2017勒索病毒文件恢復(fù)方法有哪些
2017勒索病毒文件恢復(fù)方法有哪些
從今年年初以來(lái)勒索病毒攻擊呈現(xiàn)快速上升的趨勢(shì)，且變種類型非?？?，對(duì)常規(guī)的殺毒軟件都具有免疫性。那什么是勒索病毒?勒索病毒的傳播途徑是什么?2017勒索病毒文件方恢復(fù)方法有哪些?中勒索病毒后如何清除?下面由學(xué)習(xí)啦小編為大家解答。
2017勒索病毒文件恢復(fù)方法
RakhniDecryptor(卡巴斯基解密工具)是一款非常不錯(cuò)的解密TeslaCrypt的工具。我們先下載這款專殺工具。
運(yùn)行專殺軟件，點(diǎn)擊“Change parameters”修改軟件掃描的范圍為“Hard drives”,不要選擇“Network drive”否則會(huì)影響掃描和解密的速度。
點(diǎn)擊“Start scan”，選擇被加密文檔的所在目錄，有多個(gè)文檔也只需選中一個(gè)就行了。
軟件會(huì)自動(dòng)開(kāi)始掃描解密，過(guò)程快的話十幾秒，慢的話幾分鐘。解密出來(lái)的文檔會(huì)出現(xiàn)在剛才所選擇的目錄下面，我原先被加密的圖片已經(jīng)被成功還原了。
中勒索病毒后如何清除
1、打開(kāi)“工具→選項(xiàng)→文件夾選項(xiàng)→選擇顯示所有文件和文件夾”，把“隱藏受保護(hù)的操作系統(tǒng)文件”前的√去掉。
2、將根目錄下的名為“控制面板”隱藏文件夾用WinRAR壓縮，然后啟動(dòng)WinRAR，切換到該文件夾的上級(jí)文件夾，右鍵單擊該文件夾，在彈出菜單中選擇“重命名”。
3、去掉文件夾名“控制面板”后面的ID號(hào){21EC2020-3AEA-1069-A2DD-08002B30309D}，即可變?yōu)槠胀ㄎ募A了。也可直接進(jìn)入該文件夾找回丟失的文件。
4、針對(duì)病毒會(huì)修改注冊(cè)表鍵值隱藏用戶文件，運(yùn)行regedit，修改被病毒破壞的注冊(cè)表鍵值，這樣就能顯示隱藏文件以及系統(tǒng)文件了。
什么是勒索病毒
勒索病毒，是一種新型電腦病毒，主要以郵件，程序木馬，網(wǎng)頁(yè)掛馬的形式進(jìn)行傳播。該病毒性質(zhì)惡劣、危害極大，一旦感染將給用戶帶來(lái)無(wú)法估量的損失。這種病毒利用各種加密算法對(duì)文件進(jìn)行加密，被感染者一般無(wú)法解密，必須拿到解密的私鑰才有可能破解。
勒索病毒的傳播途徑
勒索病毒文件一旦進(jìn)入本地，就會(huì)自動(dòng)運(yùn)行，同時(shí)刪除勒索軟件樣本，以躲避查殺和分析。接下來(lái)，勒索病毒利用本地的互聯(lián)網(wǎng)訪問(wèn)權(quán)限連接至黑客的C&C服務(wù)器，進(jìn)而上傳本機(jī)信息并下載加密私鑰與公鑰，利用私鑰和公鑰對(duì)文件進(jìn)行加密。
除了病毒開(kāi)發(fā)者本人，其他人是幾乎不可能解密。加密完成后，還會(huì)修改壁紙，在桌面等明顯位置生成勒索提示文件，指導(dǎo)用戶去繳納贖金。且變種類型非常快，對(duì)常規(guī)的殺毒軟件都具有免疫性。攻擊的樣本以exe、js、wsf、vbe等類型為主，對(duì)常規(guī)依靠特征檢測(cè)的安全產(chǎn)品是一個(gè)極大的挑戰(zhàn)。
遭遇新型勒索病毒襲擊 國(guó)內(nèi)用戶應(yīng)該如何應(yīng)對(duì)
