[救援] 用還原的方式拿回QNAP被加密的檔案

dennisxkimo 04/27 15:11喔~放進去testdisk利用誤刪檔案救回方式撈出來

dennisxkimo 04/27 15:15因為是用7z壓縮加密碼加上完成後刪除原檔案

bitlife 04/27 15:15勒索軟體加密過程就一直在寫入不是? 還是它是全做完

bitlife 04/27 15:16所有檔案才一整批刪除?

andy199113 04/27 15:50好文

derek364745 04/27 17:00還沒救完，不過看救援出來的檔案都是可以開的

derek364745 04/27 17:01我覺得他是加密完再一次刪除

maniaque 04/27 17:23先建已加密檔(用既有空的空間),刪除檔案(放出空間)

maniaque 04/27 17:24原始檔案雖然 table entry 被刪,但透過救援還是可以

maniaque 04/27 17:24追檔案(只要放出的空間沒有被其他檔案用去)

Ken210430 04/27 17:42推

FTICR 04/27 18:38推

MK47 04/27 21:59推

TWN48 04/27 23:39從之前那個撈正在進行中的加密密碼的 hack 可以看到

TWN48 04/27 23:39命令列參數，是用 7z 的 -sdel: 壓縮後刪除原檔做的

bitlife 04/28 06:47我今天早上想到,勒索病毒一定是加密完一個就刪一個,

bitlife 04/28 06:47否則只要它工作還沒完成直接砍掉,所有原檔都還在,這

bitlife 04/28 06:49應該不可能,所以檔案數越多,就等於越早被加密後刪除

bitlife 04/28 06:50的檔,刪除後經歷了越多後續的寫入動作,推測能成功救

bitlife 04/28 06:50回的檔是較晚被加密後刪除的

money0922 04/28 10:42謝謝分享，先試試看

twnuu 04/30 19:18幫推，如果有用到的人可以參考