※ 本文為 zbali.bbs. 轉寄自 ptt.cc 更新時間: 2017-05-13 16:30:13
看板 AntiVirus
作者 narihira2000 (老羊)
標題 [情報] wncry有救了?
時間 Sat May 13 11:58:01 2017


剛剛在一個電腦的社團看到有人po出WanaCrypt行為模式分析


直接複製內文貼上:


被WannyCry加密的用戶檔案救援可能性分析
---------------------------------------------------------------
剛剛針對WannyCry病毒的模型分析
他的行為模式是
1.複製檔案到快取(記憶體或虛擬記憶體)
2.加密
3.刪除舊檔案
4.放出加密過的檔案
-----------------------------
很關鍵的地方!!!
檔案被標示為刪除後,不會馬上被抹除/複寫
所以當機立斷要做的事情
1.關機
2.使用第三方開機(另一台電腦、PE開機等)
 使用類似「 Recuva」這種撈出磁區內刪除檔案
3.開始救援,但能救多少不知道,看你的磁碟滿的狀態
如果很空 那就可以救回來很多,如果很滿,恭喜你會被複寫掉很多..
※※流程我講的很粗糙,如果不會用,可以試著GOOGLE
  或請身邊懂電腦的工具人幫忙,別找我謝謝。
一樣要分享出去就分享,不用過問我了
晚上我在寫一篇綁架病毒與ACL權限概念給大家..如果我有空的話qq

截圖:http://imgur.com/ehX2T7z
[圖]
 



不知道可不可行
有中獎的人要試試看嗎?

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 103.5.102.185
※ 文章代碼(AID): #1P5eHCQV (AntiVirus)
※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1494647884.A.69F.html
※ 編輯: narihira2000 (103.5.102.185), 05/13/2017 12:00:47
saca572381: 如果把資料夾禁止寫入會有用嗎 之前就設定過了 只有存1F 05/13 12:02
saca572381: 檔案才會改 存完會改回來
hms5232: 意思是看得懂 感覺理論上可以 但能救回來多少真的未知數3F 05/13 12:03
gwofeng: 可以用救誤刪檔案的救援軟體來掃 但數量應該不會很多4F 05/13 12:05
StellaNe: 以前的勒索病毒好像就有這樣救回過5F 05/13 12:05
athraugh: 推一下6F 05/13 12:07
o030227: 我中伊莉那隻有靠救援軟體找回十幾G的檔案而已,不無小補7F 05/13 12:09
Cactusman: 難8F 05/13 12:17
ddrdod: 500G硬碟,使用了95%,等到被加密完畢,再用硬碟救援軟體9F 05/13 12:20
CannonLake: 就跟救照片差不多啊 撈只刪除標頭 但實際未複寫的 理10F 05/13 12:20
CannonLake: 論可行 但成效更差 因為這種一直蓋檔 不像古早只是純
CannonLake: 刪
ddrdod: 也救不到多少檔案了  崩╰(〒皿〒)╯潰13F 05/13 12:22
jerrylin: 把檔案都改成唯讀有用嗎14F 05/13 12:30
estupid: 硬碟裝滿的很容易就被蓋過去了 撈也撈不到了15F 05/13 12:31
cangming: 唯讀會有用 但還是要看加密軟體的權限16F 05/13 13:02
rexhaha: 很久以前就就試過了,只花了一堆時間而已。17F 05/13 13:35
vi000246: 無聊去找源碼 看起來是直接加密的 複製一份太花時間了18F 05/13 13:35
vi000246: 就像加入壓縮檔那樣 直接修改原檔
gwofeng: 剛試了一下,它刪除的那份資料也是破壞過的20F 05/13 14:21
gwofeng: 用救援軟體去撈資料的是白做工了

--
※ 看板: ott 文章推薦值: 0 目前人氣: 0 累積人氣: 294 
※ 本文也出現在看板: terievv
作者 narihira2000 的最新發文:
  • +59 [情報] KKTV 旺年會 2024 - Lifeismoney 板
    作者: 103.3.194.16 (台灣) 2024-11-12 18:22:56
    昨天KKTV終於把雙11活動上架了 單人66折 - $1488/年,到期後$1888/年 四人43折 - $3888/年(每人$972/年),到期後$4888/年(每人$1222/年) 唉...漲價 …
    117F 59推
  • +25 [菜單] 25K 老電腦升級9800X3D - PC_Shopping 板
    作者: 103.3.194.16 (台灣) 2024-11-08 18:00:07
    已買/未買/已付訂金(元):部分已買 預算/用途:25K/遊戲機、寫程式 要買的用黃字表示 CPU (中央處理器):(已買)AMD R7 9800X3D $16450 MB (主機板):MSI B6 …
    112F 25推
  • +24 [百合] 開學第一天就收到了結婚證書 - C_Chat 板
    作者: 103.3.194.16 (台灣) 2024-11-04 22:12:34
    簡單貼,隨便寫(# 邊緣人主角在開學第一天放學打開鞋櫃 發現有一封貼著愛心的信在裡面 明明在教室內有把自己變成透明的說 打開後...是一張結婚證書呢(兩邊都是妻子 妻子的欄位寫的是班上第一美少女的名 …
    25F 24推
  • +3 [菜單] 30k不含顯卡遊戲機 - PC_Shopping 板
    作者: 103.5.100.134 (台灣) 2023-08-19 01:04:25
    23F 3推
  • +35 [情報] KKTV 旺年會2022 - Lifeismoney 板
    作者: 61.65.253.112 (台灣) 2022-11-17 16:49:31
    其實雙11就開始了的樣子,但都沒人發 剛好昨天我的KKTV到期了(還好今年沒搞限量那招 就來整理一下今年的優惠 活動網址: 活動期間: 11/11~12/31 單人月繳方案: NT$ 99/月,首購再 …
    67F 36推 1噓
點此顯示更多發文記錄
分享網址: 複製 已複製
guest
x)推文 r)回覆 e)編輯 d)刪除 M)收藏 ^x)轉錄 同主題: =)首篇 [)上篇 ])下篇