[閒聊] 變種勒索病毒 Magniber（副檔名rtcobfaj）

[DsLove710 (DoraApen)]

這是禮拜二發生的事

朋友傳訊息跟我哭哭說電腦變很慢

檔案變怪怪的都打不開

我叫他趕快拔網路線並關機

去看了一下果然是勒索病毒

附檔名都被改成rtcobfaj，各個資料夾都有readme的英文說明

https://i.imgur.com/T7CNEYe.png

該病毒只針對office、PDF以及像photoshop之類的存檔做加密

txt、圖片與影片完全沒有被加密



https://i.imgur.com/9ptSMuP.png

為了拉這張圖害我一台空主機也被感染勒索病毒

我以為這病毒跟之前的一樣加完密會自我毀滅

結果並沒有，我在第一感染電腦上勒索網頁截圖放到隨身碟

預防萬一拿了一台空主機來存圖片

結果那台只安裝防毒的win10電腦卻被感染，還好裡面都沒東西



第一感染電腦的作業系統是win7，定期更新

防毒軟體是ESET Endpoint Protection 6.3

查了紀錄發現防毒軟體有主動防禦

一直跳警告有木馬Win32/Filecoder.Magniber

記錄超多，直到關機前每6分鐘跳三次殺毒訊息

雖有主動殺毒，但檔案仍依舊持續被加密

上網查了一下，果然又是變種體

不過中毒的案例很少


感染來源完全不意外：亂點網頁的東西

朋友說只記得有跳出一個東西他按了確定

我猜是那個時候被感染的


大概是這樣

還好朋友很聽我的話，有固定備份的習慣

所以就花了一點時間重灌

日防夜防，手賤跟好奇心難防

養成良好使用習慣以及定期備份

這樣才能保護好你的資料..

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 114.33.213.215
※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1550320055.A.FAF.html
推 DINJIAPC: 有重要資料 請向廠商代理請教hips規則怎設來鎖資料夾或
→ DINJIAPC: 者學著把資料夾放到防毒軟體安裝目錄中。nod32病毒爆發
→ DINJIAPC: 有選項要改自己去找業務問
→ George017: 放防毒安裝目錄的原因是？因為病毒不會去癱瘓防毒？
推 DINJIAPC: 真正的自保啊，無法寫入刪除變動
推 DINJIAPC: 請參考Kafan nod32輸死勒索
推 komurofan: txt應該也會加密，只是還沒加密完就被你發現了
推 komurofan: 我是過來人，但我懷疑是IE惹得禍
→ DINJIAPC: 系統怎灌的都沒搞懂搞清楚了 再中也遲早的
推 DINJIAPC: 先說說怎樣手賤的吧。這麼喜歡按按看？
→ DINJIAPC: 要按也是按x 視窗理他幹嘛
→ gwofeng: 勒索病毒搞隨身碟傳染？這時代！？
→ DINJIAPC: 可以的，寫入隨身碟磁區沒有很難和礦馬類似而已
推 arhuro: 誠心建議win7不要用了
推 DINJIAPC: 我只能說懶人就是一律用趨勢。企業版請善用中控台來鎖
→ DINJIAPC: 定保護重要目錄
推 tsstho: 之前我爸電腦也是下載免費的開教材軟體不知道怎麼按的中挖
→ tsstho: 礦病毒
→ tsstho: 還好後來Windows 10還原有把病毒弄掉