請問一個勒索病毒的中毒後的掃毒觀念 (第2頁)

fallagent

fallagent
個人積分：76分
文章編號：59909205

76分

樓主

2016-04-19 14:31

smash15 wrote:
觀念大錯特錯! 勒...(恕刪)

請問一下中毒之後，硬碟的檔案也被加密了，假如一直有用USB外接硬碟作整機備份
我將系統回復到沒有被加密的時候，不再去點那個網頁
這樣是否系統就是乾淨的?

leanmyself

leanmyself
個人積分：0分
文章編號：59909324

0分

12樓

2016-04-19 14:40

如果自己先將重要檔案加密
惡意程式即無法再次執行加密動作
是否可避免重要檔案毀損

l6632154j

l6632154j
個人積分：3408分
文章編號：59909524

3408分

13樓

2016-04-19 14:55

fallagent wrote:
請問一下中毒之後...(恕刪)

如果你的外接硬碟平常沒有插在電腦上的話.....也許可以(因為不確定你上次備份時，加密程式是不是已經滲透進電腦了)
(基本上當你知道他的存在(已經加密完跟你要錢)時，他已經不知道在你的電腦裡潛伏多久了(畢竟要把資料都加密，也是要不少時間的)
如果你平常就插著的話...哪就是一起被加密了

PHIL Hou

PHIL Hou
個人積分：97分
文章編號：59910183

97分

14樓

2016-04-19 15:45

leanmyself wrote:
如果自己先將重要檔案加密
惡意程式即無法再次執行加密動作
是否可避免重要檔案毀損...(恕刪)

勒索病毒是看副檔名，你這樣會變成雙重加密啊，除非你的加密格式病毒不認識...

chunchih

chunchih
個人積分：350分
文章編號：59910466

350分

15樓

2016-04-19 16:05

如果你很在乎安全，可以嘗試用沙盒方式去上網。
在Win XP 年代就有sandboxIE （支援到win 8.1)
chrome/Firefox 也有內建沙盒方式(隱私)瀏覽，如果還不放心，加上防毒軟體的沙盒上網吧！

可參考：
https://www.avast.com/zh-tw/f-sandbox

fallagent

fallagent
個人積分：76分
文章編號：59910589

76分

樓主

2016-04-19 16:13

l6632154j wrote:
(基本上當你知道他的存在(已經加密完跟你要錢)時，他已經不知道在你的電腦裡潛伏多久了(畢竟要把資料都加密，也是要不少時間的)

根據您的敘述

假如加密程式已經滲透到我的電腦，但是還沒有開始加密檔案

A.若我是用GHOST之類的方式每日做備份，那回復後應該是還是會發作。

B.若我是用檔案備份將所有檔案FTP傳到遠端，那重灌系統後，把備份的檔案都複製回乾淨的電腦，備份的中間就算有備份到滲透進來的加密程式也無所謂，只要沒有去執行，是不會發作的。

不知道這樣是不是對的

fallagent

fallagent
個人積分：76分
文章編號：59910634

76分

樓主

2016-04-19 16:16

chunchih wrote:
如果你很在乎安全，可以嘗試用沙盒方式去上網。
在Win XP 年代就有sandboxIE （支援到win 8.1)
chrome/Firefox 也有內建沙盒方式(隱私)瀏覽，如果還不放心，加上防毒軟體的沙盒上網吧！
可參考：
https://www.avast.com/zh-tw/f-sandbox

其實我在意的是有效的備份和還原

USER中毒是他該死
但是做了備份，卻無法正常還原或是還原成有毒的，那可就是我該死了

chunchih

chunchih
個人積分：350分
文章編號：59910872

350分

18樓

2016-04-19 16:32

請問一下中毒之後，硬碟的檔案也被加密了，假如一直有用USB外接硬碟作整機備份
我將系統回復到沒有被加密的時候，不再去點那個網頁
這樣是否系統就是乾淨的?

用windows系統還原，OS系統部份應該是有可能回復到未點到加密程式前(還原是針對Driver等系統檔案及設定)。但是已被加密的data檔案無法回復(document 不會去動)。

fallagent wrote:
其實我在意的是有效的...(恕刪)

是！有效的備份與還原是重點，那就看備份策略怎麼定義與執行檢驗動作。
要看你GHOST 備份是幾套循環複寫。還有你發現的時間點.
遠端如果沒有被加密程式找到當然就不會被加密。

fallagent

fallagent
個人積分：76分
文章編號：59911883

76分

樓主

2016-04-19 17:43

chunchih wrote:
用windows系統還原，OS系統部份應該是有可能回復到未點到加密程式前

所以您認為我第一樓發文的中毒步驟，1和2是同時(連續)發生的，也就是點了不當網站或是開啟有毒的EMAIL附檔時便完成加密程式的下載(或就是同一個程式)與排程執行了

chunchih wrote:
是！有效的備份與還原是重點，那就看備份策略怎麼定義與執行檢驗動作。

請問假如第一個被加密的檔案出現在 2016/04/19 15:00

系統OS復原到 2016/04/18 11:59 所建立的備份(假設每天1159和2359作系統snapshot)
復原後將需要的資料複製到乾淨的磁碟
重灌系統
將資料回復

這樣是不是已經可以放心?

quantumm

quantumm
個人積分：21分
文章編號：59911986

21分

20樓

2016-04-19 17:53

fallagent wrote:
所以這種惡意的加密...(恕刪)

我覺得這個理解是對的，一個備份外接硬碟，既使裡面有木馬程式，
當接上一個乾淨無毒的系統，只要不"主動"去執行這木馬程式（排除autorun），那就沒事。