Không thể mở Word, Excel, Powerpoint và Pictures ... Bị nghi ngờ nhiễm virus trong tủ khóa ... Phát hiện, Xóa, Ngăn chặn

Xin chào Cộng đồng Microsoft,

Tôi muốn chia sẻ rằng ngày hôm qua 25 tháng 5, Word, Excel, Powerpoint và một số Ảnh JPEG của tôi không thể mở được nữa. Khi tôi mở những tệp đó, có một thông báo cho biết: "Không thể mở tệp 'tên tệp' vì có vấn đề với nội dung" hoặc "Word đã tìm thấy nội dung không đọc được trong 'Tên tệp'. Bạn có muốn khôi phục nội dung của tài liệu?"

Tôi có thể nhớ lại một sự kiện quan trọng vào sáng ngày hôm đó mà tôi đang lướt web qua Chrome. Sau đó, đột nhiên thông báo công cụ diệt virus của Chrome xuất hiện. Tôi đã nhấp vào thông báo để loại bỏ vi-rút mà trình duyệt web phát hiện. Sau đó trình duyệt khởi động lại. Sau đó tôi khóa máy tính xách tay của mình và đi dạo. Sau đó, em gái tôi đã sử dụng tài khoản khách trước khi tôi đến. Khi tôi mở lại tài khoản của mình, tôi không thể mở tài liệu của mình nữa với thông báo được đề cập ở trên. Tất cả các tệp khác như video và nhạc và pdf đều ổn.

Tôi nghi ngờ rằng máy của tôi đã bị nhiễm virus. Tôi đã tìm kiếm trên web về phần mềm độc hại / vi rút khóa tệp. Sau đó, tôi tìm đến những thủ phạm có thể có, "bumarts" (hoặc một cái gì đó tương tự) hoặc Trojan Cryptolocker. Sau đó, tôi chạy Malwarebytes Chameleon. Nó đã phát hiện và cách ly ở lần quét đầu tiên ngày hôm qua 3 Backdoor.MSIL.PGen được tìm thấy ở các vị trí sau:

C: \ Windows \ SysWOW64 \ donatidesricks.exe

C: \ Windows \ Temp \ tmp2695.tmp

C: \ Windows \ Temp \ tmp781F.tmp

Tôi đã kiểm tra xem Tường lửa của mình đang chạy, DEP đã bật, Command Prompt, Run và Regedit đang chạy.

Nhưng tôi vẫn nghi ngờ rằng tôi bị nhiễm Cryptolocker.

Đầu ngày hôm nay, tôi đã chạy Microsoft Security Essentials, Trình quét an toàn và Công cụ loại bỏ phần mềm độc hại. Tất cả các ứng dụng được đề cập không phát hiện bất kỳ sự lây nhiễm nào. Tôi đã kiểm tra lại Firewall, DEP, Command Prompt, Run và Regedit của mình, tất cả đều hoạt động tốt. Không có sửa đổi lớn nào về cài đặt hệ thống. Tôi vẫn có thể truy cập các công cụ quản trị. Nhưng tôi vẫn nghi ngờ.

Tôi đã khởi chạy lại MBAM Chameleon và hãy lưu ý rằng ở lần quét thứ hai, nó đã phát hiện và cách ly 3 trường hợp nhiễm Trojan.CryptoLocker được tìm thấy như sau:

HKLM \ SYSTEM \ CURRENTCONTROLSET \ SERVICES \ ldr

C: \ ProgramData \ rkcl \ ldr.exe

C: \ ProgramData \ rkcl \ rkcl.exe

Máy tính xách tay của tôi đã khởi động lại và tôi đã kiểm tra lại các dịch vụ hệ thống và ứng dụng như công cụ quản trị, tường lửa, DEP, Command Prompt và Regedit, tất cả đều hoạt động tốt. Tôi đã chấp nhận sự thật không thể tránh khỏi rằng các tệp của tôi chắc chắn là không thể khôi phục được.

Câu hỏi của tôi:

1. Làm cách nào để biết rằng máy của tôi không bị nhiễm thêm phần mềm độc hại khác tương tự như Cryptolocker hoặc tệ hơn.

