nepotonod.exe

显示全部楼层 · 发表于 2018-10-7 17:34:23

chengleok 发表于 2018-10-7 12:32
我问个小白问题，MBR被锁了可以用U盘启动PE系统恢复MBR吗

按17楼说的操作，网上资料很多，但碰上会重写MBR的还是不行，所以得提前备份分区表。。

显示全部楼层 · 发表于 2018-10-7 17:49:49

Trend Micro
执行报勒索

名稱: nepotonod.exe
來源: 未知
版本:
版權所有:
偵測到的資源或程序 ID: C:\Users\diakov\Downloads\Compressed\nepotonod.exe(密码：shoucan)\nepotonod.exe
處理行動: 已拒絕

复制代码

显示全部楼层 · 发表于 2018-10-7 19:33:02

EIS V11

日志
正在扫描日志
检测引擎的版本: 18174 (20181007)
日期: 2018-10-07 时间: 19:32:43
已扫描的磁盘、文件夹和文件: G:\样本测试\nepotonod.exe(密码：shoucan)\nepotonod.exe
已扫描的对象数: 1
发现的威胁数: 0
完成时间: 19:32:43 总扫描时间: 0 秒 (00:00:00)

复制代码

显示全部楼层 · 发表于 2018-10-7 19:58:53

双击过咖啡个人版，画面变彩虹

显示全部楼层 · 发表于 2018-10-7 21:02:34

https://www.microsoft.com/en-us/ ... 6-b94b-ba4b0e64354c

刚刚上传了微软。。其实双击一下会更快出结果。没有技术不敢双击。

显示全部楼层 · 发表于 2018-10-8 03:26:20

本帖最后由 petr0vic 于 2018-10-8 03:30 编辑

avira pro beta
执行

显示全部楼层 · 发表于 2018-10-8 12:00:07

静影沉璧发表于 2018-10-7 11:52
现在已经进了PE，还原分区表就行？
还是要重建MBR……？

你那个bd也不能防住吗

显示全部楼层 · 发表于 2018-10-8 16:31:26

www-tekeze 发表于 2018-10-7 17:34
按17楼说的操作，网上资料很多，但碰上会重写MBR的还是不行，所以得提前备份分区表。。

主要是恶意软件一直在发展，早期是修改MBR，然后是修改分区表，再然后是修改MBR，修改分区表，然后加上开机写EXE恢复恶意MBR强制重启,再后面是加上开机驱动恢复恶意MBR强制重启。
所以比较建议的方案是先进WINPE修复恶意MBR和分区表，然后再重启进WINPE，用急救箱WINPE版扫描清除掉恶意的驱动和开机加载程序后，再进系统。当然恶意木马也会有更激烈反制的方法，只能是亦步亦趋了。
同理UEFI启动的系统更容易被破坏和劫持。

显示全部楼层 · 发表于 2018-10-8 17:12:56

wowocock 发表于 2018-10-8 16:31
主要是恶意软件一直在发展，早期是修改MBR，然后是修改分区表，再然后是修改MBR，修改分区表，然后加上开 ...

确实，除了恢复MBR和分区表，还得把磁盘上的恶意程序及开机启动项清除掉，否则重启又回来了。。。但大佬说“UEFI启动的系统更容易被破坏和劫持”，这个就不懂了，不是说有多个引导备份，会自恢复么。。

显示全部楼层 · 发表于 2018-10-8 17:27:36

www-tekeze 发表于 2018-10-8 17:12
确实，除了恢复MBR和分区表，还得把磁盘上的恶意程序及开机启动项清除掉，否则重启又回来了。。。但大佬 ...

你研究下GPT分区的结构就清楚了，只不过在磁盘的最后有一个GPT分区的备份，但如果同时破坏原始和备份的GPT分区，则用工具都很难恢复。

[病毒样本] nepotonod.exe

评分