[討論] 勒索病毒的手動抵抗方法

看板AntiVirus作者JeremyJoung (J.J.)時間7年前 (2017/05/14 03:52)推噓6(6推 0噓 2→)

留言8則, 7人參與討論串1/1

https://goo.gl/IclVFj https://www.facebook.com/permalink.php?story_fbid=10209215541764937&id=1212795524 關於勒索病毒的工作模式我想了一下後歸納出了他的工作模式以及手動抵禦方法根據WINDOWS的執行特性絕大多數的常駐病毒都是以SYSTEM身分在執行的 (雖然存在以使用者運行的方法) 除非病毒是經由使用者人工(手賤)開啟的而SYSTEM是個特殊的使用者角色用來表示WINDOWS OS本身在運行時執行的身分凡舉自動更新到系統記錄任何不經過人手就會自動執行的行為都屬於SYSTEM 而人類使用者的手動操作行為無論是在執行什麼操作都必然是以[使用者本人]的名義在進行的絕對不會有例外因此從這一點可以非常明確的區分病毒(SYSTEM)與使用者間的操作行為一般來說 SYSTEM的自動操作行為中除了防毒會四處亂跑以外其餘多半僅會局限於系統碟內所以選擇一個專門用於資料用的磁區把NTFS安全性選項中的"修改"權限給抹除掉 (NTFS的安全性進階權限中包含非常細膩的存取操作主要分別包含讀取新增追加修改刪除 ) 勒索軟體的工作模式無非就是以SYSTEM身分在背景自動執行先檢索整個硬碟當發現到目標檔案時製作一份加密檔然後再刪除舊有檔案因此若移除SYSTEM對資料區的修改與刪除檔案的權限的話那麼病毒就無法破壞現有檔案但是系統讀取/執行檔案等等的基本功能依然存在雖然防護範圍僅限於資料碟系統碟的檔案仍然會受損不過這點小事只要重灌就好或著是移除SYSTEM對目錄瀏覽的權限的話病毒就無法搜尋資料區的檔案既然無法搜尋就無法刪除除非直接傳入PATH 當然這部分行為還要考量一下系統到底會不會有檢索目錄的需要目前已知防毒軟體以及"自動排程" 都會以SYSTEM的身分四處週遊檔案除此之外絕大多數的系統操作都不應涉入到資料區內雖然這樣的動作會導致系統防毒軟體在工作時無法刪除資料區的病毒檔案(更多時候是序號機&破解檔) 不過相較於文件損毀的成本之下這完全不是大問題而且病毒並不流行隱藏在資料區中病毒最喜歡藏匿的地方在WINDOWS system32 helps目錄中所以這個方案可以非常有效的抵禦對於勒索病毒的竄改攻擊當然資料碟請就保持資料乾淨不要把一些系統性檔案例如分頁檔(pagefile)給丟進去這樣會讓系統非常困擾的 - 未來如果要防止這類病毒攻擊就必須根本之道的縮限SYSTEM的自動執行權限讓SYSTEM 不應該在系統碟以外的地方四處遊蕩 SYSTEM 本來就只是用來運作WINDOWS用的角色所以本來就不應該也沒必要踏入資料區內 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 118.163.72.102 ※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1494705139.A.45D.html

推

andy0701

05/14 08:49, , 1^F

05/14 08:49, 1^F

推

fortunia

05/14 08:54, , 2^F

05/14 08:54, 2^F

推

jhangyu

05/14 09:20, , 3^F

05/14 09:20, 3^F