Rootdir. Malware?

[-WISE-]

Καλησπέρα παιδιά.

Μάλλον κόλλησα κάτι ύποπτο. Έβαλα ένα στικάκι στο laptop και από τότε ό,τι στικάκι ή κάρτα μνήμης βάζω, όταν πατάω διπλό κλικ να μπω μέσα στα αρχεία, μου βγάζει ένα περίεργο shortcut "usb drive" και πρέπει να ξανακάω διπλο κλικ για να μπω στα αρχεία μου. Παραθέτω φωτό για να γίνω πιο κατανοητός.

Επίσης, μου εμφανίστηκαν αυτά τα αρχεία vbs (???) που φαίνονται στην τρίτη φωτό.

Έκανα scan με το malwarebytes, έσβησα ό,τι ύποπτο βρήκε αλλά το πρόβλημα παραμένει.

[micos000]

Κάνε δεξί κλικ στην συντόμευση και δες τι λέει στον προορισμό και στο εκτέλεση από. Σίγουρα θα εκτελεί ένα από τα vbs το οποίο αφού κάνει ότι κάνει θα ανοίγει και τον φάκελο με τα αρχεία. Προφανώς μεταφέρει τα αρχεία σε έναν κρυφό φάκελο. Άνοιξε με δεξί κλικ και ένα vbs και δείξε μας τι έχει μέσα.

Εμφάνισε τα κρυφά αρχεία από το View και δες αν φαίνεται. Αν όχι, πήγαινε folder options και ξετσεκάρισε το Hide protected and systrem file and folders.

Γενικά, αφού στο κάνει συνέχεια δεν έχει καθαρίσει το σύστημα σου και κάθε φορά που κάνεις αυτήν την κίνηση και πατάς στην συντόμευση ξαναμολύνεις το σύστημα σου.

Επίσης, μην τολμήσεις και συνδέσεις κάποιο από τα στικάκια σου ή της κάρτες μνήμης σε άλλον υπολογιστή ή σε pc γραφείου γιατί θα δημιουργήσεις πρόβλημα.

[-WISE-]

Ευχαριστώ φίλε @micos000 για την απάντηση.

Λοιπόν, μου λέει να το ανοίξω με Microsoft windows based script host. Αυτό που γράφει στο vbs δεν με αφήνει το site να το ανεβάσω. Κάτι χτυπάει και με μπλοκάρει. Το ανέβασα σε φωτό.

Δες στις φωτό τι φάκελοι υπάρχουν. Οι πρώτες 2 φωτό είναι από το σκληρό μου και η δεύτερη από την κάρτα μνήμης. Υπάρχουν και 2 shortcuts κρυφά στην επιφάνεια εργασίας.

 

Επεξ/σία Πέμπτη στις 12:40 πμ από -WISE-

[micos000]

Λοιπόν, είναι όπως το φαντάστηκα. Έχει κρυφό φάκελο και η συντόμευση πρώτα εκτελεί ένα bat αρχείο και μετά σου ανοίγει τον φάκελο.

Πρώτα καθάρισε καλά το σύστημα σου.

Μετά πάρε όλα τα στικάκια, sd και εξωτερικούς δίσκους και διέγραψε την συντόμευση και τον rootdir, βγάλε έξω από τον φάκελο USB Disk τα αρχεία σου, διέγραψε τα vbs και τον φάκελο USB Disk.

Πρόσεξε το μην στο εμφανίσει ξανά.

Αυτοί είναι συνήθως παλιοί ιοί και μεταδίδονται συνήθως από φωτοτυπάδικα. Οι πιο μοντέρνοι ιοί είναι συνήθως ransomwares.

[-WISE-]

5 λεπτά πριν, micos000 είπε

Λοιπόν, είναι όπως το φαντάστηκα. Έχει κρυφό φάκελο και η συντόμευση πρώτα εκτελεί ένα bat αρχείο και μετά σου ανοίγει τον φάκελο.

Πρώτα καθάρισε καλά το σύστημα σου.

Μετά πάρε όλα τα στικάκια, sd και εξωτερικούς δίσκους και διέγραψε την συντόμευση και τον rootdir, βγάλε έξω από τον φάκελο USB Disk τα αρχεία σου, διέγραψε τα vbs και τον φάκελο USB Disk.

Πρόσεξε το μην στο εμφανίσει ξανά.

Αυτοί είναι συνήθως παλιοί ιοί και μεταδίδονται συνήθως από φωτοτυπάδικα. Οι πιο μοντέρνοι ιοί είναι συνήθως ransomwares.

 Είναι ιός που έχει προσβάλει τον σκληρό μου λογικά και μεταφέρει σε οτιδήποτε του κουμπώνω. Πώς μπορώ να τον εντοπίσω και να τον σβήσω χωρίς format;

[micos000]

2 ώρες πριν, -WISE- είπε

Έκανα scan με το malwarebytes, έσβησα ό,τι ύποπτο βρήκε αλλά το πρόβλημα παραμένει.

11 λεπτά πριν, -WISE- είπε

Είναι ιός που έχει προσβάλει τον σκληρό μου λογικά και μεταφέρει σε οτιδήποτε του κουμπώνω

Φυσικά και θα παραμένει αν μετά που θα καθαρίζεις το σύστημα βάζεις μολυσμένα στικάκια και τα ανοίγεις από τις συντομεύσεις.

41 λεπτά πριν, -WISE- είπε

Υπάρχουν και 2 shortcuts κρυφά στην επιφάνεια εργασίας.

Φυσικά και υπάρχουν. Έτσι πρέπει να είναι.