樣本運(yùn)行流程詳解
根據(jù)APT沙箱報(bào)告捕獲到樣本的關(guān)鍵行為，包括進(jìn)程行為、文件行為、網(wǎng)絡(luò)行為等信息，可以發(fā)現(xiàn)其運(yùn)行分析流程如下：
該樣本主要特點(diǎn)是通過(guò)自身的解密函數(shù)解密回連服務(wù)器地址，通過(guò)HTTP GET 請(qǐng)求訪問(wèn)加密數(shù)據(jù)，保存加密數(shù)據(jù)到TEMP目錄，然后通過(guò)解密函數(shù)解密出數(shù)據(jù)保存為DLL，然后再運(yùn)行DLL (即勒索者主體)。該DLL樣本才是導(dǎo)致對(duì)數(shù)據(jù)加密的關(guān)鍵主體，且該主體通過(guò)調(diào)用系統(tǒng)文件生成秘鑰，進(jìn)而實(shí)現(xiàn)對(duì)指定類型的文件進(jìn)行加密，即無(wú)需聯(lián)網(wǎng)下載秘鑰即可實(shí)現(xiàn)對(duì)文件加密。
同時(shí)，在沙箱分析過(guò)程中發(fā)現(xiàn)了該樣本大量的反調(diào)試行為，用于對(duì)抗調(diào)試器的分析，增加了調(diào)試和分析的難度。
勒索病毒應(yīng)對(duì)方案
根據(jù)勒索病毒的特點(diǎn)和感染流程，可以推斷其變種迅速，通常具備較強(qiáng)的對(duì)抗能力，且感染成功后無(wú)法恢復(fù)，常規(guī)的依靠特征匹配的防護(hù)手段不再適用，給勒索病毒的防護(hù)帶來(lái)了極大的挑戰(zhàn)，從而導(dǎo)致大量的用戶被勒索病毒感染造成損失。
根據(jù)勒索病毒的特點(diǎn)可以判斷，其變種通常可以隱藏特征，但卻無(wú)法隱藏其關(guān)鍵行為，經(jīng)過(guò)總結(jié)勒索病毒在運(yùn)行的過(guò)程中的行為主要包含以下幾個(gè)方面：
●通過(guò)腳本文件進(jìn)行Http請(qǐng)求
●通過(guò)腳本文件下載文件
●讀取遠(yuǎn)程服務(wù)器文件
●收集計(jì)算機(jī)信息
●遍歷文件
●調(diào)用加密算法庫(kù)
安恒APT產(chǎn)品通過(guò)內(nèi)置沙箱虛擬執(zhí)行環(huán)境，可以對(duì)網(wǎng)絡(luò)中傳輸?shù)臉颖灸M運(yùn)行分析，捕獲其動(dòng)態(tài)行為、網(wǎng)絡(luò)行為、進(jìn)程行為、文件行為、注冊(cè)表行為等關(guān)鍵信息，識(shí) 別其中可疑的勒索病毒特點(diǎn)，快速對(duì)網(wǎng)絡(luò)中傳輸?shù)睦账鞑《緲颖具M(jìn)行預(yù)警，及時(shí)通知被攻擊方提高安全防范意識(shí)，防止出現(xiàn)被感染的情況。
同時(shí)，結(jié)合安恒APT云端可為用戶提供更為深層的威脅分析服務(wù)、安全預(yù)警服務(wù)和情報(bào)共享服務(wù)，依托于云端的海量數(shù)據(jù)、高級(jí)的機(jī)器學(xué)習(xí)和大數(shù)據(jù)分析能力，可及時(shí)共享最新的安全威脅情報(bào)，提供更為精準(zhǔn)的威脅分析能力，用戶也可直接訪問(wèn)云端，上傳、查詢和確認(rèn)樣本的分析結(jié)果，感知最新的安全情報(bào)。
猜你喜歡：