Wannacry / WannaCry

https://technet.microsoft.com/en-us/library/security/ms17-010.aspx

Virus Alert / How to protect computer not infect virus

如何防護及感低受電腦病毒影響

1. 安裝防病毒軟件
 - 先要說明防病毒軟件不是100%可以防止電腦病毒, 正如香港有警察, 大廈有保安員唔代表你100%不會被搶劫

以下是較為建議的防病軟件, 主要係我用開呢兩隻, 感很比較好!
 - Symantec EndPoint Protection << For Business, 有Windows Server建議使用
    - Endpoint 11.0.7.4a
    - EndPoint 12.1.4 MP1 (Build 12.1.4100.4126)
 - ESET NOD32  << For Business / Home 唔算係最好, 但我覺得夠平
    - SmartSecurity 7.0
    - Anti-Virus 7.0
    - http://www.eset.hk

注意 : 
 - 再講一次即使你安裝左上術Anti-Virus唔係100%唔會中毒
 - 解如你用緊Norton, Symantec或 NOD32請時常注意你的版本及定義檔案是最新的, 比如你用ESET NOD32, 但仲用緊 2.7, 3.0, 4.0, 5.0, 6.0等版本都係玩自已

---

2. 小心瀏覽電郵, 網頁 及 IM訊息

關於電郵
 - 以下的圖片均是帶有病毒的郵件, 當收到郵件時內文附帶Attachment及連結都需要小心閱讀郵件看看是否病毒, 有些病毒郵件會假冒如 TNT, Fedax, UPS, Bank, PayPal, 政府, 金管局, Copier的Scan to E-Mail, 老闆, 客戶, 親人, IT 人等等, 如果你不能確定我絕不介意你把郵件轉發給我 chuyuk@gmail.com

圖片可點擊放大

關於網頁
 - 如你害怕中毒就不要再上網尋找及盜版下載音樂及電影, 有些人會安裝如 Youtube downloader來下載youtube影片或找MP3, 99% 你可以下載這個軟件的網站及程式本身就帶病毒

 - 貪字得個貧, 這些機會永遠不是你的, 不要再相信填Form可以得到iPhone / iPad

 - 色字頭上一把刀, 感濕都要付出付價!!

 - 不要信眼看見的東西, 以下兩個連結看來沒什麼 :
    http://hk.yahoo.com  << 看是Yahoo, Click下去看看會去到那裏
    http://mytv.tvb.com  << 看是 mytv, Click下去看看會去到那裏
    電郵亦一樣, 任何人都可以假冒任某人傳送郵件, 何況病毒!!

關於IM及軟件
 - 如這是你公司的電腦, 我絕不讚成公司電腦安裝任何軟件如 PPTV, PPSteam, 風行等等
 - 如這是你公司的電腦, 我絕不建議公司電腦安裝任何關於淘寶及阿里旺旺等等
    *** 上術兩項不要問我為什麼不, 倒不如問問你老闆在辦工時可否淘一淘及看出電影, 如你工作能清閒如此, 中毒機會其實不少, 午饍的空閒時間請用手機, 不要這麼自私只為了自己, IT 人其實真係好忙架 ***
 - 如這是你公司的電腦, 我絕不建議安裝金山毒霸, 360 及什麼安全管家
 - IM如Yahoo Messenger及Skype收到任何訊息帶有網站連結都不要去按, 請參考關於網頁
<制作中>

---

3. 設定電腦權限
<制作中>

---

4. 定期備份
<制作中>

---

5. 各項帳戶如e-Mail 密碼請使用比較複雜的密碼
以下網頁可測試你的密碼需要多久時間才可以破解, 但要注意測試時請輸入類似及十分接近的密碼, 不要直接輸入真的密碼, 你不會知道這個網頁那天會被惡攪紀錄了你的資料
https://howsecureismypassword.net/

良好的密碼最好包括以下
1. 長度有10字元
2. 包含大草及細草的英文字
3. 包含數字
4. 包含符號但最好易記 (如 a 用 @取替, s 用 $ 取替等等)

Anti-Virus Support

ESET NOD32

Contact (7 x 24)
E-Mail : support@eset.hk
Technical Support Hotline: (852) 2893-8186　Fax: (852) 2893-8214

