Uzantısı Değişmiş Klasör ve Dosyalar

[TunahanC]

Dosyalarımız böyle bir şekilde sorunlu oldu. Daha önce bunu yaşamış olan var mı acaba?

 

[ay_erdi]

Fidye virüsü yemişsiniz

 

[frmman]

Geçmiş olsun. Fidye virüsü. Umarım yakın tarihli yedeğiniz / yedekleriniz vardır

 

[FM.88MHz]

Sorun yalnızca uzantı değişiminden mi ibaret?
Dosya içeriklerinin zarar görüp görmediğini belirleyebildiniz mi? (Bozma, ezme, şifreleme vb. durumlar var mı?)

Yani, bir tanesinin uzantısını düzelttiğinizde yazılımınız o dosyayı düzgün açıp içeriğini size gösteriyor mu?

Bu arada... Deneme amaçlı bile olsa, virüslü sistemde yapılacak her kurcalama sorunu daha da büyütebilir, bunu da göz ardı etmemekte yarar var.

Geçmiş olsun.

 

[TunahanC]

Yani arkadaşın sistemi büyük hasar görmüş. Dosya uzantılarını değiştirmek çözmedi. Sonrasında bir yerde readme adında dosya bulduk ve evet fidye yazılımı olduğu doğrulandı ama çok ilginç bir şey farkettik.

Bunu yapan kişi sisteme uzaktan bağlanmış bu kesin ama arkadaş uzun zamandır bir şey indirmediğini söylüyor. Bu uzaktan bağlantı işi nasıl olmuş olabilir bir fikri olan var mı?

 

[frekans50]

Eski bir tarihte yüklediği program beklemiş bilgisayar açık olduğu zamanlar çalışmıştır

Belki önce dosyaların içini değiştirdi aylarca

son aşamada uzantıları hallederek noktayı koydu.

 

[birisim]

readme adında dosya bulduk ve evet fidye

Dosya içinde iletişim bilgileri varsa, uzaktan bağlantıya ihtiyac kalmaz. Mühtemelen dosyaları şifrelemeden önce beklemiş.

 

[triyak]

Önce yerleşip hiç bir şey yapmadan bekliyorlar. Bu sürede dosya paylaşımı vs ile başka bilgisayarlara geçiyorlar. Daha sonra aktif olup dosyaları şifreleyip fidye isteniyor.

 

[mehmetaliözdemir]

bu bana da oldu. en yakın geçmişe dödürdüm düzeldi. sanırım bendeki dandik virüstü. bu kadar kolay olamamalıydı.

 

[TunahanC]

Bizde olan sorun şurada. Şahıs girip yedeklerimizi silmiş. Yani yedekleri kriptolamamış yedek olarak tuttuğumuz verilerimiz silmiş. O yüzden bağlanıldığına eminiz.

 

[FM.88MHz]

Eğer profesyonel veri kurtarma şirketine başvurmayı düşünmüyorsanız, yani yalnızca kendi çabalarınızla sistemi ve verilerinizi kurtarma niyetindeyseniz, aşağıdaki sayfa belki size yardımcı olabilir:

Fidye Yazılımı Virüsü Tarafından Şifrelenmiş Dosyaları Kurtarma: 4 Farklı Yöntem ile Kurtarma

Fidye yazılımı, bilgisayarlarınızdaki dosyaları şifreleyerek hem bireylere hem de işletmelere saldıran gelişmiş bir kötü amaçlı yazılımdır ve fidye ödemediğiniz sürece bunlara erişemezsiniz. Bu makalede, AES-NL, Locky, CryptoLocker, CryptoWall, Babuk ve TorrentLocker gibi fidye yazılımı...

tr.easeus.com

Yalnız... İşlem sonuçlanana kadar asla virüslü bilgisayara (diske) dosya yazılmamalı, yeni yazılım yüklenmemeli, kısacası hiç kurcalanmamalı. O diski, temiz bir işletim sistemine sahip başka bir ortama 2. disk olarak tanıtmak en doğrusudur.

