→ trywish: 拔掉網路，如果小紅傘沒出現就表示都擋下來。如果有出現05/13 21:54
→ trywish: 就表示已經在電腦裡了。先把重要檔案搬離開吧。不過要更05/13 21:54
→ trywish: 安全還是重灌在更新到最新妥當。05/13 21:54
→ ptt0219: 先關機，再拔網路線。05/13 21:55
→ ptt0219: 從其他安全的電腦去下載更新檔，然後傳到隨身碟，再以手05/13 21:56
→ ptt0219: 動更新。05/13 21:56
→ aa1477888: mssecsvc.exe會想丟tasksche.exe 但是被小紅傘擋下來05/13 22:01
→ aa1477888: 所以加密應該還沒開始 看能不能讓紅傘自力清除05/13 22:02
→ aa1477888: 保險一點的作法 就是先把東西備份後整個重灌05/13 22:03
→ gwofeng: 小紅傘沒防火牆，所以才會出現mssecsvc05/13 22:16
→ gwofeng: 有防火牆的直接拒絕連線，不會出現mssecsvc05/13 22:17
→ goton: 結果檔案還是被改了一部分05/13 22:38
→ goton: C. EF全毀. D槽還沒 只能把D槽還沒備份的照片備份了05/13 22:39
→ trywish: 時間差還是怪怪的，你檢查時候還沒有，應該就拔網路線了05/13 22:45
→ trywish: 主程式被小紅傘吃了，還能感染三槽。有其他機制嗎？底下05/13 22:46
→ trywish: 也是說插上隨身硬碟被感染，怎和目前看到的資訊有落差。05/13 22:47
→ goton: 剛剛在安全模式下備份到外接硬碟 這樣不會把毒帶過去吧or05/13 23:20
→ goton: z ?05/13 23:20
→ goton: 重新開機後還是一直跳警告05/13 23:21
→ goton: 但是不是那個執行檔 而是TR/FileCoder.72464505/13 23:21
→ goton: 然後對象是我已經被改的E槽資料夾 05/13 23:22
推 aa1477888: TR/FileCoder.724645 就是Wanncry病毒 這是雨傘的編號05/13 23:24
推 aa1477888: mssecsvc.exe難道還有丟出什麼東西程式跑加密程序？05/13 23:28
→ aa1477888: 好奇原PO在雨傘報毒之後有沒有把馬上網路中斷05/13 23:28
→ goton: 沒有 ！05/13 23:30
推 aa1477888: 嗯...沒有...那就有幾種可能讓mssecsvc.exe找到漏洞05/13 23:36
→ aa1477888: 接著把tasksche.exe引進來 就看透過什麼方式05/13 23:37
→ aa1477888: 不然就是tasksche.exe早就開始作用了05/13 23:39
→ aa1477888: 這隻病毒應該還有些行為沒有被分析出來05/13 23:40
→ trywish: 因為沒有斷網，所以mssecsvc一直進來，可能在某次不小心05/13 23:43
→ trywish: 被啟動成功了，說不定tasksche沒被擋下，就慢慢改掉了。05/13 23:43
→ trywish: 而備份時候也可能沒注意到，不小心連病毒都備份過去了(?)05/13 23:44
推 aa1477888: 樓上說的應該是可能性最高的狀況 漏掉某次就GG了05/13 23:49
→ aa1477888: 我剛剛查了雨傘的VDF資料庫 WanaCry特徵是在5/12 23:5705/13 23:50
→ aa1477888: 隨著7.14.6.158 VDF一起被推送更新 還不到24小時05/13 23:51
→ aa1477888: 所以前面有裝雨傘卻沒攔到可以說得通 可能剛好在空檔05/13 23:52
→ aa1477888: 總結就是 如果防毒叫了 第一時間就是斷網殺毒05/13 23:53
→ aa1477888: 接著離線更新填漏洞 關閉SMB 443 PORT鎖起來05/13 23:54