2. Làm cách nào tôi có thể chắc chắn rằng máy của tôi không bị Cryptolocker lây nhiễm nữa hoặc MBAM đã cách ly tất cả các trường hợp lây nhiễm Cryptolocker.

3. Làm thế nào để ngăn ngừa nhiễm trùng Cryptolocker trong tương lai.

4. Nó có còn an toàn để kết nối với mạng không dây của gia đình chúng tôi không (đây là bức tường mà chúng tôi đã có ở nhà ở đây).

Như một biện pháp cảnh báo ban đầu, tôi hiện đang sử dụng Internet Explorer thay vì Chrome thông thường của mình để gửi bài đăng này.

Nếu cộng đồng có thể giúp giải quyết mối quan tâm này, nó sẽ được đánh giá cao. Nếu bạn (để sử dụng bởi Chuyên gia Microsoft được chứng nhận) muốn biết thêm chi tiết cho mục đích chẩn đoán, tôi có thể cung cấp nhật ký sự kiện tại thời điểm (nghi ngờ) sự lây nhiễm này xảy ra.

Cảm ơn rất nhiều.

[Chỉnh sửa: Trong tiêu đề Cyptolocker được đổi thành Locker]

Câu trả lời:

@ Wharson:

Đừng để những câu hỏi cuối cùng của bạn chưa được trả lời ...

Tôi đã chấp nhận sự thật không thể tránh khỏi rằng các tệp của tôi chắc chắn là không thể khôi phục được.

Câu hỏi của tôi:

1. Làm cách nào để biết rằng máy của tôi không bị nhiễm thêm phần mềm độc hại khác tương tự như Crypto [Locker] hoặc tệ hơn.

2. Làm cách nào để tôi có thể chắc chắn rằng máy của tôi không bị nhiễm Crypto [Locker] nữa hoặc MBAM đã cách ly tất cả các trường hợp nhiễm Crypto [Locker] .

Tôi nghĩ MBAM đã làm điều đó, nhưng bạn có thể muốn đảm bảo sử dụng một máy quét ý kiến ​​thứ hai theo yêu cầu khác như Máy quét trực tuyến ESET hoặc HitmanPro3 (thực sự đang được sử dụng bởi nhiều nạn nhân của Locker từ hơn 30 quốc gia) để hoàn thành việc dọn dẹp của họ).

3. Cách ngăn chặn sự lây nhiễm [Locker] tiền điện tử trong tương lai [ bởi bất kỳ phần mềm độc hại tiền điện tử nào ]

4. Nó có còn an toàn để kết nối với mạng không dây của gia đình chúng tôi không (đây là bức tường mà chúng tôi đã có ở nhà ở đây).

Hầu hết phần mềm AV có thể phát hiện và loại bỏ sự lây nhiễm chính của phần mềm độc hại tiền điện tử, nhưng không thể khôi phục các tệp của bạn từ mã hóa 'sau khi thực tế'.

Cùng với sao lưu ngoại vi hoặc sao lưu đám mây có lập phiên bản, người dùng comp cũng cần dựa vào các chương trình phát hiện hành vi hơn là chỉ các chương trình phát hiện định nghĩa chữ ký tiêu chuẩn.

Điều quan trọng là sử dụng các chương trình có thể phát hiện khi một chương trình đang mã hóa tệp thay vì chỉ phát hiện chính chương trình đó. Điều này là do người tạo phần mềm độc hại có thể dễ dàng sửa đổi một tệp để nó không bị AV phát hiện ngay lập tức.

Được phép của người dùng yên tĩnh7 :

Chiến lược phòng thủ tốt nhất là một cách tiếp cận toàn diện ... hãy đảm bảo rằng bạn đang chạy một sản phẩm chống vi-rút và chống phần mềm độc hại được cập nhật, sử dụng các công cụ bảo mật bổ sung có khả năng ngăn chặn (ngăn ngừa) sự lây nhiễm trước khi nó có thể gây ra bất kỳ thiệt hại nào, cập nhật tất cả phần mềm dễ bị tấn công, và thường xuyên sao lưu dữ liệu của bạn .

