於你的硬碟，建議請會弄的朋友幫忙處理，事後請頓 11/01 23:34
62F：→ kaoru7568 : 好料吧。看要用PE、linux live cd都可以 11/01 23:34