Re: [心得] 勒索軟體隱藏磁碟機代號測試

看板AntiVirus作者chang0206 (Eric Chang)時間8年前 (2015/12/01 10:11)推噓6(6推 0噓 7→)

留言13則, 8人參與討論串2/2 (看更多)

※ 引述《qxxrbull (白貓Project)》之銘言： : 如題 : 之前我打了一篇#1MM50tcZ (AntiVirus) : "隱藏磁碟機代號是否能夠避免勒索軟體" : 這一次找來了許多樣本 : 包括torrentlocker(crypt0l0cker) CTB-locker : cryptowall3.0(4.0樣本有人有嗎我找不到) cryptoholder(這好像比較少見) : 這一些樣本來進行測試 : 這一次被測試的內容有doc docx xlsx jpg cpp wmv exe這一些 : 不過自己寫的EXE似乎不會或許是檔案太小執行檔如果也被加密，有可能會造成系統無法開機使用者就看不到被勒索的訊息，就沒有經濟來源啦～所以我不認為.exe 檔會被當作加密標的 : 結論 : 這招目前看起來還是有效的 : 不過不確定在日後變種還會不會有效 : 最好的方法就是用其他硬碟備份之後拔出來 : 有幾個好處 : 一就是這樣絕對不會被加密勒索 : 二就是如果你電腦的電源供應器出問題把所有硬碟打壞這樣就能避免了 : 話說有人可以提供給我 cryptowall4.0的樣本嗎 : 想要玩看看其實這招我之前有想過，也測試過，的確有用(馬後砲？ XD ) 我之前的筆記的結論是這樣 1.使用者的重要資料，必須要存在固定的磁碟如果你的資料都放在外接硬碟，那這招對你有幫助但是如果資料散佈在各個地方(我相信大部分使用者都如此) 那就沒啥太大幫助 2.隱藏磁碟的作法稍嫌複雜這點其實還好，網路上有文章可以參考把要隱藏的磁區用registry修改然後匯出隱藏、顯示兩個registry檔當要複製、讀取資料的時候，就匯入顯示的機碼要隱藏的時候，再匯入隱藏的機碼請參考 http://www.pctools.com/guides/registry/detail/148/ 還有其他方式，像是編輯一個批次檔，去叫diskpart把磁碟代號remove掉請參考 http://goo.gl/EPGrqD 3.最重要的一點是使用者習慣的改變因為我是站在公司資訊環境的角度看這個作法帶來的衝擊和效益想要求使用者在存取資料前，先去點兩下桌面的圖示顯示然後用完了，再去點兩下隱藏起來光提這個作法，我就可以想像在會議上會怎麼被公幹... anyway 小結一下如果你需要保存的資料，都是放在同一個磁區而且你看了上面兩篇參考網址的文章，覺得照著操作不困難也能接受使用習慣的改變，那麼，這個作法對你就有幫助！ --

→

Microscft

08/15 01:38,

08/15 01:38

→

Microscft

08/15 01:53,

08/15 01:53

→

Microscft

08/15 02:28,

08/15 02:28