Sayfadaki açıklamaların ve her bir adımın çok dikkatlice ele alınması gerekir. Ben yine de en dikkat çekici bulduğum birkaç noktayı buraya almış olayım:

"... fidye yazılımı tarafından oluşturulan şifreleme dosyaları orijinal dosyalar değil, yalnızca kopyalardır. Orijinal dosyalar doğrudan şifrelenmez ancak virüs tarafından silinir. Bu nedenle, kaldırılan kaynak dosyaları geri yüklemek için bir veri kurtarma aracı kullanabilirsiniz. Veri kurtarma yazılımı silinen kaynak dosyalarını bulduğu sürece kurtarma mümkündür."

"Dosyaların gizlendiği veya virüs tarafından silindiği bir HDD söz konusuysa, verilerin üzerine yazılmasını önlemek için yazılımı farklı bir birime veya harici bir USB sürücüye yüklemek daha iyidir."

"Fidye yazılımları sürekli değişmektedir. Bazı yeni ve daha gelişmiş virüsler yukarıda gösterilenden farklı çalışabilir. Kaynak dosyayı silmeyebilirler, bu nedenle fidye yazılımı için tasarlanan veri kurtarma yazılımları yardımcı olmayacaktır."

Bunları belki yardımı dokunur diye aktardım. Tabii ki bütün sorumluluk ve risk size ait olmak koşuluyla...

 

[frmman]

Önemli ve kritik veriler, projeler içeren klasörler için bir yedekleme / yedek alma yapısı kurulması gerekir.
Ben belirli peryotlarla bilgisayarımdaki kritik klasörlerin yedeklerini alıyorum. Normalde ortalama yedek alma sıklığım 2-3 hafta. Bu süre dolmadan ciddi veya kapsamlı bir değişiklik olursa zamanı beklemeden hemen yedek alma scriptini çalıştırıyorum.

Yedekleme için kullandığım 2 adet mekanik hdd var. Bunlarıda zaman atlatmalı olarak kullanıyorum. Bu şekilde en yakın zamanlara ait iki farklı yedek elimde olmuş oluyor. Yedek almak için usb den bağlıyorum. İşlem bitince bağlantıyı kesip yerine kaldırıyorum.

Birde kendime şöyle bir kural belirledim. Her zaman kullandığım belirli klasörler var. Benim için onların içerisi önemli. Kaydetme sırasında bu sonra lazım olacak birşeyse yedeklemeye dahil yere kaydediyorum yoksa ilk formatta diğer herşey uçuyor.

Windows komut seti içerisinde RoboCopy var. Bu işler için biçilmiş kaftan.

Benim kullandığım BAT dosyasına aşağıdakine benzer şekilde yedek alacağım klasörleri ekliyorum.
Benim tercihim mirror /mir yedek alma. Yani diskden sildiğim bir dosyayı, bir sonraki yedek alma scripti çalıştığında yedekleme diskindende siliyor. (Kullandığım bilgisayardaki klasör ile bire bir eşitliyor). Diğer türlü yedek içerisinde silinenlerde kalıyor, Restore sırasında bunlarla tekrar uğraşmak gerekiyor.

Detaylı bilgi sahibi olmak isteyenler için :

Robocopy

Reference article for the robocopy command, which copies file data from one location to another.

learn.microsoft.com

robocopy "%AppData%\Thunderbird"    "e:\Yedek\C\Users\Appdata\Roaming\Thunderbird"        /e /mir /np /tee  /UNILOG+:"e:\Yedek\C_log.txt"
robocopy "%AppData%\LibreOffice"    "e:\Yedek\C\Users\Appdata\Roaming\LibreOffice"        /e /mir /np /tee  /UNILOG+:"e:\Yedek\C_log.txt"
robocopy "%AppData%\Mozilla"        "e:\Yedek\C\Users\AppData\Roaming\Mozilla"            /e /mir /np /tee  /UNILOG+:"e:\Yedek\C_log.txt"
robocopy "C:\Projeler"                "e:\Yedek\C\Projeler"                                /e /mir /np /tee  /UNILOG+:"e:\Yedek\C_log.txt"

 

[birisim]

Fidye yazılımın ismini teyit ederek internet'te onun şifrelemesini kıran yazılım için arama yapılabilir.
Bilgisayarda her hangi bir işlem yapılmadan önce usb boot'dan çalışan yazılımla bilgisayarın veya önemli dosyaların yedeklemesi iyi olur.

