---

家裡的桌電OS用的是Windows7專業版，i3老電腦。

上週在找試用版的序號，可能是載了crack檔，或是序號產生器，
安裝視窗到一半卡住，無法下一步，有些納悶但沒太在意放著不管他，
接下來是地獄般的半小時：
1.CPU異常飆高，開個網頁都很頓，Firefox一般經常都開幾十個tab，也沒太在意，
  重開了幾次Firefox後，仍然如故。
2.開工作管理員把loading最高的process: explorer關掉，過沒多久還是飆高。
3.重開機了兩次。(平常桌電都休眠喚醒，很少重開機)
4.情況依然如故，想到剛剛不以為意跳出的視窗都關掉，好像發生了大事，
上網找了幾個關鍵字爬文，發現大事不妙，中了CryptoL0cker，
快速把一些工作檔案收尾存檔，瀏覽器備份同步，接著拔網路線，
等不及Windows慢慢關機，直接power off強制關機。

清理戰場：
每個被加密的檔案後面都被加上.encrypted副檔名，並會在該目錄留下
HOW_TO_RESTORE_FILES.html
HOW_TO_RESTORE_FILES.txt，明確告知要勒索比特幣。

接著搜尋*.encrypted、HOW_TO_RESTORE_FILES.html，查找被加密的檔案
被加密的檔案類型有：
文件檔：txt、doc、docX、pdf、pdf、htm
壓縮檔：ZIP、rar、
影片檔：mp4、、mkv、flv、rmvb、ISO、字幕檔ass、sub
圖片檔：jpg (png gif都沒事)
部分程式碼

目前作法：
1.其他HDD都離線，把系統碟C:整個format掉重灌OS；目前過了三天，還沒發現異狀。
2.把所有*.encrypted都刪掉，

思考：
1.從被加密的檔案及時間，可以看出某些規則：
  最先加密的是純數字、英文命名的資料夾。
  會先加密最近存取過的檔案，可能是直接抓cache。
  txt、jpg量最多，可能是檔案小，容易處理，(這兩種最令人心痛)，
  很多時候為了維持文件可讀性，很多資料都用txt檔，損失慘重。
2.不清楚是否拔掉網路線就停止加密，發現時最好盡快把所有HDD離線。
3.備份、雲端
  之前備份都是燒起來，但是量越來越大，後來就懶了，
  這次某個年份前的檔案還好都有備份燒起來，部分有回復回來，中間到最近這一段
  就都報銷了，雲端備份雖然不錯，但爬文看災情連雲端硬碟有設定client online同步
  可寫入的話，也會被加密的樣子，


我承認這次是我一時想不開手賤去點了crack是主因，
以後真的要認真做好備份，並離線，時常online的話，不管是雲端硬碟或是實體HDD，
都有感染風險。
Windows、flash、java等要定期update，不要不裝防毒軟體讓電腦裸奔，
我這樣跑了兩年多沒事並不代表未來還是沒事。


最心痛的是近一兩年的部分照片、文件檔，還好有關工作上的東西幾乎都放在雲端，
不然就真的要抱頭痛哭好幾天。


不過過得有點戰戰兢兢，不時擔心會去看一下CPU loading有沒有異常，嘆氣.....


最近爬文受了不少幫助，也寫一篇受害經驗分享。


--
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.169.192.100
※ 文章代碼(AID): #1MRfIm24 (AntiVirus)
※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1450087600.A.084.html