Τα desktop.ini αρχεία υπάρχουν σε κάθε έναν προσωπικό φάκελο στο προφίλ σου. Απλά είναι system και hidden

Επεξ/σία Πέμπτη στις 01:19 πμ από micos000

[-WISE-]

Λοιπόν, έκανα δοκιμή με ένα στικάκι που είχα spare και δεν με ενδιέφερε να το χαλάσω.

Έσβησα από το στικάκι το rootdir και την συντόμευση. Έσβησα και τον φάκελο USB Drive αφού πήρα από μέσα ό,τιείχε και τα έριξα χύμα στο στικάκι.  Έβγαλα και ξαναέβαλα το στικάκι και φαίνεται ότι να δουλεύει σωστά. Το θέμα είναι ότι για να σώσω τα υπόλοιπα στικάκια και κάρτες μνήμης που έχουν μολυνθεί, αν τα βάλω στο πισί θα το ξαναμολύνουν.

[micos000]

Όχι, δεν θα  ξαναμολύνουν. Την μόλυνση την ξανάρχιζες εσύ κάθε φορά που έκανες διπλό κλικ στη συντόμευση. Βασικά αυτός είναι ένας από τους βασικούς κανόνες προστασίας.

ΠΟΤΕ, ΠΟΤΕ, ΜΑ ΠΟΤΕ δεν πατάμε σε συντόμευση που δεν κάναμε εμείς και δεν ξέρουμε που οδηγεί, ιδίως αν η συντόμευση εμφανίστηκε μόνη της χωρίς δικές μας ενέργειες.

Εννοείτε ότι η απενεργοποίηση του autorun, στα στικάκια ιδίως, είναι επιβεβλημένη. Στα win 10-11 δεν είναι ενεργό το autorun από προεπιλογή.

Επεξ/σία Πέμπτη στις 09:44 πμ από micos000

[-WISE-]

Ευχαριστώ φίλε @micos000. Φαίνεται ότι το περιόρισα το φαινόμενο.

Θα το παρακολουθώ. Να είσαι καλά!

[micos000]

Μόνο θυμήσου αν κούμπωσες τα στικάκια σου σε άλλο pc και πάτησες στην συντόμευση και εκεί γιατί θα έχει μολυνθεί και αυτό το pc.

[Aris_]

που πήγαν οι καλές παλιές μέρες που κλείδωναν μηχανικά  τα stick και δεν μπορούσαν να γράψουν εκεί που τα έδινες για την δουλειά σου 

[micos000]

Πρέπει να είναι κάτι καινούργιο τελικά και όχι παλιός ιός.

Μου έσκασε και άλλη ακριβώς ίδια περίπτωση από τηλέφωνο και το είπα τα ίδια που έγραψα κι εδώ και καθάρισε.

[-WISE-]

Υπάρχουν και αρκετά θέματα στο reddit και στα forums της MS.

Το θέμα είναι ότι στην δική μου περίπτωση έχει γίνει τρελή διασπορά. Μεταδόθηκε από υπολογιστές σε μεταπτυχιακό πρόγραμμα. Τον ιό τον τσίμπησε η γυναίκα μου από ένα στικάκι που της φέρανε να αντιγράψει κάποια αρχεία και από εκεί ξεκίνησε μία ολόκληρη αλυσίδα. Το κόλλησαν φοιτητές, το κόλλησαν καθηγητές, το κόλλησα εγώ μέσω ενός στικ της γυναίκας μου. Φαντάζομαι όλοι αυτοί οι φοιτητές του μεταπτυχιακού που εργάζονται σε εταιρείες αλλά και οι καθηγητές που θα βάζουν τα στικάκια τους σε άλλα PC πόσο θα το έχουν διαδώσει.

 

[micos000]

Όλα ξεκινάνε και καταλήγουν στον ανθρώπινο παράγοντα.

Μα καλά, παίρνουν ένα ξένο στικάκι, βλέπουν μια συντόμευση σε ένα στικάκι και την πατάνε χωρίς να σκεφτούν για ποιο λόγο να υπάρχει μια συντόμευση από το στικάκι, μέσα στο στικάκι; Και όχι, δεν είναι ούτε πυρηνική φυσική ούτε πρέπει να είσαι χάκερ για να ψηλιαστείς ότι κάτι δεν είναι σωστό.

Εντάξει, δεν το λέω συγκεκριμένα για σένα αλλά πρέπει να προσέχουμε τριπλά όταν παίρνουμε ξένα στικάκια. Φαντάσου να ήσουν σε κάποιο γραφείο (δικηγορικό, λογιστικό κτλ) και να σου περνούσε ένα ransomware και να σου κρυπτογραφούσε όλα τα έγγραφα στο pc και στους δικτυακούς σου δίσκους; Και ως συνήθως κανείς δεν ασχολείται με backup κτλ ή τα backup είναι στα ίδια τα pc ή σε στικάκια και εξωτερικούς δίσκους που όταν τους κουμπώσουν κάπου θα μολυνθούν και αυτοί. Εκεί να δεις καταστροφή (το έχω δει και είναι θλιβερό να βλέπεις άντρες 50χρονους να κλαίνε).

[D___G]

Αν και αποφεύγω τα ξένα στικάκια, κάνω κάτι όταν κάποτε συνδέσω κάποιο:

Μόλις μπει στον υπολογιστή, δεξί κλικ, και επιλογή για έλεγχο για ιούς (με όποιο πρόγραμμα υπάρχει) πριν ανοίξουν, το συνιστώ.

Επεξ/σία Παρασκευή στις 03:42 μμ από D___G