CryptLocker / TorrentLocker 病毒 - 我们公司昨天中招了，大家点邮件里的链接时候小心点

小豹子

昨天我们公司中了TorrentLocker 病毒，发出来提醒一下大家，多一分小心，以免损失。下面的图片来自网络。

悉尼 office 的一位同事收到了一封貌似从 NSW State Revenue Office 发来的邮件，说他有一个超速罚单。很遗憾这件同事的警惕性不高，做了一系列不该做的事情，导致他的文件被加密，另外他连接的 file server 也被加密了。还好目前这个病毒不会自我复制，没有传到其他连在网络上的电脑和服务器。

他点了邮件里的链接，进到了这个网站（warning....请大家不要去这个网站）：



输入了 Captcha Code 以后，下载了一个 zip 文件：



解压以后得到一个 exe 文件：



双击并允许这个文件运行：



然后看到了这个屏幕：



同时发现他的文件都被加密了（加了一个 encrypted 的后缀）


被要求付赎金来解密文件：


其实上面的很多地方都可以发现这是一个危险的网站，首先网址乱七八糟，然后还要你下载 exe 文件来运行，但是公司里这么多人，还是难保有些人会去运行这种文件。发出来给大家看看，避免受害。

这篇文章不错，可以看看：
http://www.bleepingcomputer.com/ ... somware-information

cdfei

他做错了多少步啊

小豹子

cdfei 发表于 2015-2-12 09:37
他做错了多少步啊

想起来还挺好笑，要想中这个毒还挺麻烦

leolee

这个毒很讨厌。

ALSK

竟然每一步都截屏

robotwang

上班ing

小豹子 发表于 2015-2-12 09:39
想起来还挺好笑，要想中这个毒还挺麻烦

有的人，电脑弹出的对话框根本不看，什么都点yes，这种人最容易中招了。。。

guojing1217

这个病毒真的是很流行。。。

小豹子

ALSK 发表于 2015-2-12 09:45
竟然每一步都截屏

截屏来自网络。。

seth_chen

都是windows的错
为啥给每个人admin权限
为啥默认隐藏文件扩展名
为啥双击就可以安装

要是都是CLI界面，要先untar再chmod最后./才能安装文件，可以有效提高犯错误的门槛

小豹子

seth_chen 发表于 2015-2-12 11:41
都是windows的错
为啥给每个人admin权限
为啥默认隐藏文件扩展名

你这还让不让人好好用电脑了~~

seth_chen

小豹子 发表于 2015-2-12 11:00
你这还让不让人好好用电脑了~~

没办法，提高了易用性，随之而来的就是傻蛋犯错的门槛也低了

你说给这货个unix环境，他想中毒也难

Holiday4jo

那这个怎么解决？

小豹子

Holiday4jo 发表于 2015-2-12 12:02
那这个怎么解决？

没有 backup 的话就倒霉了。要不就乖乖付钱喽。。。。

fly_cat

Holiday4jo 发表于 2015-2-12 12:02
那这个怎么解决？

没法解决，只能恢复备份，就是给黑客钱，也不一定给你的解密code就能用。我们公司也有傻蛋中过招，服务器上的文件都用备份恢复了，他本地硬盘上的没有备份，就没办法了。之后，我就把大家的本地管理员权限都撤掉了，这样他们麻烦，我也麻烦，装个打印机，都要打电话过来问，烦死了。

易用，安全，矛盾啊。

小豹子

seth_chen 发表于 2015-2-12 12:02
没办法，提高了易用性，随之而来的就是傻蛋犯错的门槛也低了

你说给这货个unix环境，他想中毒也难  ...

你让他用 unix 他只能辞职不干了。。。

btw, 你签名里的眼保键操应该加上这几个：

(←_→) (↓_↑) (→_←) (↑_↓)

哈哈

fly_cat

话说现在linux桌面性能也一般啊，在一台core2due， 1G内存的老机器上，win8.1的启动和应用反应都还可以接受，可ubuntu14就这个慢啊。打击了我Linux的美好印象，下回弄个x86下安卓装装看。

melmonash

audreamer

fly_cat 发表于 2015-2-12 12:55
话说现在linux桌面性能也一般啊，在一台core2due， 1G内存的老机器上，win8.1的启动和应用反应都还可以接受 ...

安卓都是JAVA的虚拟机，更慢。

gifox

audreamer 发表于 2015-2-12 21:49
安卓都是JAVA的虚拟机，更慢。

好像从andriod 5开始会改成预编译？我不是程序员，听回来的。

gifox

其实这种病毒，搞系统的还真不容易中。谁相信一个单子下来不是PDF而是exe

大饼

gifox 发表于 2015-2-12 22:46
其实这种病毒，搞系统的还真不容易中。谁相信一个单子下来不是PDF而是exe

那个exe的icon就像一图片。
没有反病毒经验的估计2秒内就点开了。

肥而不腻

这个中毒过程还算是比较初级/明显的了，需要下载附件，解压缩和运行exe文件才能起作用。要是只要点了链接连上网页就中毒，那就更多人中镖了。

turquois

据说网上有解密软件，不过没试过，谁知道是不是又一个陷阱。
去年闹过两回，是伪装成Australian Post Office，说你有包裹什么的。问题是我们刚刚发过邮件给全公司的员工说不要打开这类邮件，人家就义无反顾的点点点。
还好加密过程比较慢，恢复起来也不是也不是太烦。

future2521

太危险了。

鱼羊鲜

一个不小心就中了

cdfei

鱼羊鲜 发表于 2015-2-13 10:41
一个不小心就中了

必须很不小心才会中

gifox

大饼 发表于 2015-2-13 08:40
那个exe的icon就像一图片。
没有反病毒经验的估计2秒内就点开了。

把那个隐藏已知扩展名的选项去掉，就没有那么容易看漏了。

gifox

turquois 发表于 2015-2-13 09:10
据说网上有解密软件，不过没试过，谁知道是不是又一个陷阱。
去年闹过两回，是伪装成Australian Post Offic ...

不可能轻易解密的，没有密钥，谁要有办法，那个算法破解的15万美金的悬赏还在呢。
只能依靠字典＋穷举的方法试出密钥。这个要干到哪年哪月就不知道了。

audreamer

gifox 发表于 2015-2-12 23:38
好像从andriod 5开始会改成预编译？我不是程序员，听回来的。

和Android的版本没有关系，其实JAVA代码和C#类似，都是预编译的，也就是所谓的中间代码，但这个所谓的预编译代码非Native的机器代码，所以最后还是在JAVA里的虚拟机里运行，所以效率低。