Koneen kaappaus?

Poisto-ohjelmia on netissä saatavilla. Varmin tapa on kuitenkin palauttaa kone alkuperäiseen tilaan. Samalla poistuu mahdolliset muutkin haitakkeet, joita ei ole huomattu.

Minäkin suosittelen tuossa tilanteessa omien tiedostojen talteen ottoa ja Windowsin uudelleen asennusta. Tai voithan kokeilla palauttaa kone muutama päivä taaksepäin palautuspisteiden avulla mutta tämä ei aina auta.

Käyttöjärjestelmän uudelleenasennus on siinä tapauksessa ainoa varma keino päästä haittaohjelmasta eroon jos haittaohjelma on päässyt asentumaan järjestelmänvalvojan oikeuksin.

Tässä kohtaa kannattaisi miettiä mikä meni pieleen koska tuollaisen tapahtumisen pystyy jatkossa helposti estämään.

- Oliko kyseessä tosiaan oikea video vai huijaus tyyliin tissivideo.mpeg.exe?

- Oliko käytössä oleva videoplayeri päivitetty viimeiseen versioonsa.

- Oliko konetta käytetty järjestelmänvalvojan oikeuksin kun video? oli käynnistetty?
erillinen tavallisen käyttäjän oikeuksin varustettu käyttäjätili olisi pelastanut käyttöjärjestelmän uudelleenasennukselta. Sinulla olisi nyt käytössä puhdas järjestelmänvalvojan tili josta käsin voisit ottaa henkilökohtaiset tiedostosi talteen saastuneelta käyttäjätililtä, hävittää sen saastuneen tavallisen käyttäjätilin kokonaan tiedostoineen ja luoda uuden tavallisen käyttäjätilin.

Vikasietotila verkkoyhteyksin, lataa Malwarebytes'AntiMalware ja anna sen poistaa haitta.

Infoa:
http://www.iltalehti.fi/digi/2013020416633474_du.shtml

Eräältä sivuilta löytyi seuraava ohje:

"Koneen mentyä haittaohjelman toimesta lukkoon ainoa toimiva näppäinyhdistelmä näyttäisi olevan Control-Alt-Delete. Avautuvan valikon kautta voi kirjautua ulos, jolloin haittaohjelma sulkeutuu ja lukitus tilapäisesti vapautuu. Tämä jälkeen kannattaa katkaista verkkoyhteys joko irrottamalla verkkokaapeli, sammuttamalla langaton verkkokortti tai poistamalla mokkula. Verkkoyhteyden katkettua haittaohjelma tyytyy käynnistymään taustalle lukitsematta konetta. Haittaohjelma on käyttäjäkohtainen, joten koneelle voidaan ongelmitta kirjautua sisään myös toisella käyttäjätunnuksella. Tällöin myös verkkoyhteys voi olla auki.

CERT-FI tutkima kiristyshaittaohjelma asentui käyttäjän tilapäiskansioon. Tilapäiskansioon on helpointa siirtyä avaamalla Internet Explorer ja kirjoittamalla osoiteriville %TEMP%. Avautuvassa hakemistossa voi olla useampia tiedostoja. Tiedostojen aikaleimojen avulla voi yrittää päätellä, mikä tiedosto kuuluu haittaohjelmalle. Meidän tapauksessamme haittaohjelma lymyili tiedostossa, jonka nimi oli er_00_0_l.exe. Tilapäiskansion tiedostot eivät ole oleellisia itse käyttöjärjestelmän toiminnan kannalta, joten kansion tiedostoja voi suhteellisen turvallisesti poistaa. Koska haittaohjelma on käynnissä, tiedoston poisto ei välttämättä kuitenkaan onnistu. Tällöin voi kokeilla tiedoston nimeämistä uudelleen.

Poiston tai uudelleen nimeämisen jälkeen voi kirjautua ulos ja takaisin sisään. Mikäli näyttöön avautuu alla olevan kuvan mukainen RUNDLL-virheilmoitus, voidaan olla varmoja siitä, että kyseessä oli oikea tiedosto. Tämän jälkeen tiedoston voi käydä poistamassa lopullisesti tilapäiskansiosta. Mikäli vielä haluaa eroon RUNDLL-virheilmoituksesta, tulee haittaohjelman luoma oikopolku poistaa käynnistysvalikoista. Meidän tapauksessamme oikopolku oli nimeltään cftmon.lnk."

Olen itse joutunut joulukuussa kyseisen poliisikiristysviruksen "ransomware" uhriksi! Silloin apu löytyi fsecuren ilmais chatistä jossa alan asiantuntija antoi ohjeet viruksen poistamiseen. Itselläni oli juuri tuo versio jossa web kamera rupeaa kuvaamaan ja ensimmäinen vaihe oli peittää kyseinen kamera ennenkuin aloin poistamaan virusta automaatti käynnistysriviltä. Eli virus on siinä mielessä kevyt että jos et päästä konetta nettiin niin se ei aktivoidu eli ainakin saat kopioitua kaiken arvokkaan koneeltasi pois!!! Lopuksi viellä halua sanoa lämpimät kiitokset kotimaiselle fsecurelle asiantuntevasta käyttäjä ystävällisestä palvelusta! :-)

Onko nyt kuitenkin niin, että ko.viruksen saa niin "epämääräiseltä laittomalta pornosaitilta" että vapahtoisia maksajia on löytynyt miljoonien edestä?

Jos käyttää normaalia käyttäjätiliä ja ei asenna tuntemattomia ohjelmia niin haittaohjelmia ei voi käytännössä tulla.

Minä olen ainoa käyttäjä, siis järjestelmänvalvoja ilman mitään salasanaa. Miten luon uuden tilin ja pitääkö siinä olla salasana?