Hur man återställer filer efter kryptering av WannaCry ransomware-viruset

God eftermiddag, Habrazhiteliki. Det har skrivits mycket på Habré om hur du skyddar dig från WannaCry. Men av någon anledning förklarades det ingenstans hur man returnerar krypterad data. Jag vill fylla denna lucka. Och kasta lite ljus över hur vi gjorde detta i vårt ”välkända” företag som arbetar med logistik. Detta är mer en instruktion för våra informationssäkerhetsadministratörer.

Återställning efter datakryptering

Detta är inte dekryptering, utan snarare återställning. Och det fungerar bara om skuggkopiering är aktiverat i windows, d.v.s. Data kan återställas från själva Windows-återställningspunkterna.

För att göra detta kan du använda verktyget ShadowExplorer - det är gratis och låter dig återställa filer från återställningspunkter. Återställningspunkter skapas varje gång systemet uppdateras och gamla skrivs över av nya. Antalet poäng beror på det utrymme som tilldelats för återhämtningspunkter. I genomsnitt lagras 5-6 av dem på genomsnittliga Windows.

Välj en återställningspunkt så kan du exportera filer och kataloger till den plats du behöver:

Välj de filer som ännu inte är krypterade och exportera dem till den plats du behöver.

(I vissa fall, när uppdateringen redan har passerat, kan dessa återställningspunkter skrivas över när filerna ännu inte var krypterade. Det är också möjligt att en del av data redan är krypterad i återställningspunkterna, men en del är det inte ännu. Du behöver bara återställa det som kan återställas.)

Det är i princip allt som krävs för restaurering där det är möjligt.

Viktig! Efter att ha återställt filer måste du radera de återställningspunkter där data redan var krypterad. Det har märkts att det är här viruset återställer sig efter rengöring.

Återställ data, samt neutralisera och ta bort viruset:

1. Koppla bort din dator från nätverket
2. Därefter måste du använda verktyget wann_kill_v_(versionsnummer) - detta verktyg dödar virusprocessen. Själva virussignaturerna förblir lagrade i systemet. Vi gör detta pga när du tar med en flashenhet till datorn som behöver desinficeras krypterar viruset flashenheten. Det är viktigt att köra det här verktyget innan viruset kommer in på flashenheten.

3. Rengör din dator med DrWeb CureIt (här tas själva viruset bort från datorn)
4. Återställ data du behöver enligt beskrivningen ovan " Efter datakryptering»
5. (Endast efter dataåterställning) Förstör återställningspunkter, eftersom det är här viruset återställer sig efter rengöring.

Systemskydd:

Ställa in:

Radera.

6. Rulla sedan ut KB4012212-patchen och stänger därmed nätverkssårbarheten MS17-010
7. Slå på nätverket och installera (eller uppdatera) antivirusprogramvara.

Det var i princip så jag bekämpade Wanna Cry-viruset.

Etiketter: WannaCry, Dekryptering

Läsa:

Formatering via BIOS Att ställa saker i ordning - rengöra hårddisken i Windows 10 Wanna Cry "ropade" till hela världen - hur man löser virusproblemet Tillfällig post i 10 minuter utan registrering Vad ska man göra och hur man låser upp?