Official Download Page http://www.eset.hk/download/home/
New Purchase / Renewal Registration Page http://www.eset.hk/register/
ESET Online Scanner http://www.eset.hk/threat-center/online-scanner/
ESET Offline Update http://www.eset.hk/support/update_package/

ESET SysInspector

ESET SysInspector 是一個分析電腦作業系統、處理程序、登錄檔和網路連接的免費應用程式。它可助你輕鬆地收集電腦中的系統數據並儲存成紀錄檔，再送往技術支援專家分析，作威脅評估。簡單來說，你可以藉由ESET SysInspector匯出的記錄檔，把電腦中所收集到的系統數據和資料傳送給IT專家作分析和威脅評估。這不但幫助你比以前更快捷和客易處理電腦中的惡意程式，而且同時亦維護了客戶個人隱私的需要。因為匯出記錄檔時，你可選擇ESET SysInspector替你排除所有私人資料、機密數據和重要檔案，所以就算記錄檔內容被張貼於一些電腦技術討論區時，使用者也不用擔心隱私會被洩漏出去。

---

I receive the message that my ESET installation ended prematurely
http://kb.eset-la.com/esetkb/index?page=content&id=SOLN2861

Virus E-Mail [ howdecrypt ] [ ransomware ] [ CryptoDefense / CryptoLocker ]

剛剛最近有客戶感染了新類型的電腦病毒 Trojan.Ransomlock, 呢個病毒我感到相當震撼, 以往常見的病毒一搬都係整慢整瓜Windows, 亂發e-mail, 亂彈色情網站, 叫做嚴重D就係偷取你的個人資料或銀行資料等等... 十幾年前的CIH病毒中左後係謀一天爆發, 成個Harddisk的資料連Windows冇晒, 我覺得對我冇嘜野特別, 我幫你裝返個Windows收工, 你冇晒Data已經係事實, 你冇做任何Backup呢個就唔係我的問題啦, 新呢類 ransomlock的病毒, 感染後會把你電腦內的所有文件包括USB Harddisk及Connected的Share Drive (Server Drive)的檔案全部加密, 加密左的檔案全部開唔到, 有機會連你的Backup Data都加密埋, 呢種情況下可以算係Total Loss!!

最開心係所有被加密過的文件都會留低一個 HOW_DECRYPT的文件, 文件主要係講如果你想救回文件可以點做, 咁當然係俾錢個Hacker!!!  由中毒那天起計一個月內如沒有俾錢就永遠救唔返D File, 頭7天內俾錢就 US$500, 7天後就 US$1000!!!  付款以Bit Coin作交易, 你必需自行購買Bit Coin再把Bit Coin匯給Hacker, 所以你係追唔到Hacker的來源, 你無需報案因為亦有人report返來話報左警, 警察話唔會理呢D Case!!!

如何查找那台電腦感染這個病毒 :

每次開機會彈出上圖畫面, 而這台電腦的 "My Document" 一定會有  Howdecrypt 等file!!!

什麼情況下會連我的Backup也被加密 :

 - 如你使用 USB Harddisk 接駁電腦, 你的 USB Harddisk內所有檔案一定被加密

 - 如果係Server 的Share Drive會被感染病毒的電腦把檔案加密, 如果server只做 rsync 及 daily copy backup好有機會backup埋加密左既文件

如何Backup我的文件才不會被加密及受到影響 及 最好的Backup方法 :

 - Server每天均用Tape Media Backup, 同時每天均會換Tape

 - Server會自行backup share folder同時keep多個version/history, 而backup location不是一個share folder可以供user進入, 那病毒更無法加密檔案, 同時因為多個version的backup 及history所以即使昨天的文件已被加密, 還有再早多幾天的可以復原

 - 上面講的都是Share Drive, 那User 電腦的保障就是必需開啟VSS (Shadow Copy), 最好就是所有文件都存放於Server上

病毒是如何感染?  如何防止中毒?

 - 暫時應該是由 e-Mail attachment感染回來, 任何時候都應該睇清楚個e-mail內文先好開啟attachment附件, 很多user都不會插入 hyperlink連結到e-mail內, 不要見link就click, 男同事就不要色字頭上一把刀見到似係咸相就click落去

基本上所有人包括你老闆sent給你的e-mail都有機會係由virus假扮, 常見的virus sender包括有Express公司 (Fedex, TNT, DHL, UPS), 銀行, Yahoo, Hotmail, Microsoft, PCCW等等!!!  