→ aa1477888: 如果這樣還是救不到 那就要懷疑是變種或未知行為了05/13 23:54
→ aa1477888: 更正 443 PORT05/13 23:55
→ trywish: 是445 port。反正現在用來控制感染的網址失效了，只要不 05/14 00:01
→ goton: 嗯嗯 畢竟我電腦已經被家人開了一個晚上05/14 00:02
→ trywish: 是已經存在的病毒檔，應該不會再發生類似感染。但port還05/14 00:02
→ trywish: 是先鎖起來好。能更新就更新。檔案放半年看看，文字好像05/14 00:02
→ goton: 看看檔案也沒動靜 所以就先沒理他 先來作功課05/14 00:03
→ trywish: 有說半年後說不定有機會(?)，不過真沒必要還是全砍了，免05/14 00:03
→ trywish: 的還有什麼不可預期的情況。05/14 00:03
推 aa1477888: 我怎麼更正還是錯XD 445對啦XD05/14 00:04
→ goton: 照片檔會有夾帶病毒的可能性嗎 ？05/14 00:05
→ aa1477888: 我覺得如果加密確實是RSA2048 除非美國拿出秘密武器05/14 00:06
→ aa1477888: 不然要救回來真的難上加難...05/14 00:06
→ aa1477888: 什麼檔案都有夾帶病毒的可能性 尤其是加密過的檔案05/14 00:06
→ aa1477888: 誰知道還包進去了什麼鬼東西 放著別動他最好05/14 00:06
我複製的檔案都是看似正常
沒被改過加密的說
這樣還是可能有問題嗎orz ?
沒放到別台電腦
因為會怕影響別台
但是是在安全模式下
推 kreuzritter: 請問我用AVAST昨晚擋住一次後立馬斷線，然後今早檢查05/14 00:07
→ kreuzritter: C槽未發現taskche等等檔案，也沒聽到AVAST持續警告，05/14 00:07
→ kreuzritter: 請問是否表示攔截成功05/14 00:07
→ kreuzritter: 可以進行備份工作了嗎？怕連外接硬碟一起死...05/14 00:08
推 aa1477888: 建議樓上先做一次全機掃描 因為可能不只C而已05/14 00:18
→ aa1477888: 總而言之網路絕對不要先連回去這樣05/14 00:19
※ 編輯: goton (114.136.78.47), 05/14/2017 00:19:47
→ aa1477888: 雖然我的個性還會先去抓Avast的病毒碼來做離線更新 05/14 00:20
→ aa1477888: 但這個步驟非必要就是 畢竟沒另一台電腦也不方便這樣做 05/14 00:20
→ aa1477888: 全機掃描結束沒問題之後 進安全模式再外接硬碟備份 05/14 00:21
→ aa1477888: 基本上這樣已經算是很謹慎了 05/14 00:22
→ aa1477888: 如果這樣還是GG 那就代表目前對Wanncry的研究不夠透徹 05/14 00:22
→ aa1477888: 回原PO 如果已經複製就複製了吧 05/14 00:23
→ aa1477888: 到時候電腦重灌或者找另一台電腦之後 再去掃外接硬碟 05/14 00:23
→ aa1477888: 如果防毒軟體沒報毒就可以比較安心 05/14 00:24
推 kreuzritter: 已經全機掃描過了，中間還有偷偷連上網路幾分鐘更新 05/14 00:29
→ kreuzritter: 病毒碼，後再掃描重開都未發現@@ 05/14 00:29
推 kreuzritter: 目前看看CDE槽，檔案都還正常無異狀這樣 05/14 00:31
→ aa1477888: 那我覺得應該是沒問題 SMB Windows TCP那些趕緊處置 05/14 00:32
→ aa1477888: 應該就算是從鬼門關前救了回來 感恩AVAST吧XD 05/14 00:32
推 kreuzritter: 阿彌陀佛.....QQ 05/14 00:39