• CryptoMonitor - Thảo luận & Hỗ trợ CryptoMonitor
• CryptoPrevent - Câu hỏi thường gặp về CryptoPrevent
• HitmanPro.Alert với CryptoGuard - Các tính năng của HitmanPro.Alert
• Malwarebytes Anti-Exploit (MBAE)

Chúc bạn May mắn và Lướt sóng An toàn!

Câu trả lời:

Có bất kỳ phát hiện nào được đăng ký trên Lịch sử của MSE không?

Bạn có thường xuyên sao lưu các tệp của mình để được lưu giữ an toàn trên bộ nhớ ngoài không?

Tôi e rằng các tệp của bạn có thể đã bị mã hóa bởi phần mềm độc hại loại ransomware tiền điện tử mới nhất được phát hiện gần đây có tên riêng là: Locker .

Hãy xem: Phần mềm ransomware trong tủ khóa ẩn cho đến nửa đêm ngày 25 tháng 5 và sau đó mã hóa dữ liệu của bạn (với sự hỗ trợ của bleepingcomputer.com). Chủ đề hỗ trợ của BC cho mối đe dọa này (Locker Ransomware) được đặt tại đây .

Vì mối đe dọa này quá mới để biết, tôi sẽ nói rằng Trojan.CryptoLocker được MBAM phát hiện và cách ly có vẻ là một phát hiện chung dựa trên hành vi của mối đe dọa này, nhưng các tệp và vị trí bạn đề cập ở trên (C: \ ProgramData \ rkcl \ ldr. exe & C: \ ProgramData \ rkcl \ rkcl.exe ) có thể xác nhận đây là trường hợp của bạn: Dịch vụ LDR được liên kết với C: \ ProgramData \ rkcl \ ldr.exe sẽ khởi chạy chương trình rkcl.exe hiển thị giao diện Locker . Bất kỳ dấu hiệu của nó?

Hình ảnh được cung cấp bởi bleepingcomputer.com

Theo chủ đề hỗ trợ của BC: "Rất tiếc, không có sẵn ống nhỏ giọt tại thời điểm này, vì vậy rất khó để phân tích đầy đủ sự lây nhiễm. Khi chúng tôi nhận được ống nhỏ giọt, chúng tôi có thể cung cấp một phân tích kỹ lưỡng hơn. Có một chủ đề hỗ trợ tích cực ở đây cho những ai muốn đặt câu hỏi hoặc thảo luận về phần mềm tống tiền Locker " .

Bạn có thể muốn đóng góp vào phân tích mối đe dọa này bằng cách gửi mẫu của bạn trong vùng cách ly tới Microsoft (Xem Câu hỏi thường gặp về trợ giúp gửi mẫu của họ), BC (Trước tiên, bạn cần đăng ký và đăng lên chủ đề hỗ trợ liên quan của họ) và Mối đe dọa Rogue-Ransomware Mới nhất của MBAM Diễn đàn (Hướng dẫn tại đây ). Bạn cũng có thể tải các tệp lên VirusTotal để phân tích (BC và MBAM có thể yêu cầu báo cáo của họ) để các nhà cung cấp khác có thể cập nhật chữ ký phát hiện của họ.

Tôi xin lỗi vì chúng tôi không thể giúp được gì nhiều vào thời điểm này, nhưng hy vọng bạn tiếp tục thông báo cho chúng tôi để chúng tôi cũng có thể tìm hiểu về vấn đề này thông qua kinh nghiệm của bạn. Cảm ơn trước cho phản hồi của bạn.

===

CẬP NHẬT ngày 28 tháng 5> ' Hướng dẫn và câu hỏi thường gặp về thông tin về Ransomware Locker ' mới được BC xuất bản vào ngày 28 tháng 5 năm 2015 lúc 09:21 sáng.

CẬP NHẬT ngày 3 tháng 6> Trò chơi kết thúc cho Ransomware 'Locker' kể từ ngày 31 tháng 5 / ngày 2 tháng 6 năm 2015. Thông tin liên quan trong bài đăng của tôi ngày 3 tháng 6 năm 2015 bên dưới.

===