已知今天病毒的附件係一個假既 PDF檔案附件, Icon圖示及Filename都與PDF相同, 其實係一個病毒, 而成個e-mail係假扮 Copier的 Scan to E-Mail, 呃你去click!!

PS : 最後我幫個客買Bit Coin取回加密Key才可以救回所有文件 (約花了 HK$5000) , 仲未計我收佢既費用, 約莫攪左20個Working Hours!

HISTORY / CASE :

 - 第一個客中毒約莫係5-Apr-2014, 9-Apr-2014已付錢買Key, 到9-May-2014仲未decrypt返晒所有file (主因係一台電腦中毒, 星期五放工沒關機, 到星期一返工時全Server文件被加密了, 病毒加密所有文件用了三天, 買key解密用左一個月30 x 24都未解密完) <9-Apr-2014>

 - 已發郵件給所有客戶, 通知此病毒, 當然包括埋此Blog, 通知需更換可偵察的Anti-Virus及預先做備份已防萬一

 - 可偵察的防病毒軟件 ESET NOD32 Anti-Virus 7 及 Symantec Endpoint Protection (註: 第一個中毒的客戶本身就係用NOD32, 中毒幾日後才能detect出來)

 <9-Apr-2014>

 - 第二個客中毒反應來得較快, 只有兩台Client電腦中毒, 一台電腦需新安裝Windows, 而另一台因為User沒有admin right所以不影響系統, 但電腦內的文件全部被加密, 因為反應得快, 沒影響Server, 不用買key!! <21-Apr-2014>

 - 第三個客中毒並沒有Server, 只是一台PC 用share folder share文件給各同事, 中毒時間不清楚, 但因晚上沒有關機, 第二朝早上便所有文件已被加密 <9-May-2014>

Symantec Blog
http://www.symantec.com/connect/blogs/cryptodefense-cryptolocker-imitator-makes-over-34000-one-month

Microsoft Security Essential

由Microsoft推出的免費防病毒軟件！Microsoft Security Essential
官方網站連結 ： http://windows.microsoft.com/zh-hk/windows/security-essentials-download

支援視窗 ：
 - Windows 7
 - Windows Vista
 - Windows XP (32bit only)

以下版本Windows不支援 :
 - Windows 9x / ME / 2000
 - Windows XP (64bit)
 - Windows 8
 - 任何 Server 版本

下載連結
 - Download for Windows XP
 - Download for Windows 7 / Vista (32 bit)
 - Download for Windows 7 / Vista (64 bit)

我的Windows 7 / Vista 是 32bit還是64bit?
- 開啟 [系統]，請按一下 [開始] 按鈕 、以滑鼠右鍵按一下 [電腦]，然後按一下 [內容]。
- 或參考以下連結

安裝時需注意 ：
1. 每個電腦只能安裝一個防病毒軟件，任何時候安裝防病毒軟件都必需先確定你的電腦沒有其他防病毒軟件，如已經有其他防病毒軟件請先Uninstall才好安裝，電腦多過一個防病毒軟件的話，輕則嚴重影響電腦效能及速度，重則無法啟動電腦或登入後電腦沒有反應。
2. Security Essential需要正版視窗才可以安裝，當然Crack左都可以安裝！

AVASoft Professional Antivirus

又一個新的 Fake Anti-Virus, 出現上圖後，防病毒軟件， Registry, CMD等功能均被停用，亦不能不理會它， 因為基本上所有程式包括Word & Excel均不能使用！

這台電腦使用Symantec EndPoint Protection居然沒有被偵察出來，還給它關掉了服務！幸好這個病毒比較容易對付！

Infected PC Symantec EndPoint Def. Date : 2-Apr-2013

Infected Date : 2-Apr-2013

Infected PC OS : Windows 7 64bit

Virus Report on Internet : 21-Mar-2013

Solution :

1. Boot Safe Mode

2. Delete 病毒檔  C:\ProgramData\<數字頭的資料夾>  唔肯定的話， 請rename 

3. Boot Normal Mode

4. 下載 Malwarebyte 及掃瞄 http://www.malwarebytes.org/

Remark : 暫時發現這病毒只影響謀個Login Profile，不影響Registry, 不清楚載入點， 只刪除病毒檔便可！