Re: [問題] 所有照片文件MP3的檔名多了.cryp1

[to5448 (羅賴巴)]

關於這次的病毒，目前我看到的情況：
1、會在功能表的“啟動“目錄，放置三個檔案 html、jpg、txt
   (所以每次開機時，都會自動跑出勒索訊息出來)
   看不到是正常的…因為是 隱藏

2、啟動目錄還會有個link，
   是連接到“C:\使用者\使用者名稱\AppData\Local\Temp“裡的一個dll檔，
   而且在這個目錄裡面還會出現“svchost.exe“ or “rundll32.exe“，
   感覺是用 dll檔+exe 去做加密
   (這個目錄會出現這二個exe 是一件很奇怪的事……

   附上奇怪的svchost.exe....
   http://imgur.com/5NDuVB6 左邊是正常的，右邊是有問題的

3、此次病毒還會自殺!因為我有看到 進來的檔案有 Erase xxx dll的字眼

4、不再是加密掛載的網路磁碟、網芳上共享的目錄，只要有寫入權限…都會加密

備註：
1、
目前我在“C:\使用者\使用者名稱\AppData\Local\Temp“ 目錄
加上二個空目錄 SVCHOST.EXE、RUNDLL32.EXE 看看會不會有用…
http://imgur.com/efrw7MM 有變種的話…就無用了…
目前的樣本數是WIN7 SP1
(我不希望還有………………


2、事先的宣導真的很重要，
因為有朋友看到勒索訊息時，問我是什麼。
立馬衝下去請他閃開，把電源拔掉(斷網是無用的..)
還好剛開始加密而已…用開機光碟片，還能找回90%的資料
(為什麼不接在另一台PC上面救資料呢…，因為我不想救二台= =
※ 編輯: to5448 (175.180.249.111), 06/04/2016 20:24:50
推 c720715c: 推這篇
推 kenick: 設空目錄也要更改權限吧? 設成EVERYONE 拒絕
推 mariin38: 請問設空目錄是要做什麼的？
→ to5448: 設空目錄的意思跟防USB隨身碟病毒一樣的意思
→ weichen5566: 記得將空目錄的資料夾設唯讀，但感覺照樣無效
推 aria0520: 空資料夾多兩行檢查Temp內是否已存在這兩個檔案
→ aria0520: 如果有就刪除 這防不了病毒的
→ pendoth: 因為右邊是你電腦原本系統下rundll32.exe複製後改名的，
→ pendoth: 校驗一下SHA就知道了。