Encryptie virus

[lever]

Beste mede tweakers,

voor de familie doe ik nog wel eens computers schoon maken en repareren. Nu kwam mijn schoonzus naar mij toe dat haar computer een virus zou hebben.

Ik start hem op en het blijkt dat hij volledig encrypted is. Het bureaublad achtergrond is gewijzigd met tekst hoe dit weer terug gezet kan worden.

Ik heb mijn schoonzus verteld dat ik er niks aan kan doen. Behalve dan eventueel betalen wat ze vragen.

Iemand anders hier toevallig vaker mee in aanraking gekomen en het toch opgelost heeft?

Met vriendelijke groet,
Ernst

https://imgur.com/a/qscFU

[MAX3400]

Dit lijkt me LOCKY... Gebruik even de zoekfunctie van T.net en/of GoT en je komt er vast wel uit; er is de afgelopen maanden meer dan genoeg over geschreven en gepost.

[eltweako]

Hoi Ernst,

Toevallig loopt er op het moment nog een topic over een andere variant (Cerber). Ik raad je aan om dit topic even door te lezen. Het advies wat daar gegeven wordt geld ook voor Locky.

CERBER Virus.. Wat nu?

Koppel de pc overigens niet aan je eigen netwerk. Locky staat er bekend om ook toe te slaan op netwerk shares.

[Trommelrem]

Computer uitzetten, image maken van de disk, disk formatteren, herinstallatie, backup maken van de backup, backup scannen op virus, backup terugzetten.

[MAX3400]

Trommelrem schreef op donderdag 02 juni 2016 @ 19:10:
Computer uitzetten, image maken van de disk, disk formatteren, herinstallatie, backup maken van de backup, backup scannen op virus, backup terugzetten.

Goed verhaal... Bij gebrek aan info van TS, weet je niet eens of het om 2 disks van elk 8TB gaat. Image van 16TB naar iets van 16TB. Daar een backup van maken van 16TB. Niet iedereen heeft ff 48TB aan disks liggen.

Vind het trouwens een nutteloos verhaal dat de disks geformatteerd moeten worden; doe ik bij mijn klanten ook niet. Maanden geleden een crypto-uitbraak gehad; betreffende client uitgezet, block-based restore gedaan van de backup van de nacht ervoor, enige client ge-imaged. Klaar is Clara.

[ Voor 22% gewijzigd door MAX3400 op 02-06-2016 19:14 ]

[Baserk]

Hebben de bestanden toevallig een .locky extensie? Als in "Foto.jpg.locky"?

In dat geval is het waarschijnlijk Autolocky, een van de 'nep ransomware' versies
Lees dan bijv. deze Emsisoft webpage link voor hun decrypter.
(Emsisoft is een gerenommeerd AV bedrijf uit Oostenrijk).
Het zou behoorlijk toevallig zijn, waarschijnlijk heb je een serieuzere variant maar de moeite waard om te checken.

Voordat je aan de slag gaat, lees je eerst in en vergewis je ervan welke ransomware-familie het precies betreft.
In de al genoemde thread staan meerdere nuttige tips.

[FlipFluitketel]

Als je niet weet welk type ransomware het is, check het dan even op deze site. Versleuteld bestandje of het tekstbestandje (staan meestal in alle mappen die versleuteld worden) uploaden en je krijgt waarschijnlijk te zien welk type het is.

[lever]

Beste tweakers,

Bedankt voor alle reacties. Het is inderdaad locky die het werk heeft gedaan. Mijn schoonzus heeft aangegeven dat ze wel een Back-up heeft op een USB stick maar we weten nog niet of die ook getroffen is. Hij zat tenminste niet in de computer toen locky alles ontoegankelijk heeft gemaakt.

Locky heeft de Restore points en schaduw bestanden verwijderd dus terug gaan naar oudere versies is geen optie.

Wat ik ga doen is een nieuwe harde schijn in de pc zetten en een schone installatie op de pc zetten en de oude schijf bewaren tot er hopelijk in de toekomst een fix is.

Bestanden die met dropbox waren gesynchroniseerd hebben nog wel een schaduw cookie op dropbox. Deze kunnen dus nog wel gered worden.

Ik heb op deze website een hele hoop informatie weten te krijgen nadat ik er achter kwam dat het locky was. http://www.bleepingcomput...nsomware-information-help

Ik wil jullie bedanken voor alle hulp en hoop dat in de toekomst een manier gevonden word om deze bestanden te "kraken".

Met vriendelijke groet,
Ernst