 

[taydin]

Eğer "rolling backup" veya benzeri tabirlerle ifade edilen ve örneğin geçmişe dönük 1 aylık yedek tutuyorsan, virüs de 1 ay beklemişse, o zaman yedeklerin hepsi şifrelenmiş olacaktır.

Bu tip virüsler ya eposta eklentilerinin açılması ile, veya bilinen bir yazılımı kendi üreticisinin sitesinden değil de üçüncü parti sitelerindeki installer'lardan kurmak, veya bedava yazılım kullanmak ile bulaşıyor. Buradan çıkarılacak en önemli ders, faydalı bir iş yapsa da, bedava bir yazılımın hiçbir zaman bedava olmadığını, o yazılımın geliştirme masrafını mutlaka birilerinin ödediğidir.

 

[taydin]

Başka bir faydalı tedbir de, "windows service" veya service olmayıp da gene arka planda sürekli çalışan yazılımlar konusunda çok dikkatli olmak. Artık bütün windows yazılım üreticiler, arka planda çalışan bir yazılım bileşeni bulunduruyorlar. Neymiş? Update varsa sana haber verecekmiş. Bütün windows service'leri inceleyip, ne idüğü belirsiz olanlar "disable" etmek, autostart listesindeki bütün yazılımları kaldırmak, işi bitince de bir yazılım kapatmak lazım. Mesela spotify ile müzik dinledin, dinleme işi bitti mi? Kapat. Bazı programları sağ üst köşedeki "close" butonu ile kapatsan bile, "system tray" e kaçıyor ve gene hafızada aktif kalmaya devam ediyor. Ne yaptığını bilmediğin bir program hafızada aktif ise, o programı geliştirene her türlü bağlantı olanağını verir.

 

[mechanic]

Korkuttun gene beni.
Şimdi windows yüklü bölüme format atmak zorunda kalacağım.

 

[taydin]

Korkuttun gene beni.
Şimdi windows yüklü bölüme format atmak zorunda kalacağım.

Zaten windows kullanan birisinin yılda bir bilgisayarına format atması yerinde bir hareket olur. Windows işletim sistemi, kendini yavaş yavaş, aşama aşama bozar. Yazılım kurulumları deterministik değildir. Bir yazılımı kurduktan sonra sistemde hangi değişiklikleri yaptığını sonradan net bir şekilde belirleyemezsin. Yazılım kaldırma işlemi hiç deterministik değildir. Bir yazılımı kaldırırsın, yazılım bileşenlerinin yarısı hala sistemdedir. Hatta bir kısmı hala hafızada aktif olarak çalışmaya devam eder.

 

[birisim]

Zaten windows kullanan birisinin yılda bir bilgisayarına format atması yerinde bir hareket olur.

O eskidendi.
Şimdi enterprise volume license olanlar tıkır tıkır çalışıyor. Aylardır kapanmayan laptopla çalışıyorum. Ara sıra update geliyor, o kadar.
Tabii net'ten "cibilliyeti" belli olmayan yazılımlara veya crack'lara giriş yasak.

 

[taydin]

O eskidendi.

Geçen hafta Adobe'yi kaldırdım. Bugün Solidworks 3Dexperience'i kaldırdım. Bunların bir sürü çöpü hala duruyor sistemde. Adobe'un update manager'i hala aktif hafızada çalışıyor. Windows yazılım kurulumu ve kaldırılması geçmişte de bozuk idi, bugün de bozuk.

 

[mechanic]

Geçen hafta Adobe'yi kaldırdım. Bugün Solidworks 3Dexperience'i kaldırdım. Bunların bir sürü çöpü hala duruyor sistemde. Adobe'un update manager'i hala aktif hafızada çalışıyor. Windows yazılım kurulumu ve kaldırılması geçmişte de bozuk idi, bugün de bozuk.

Hata bildirim sisteminede güvenemiyorum.
Hata var deyip bildirimi açıyor. Gönderince hata kayboluyor.
Hangi verileri gönderdiğimi bilmiyorum.
Linux tarafında ubuntuda çok yapıyor bu işlemi.