redbird wrote:
to: #74請...(恕刪)
資料夾（有存放被病毒加密的檔案的資料夾）。我不清楚有沒有用，你可以試試看。
同樣地 Windows 內建的系統還原你也可以試試看，死馬當活馬醫的情況。祝你好運！
個人積分：97分
文章編號：55767078
個人積分：12分
文章編號：55767173
只要是folder 中的檔案 及 桌面的檔案 被加密完成,就會出現二個檔
DECRYPT_INSTRUCTIONS.html
DECRYPT_INSTRUCTIONS.txt
關不掉的Crypt0L0cker 視窗, 就是DECRYPT_INSTRUCTIONS.html 的內容 (如#11 的圖)
只是就是出現像檔案總管的folder 那樣(如圖), 點下去打開來就是 #11 的內容.
發現其名稱是CryptoLocker, 而不是 Crypt0L0cker (前者是O, 後者是數字0)
我用 "Find Window's Process" 功能
標把符號指向 Crypt0L0cker 視窗,
發現 是 explorer.exe 在執行,
process 有 2個 explorer.exe
1 個 explorer.exe 下面有 iexplorer.exe, notepad.exe, mspaint.exe 等開啟的程式.
另一個 explorer.exe (就是 Crypt0L0cker視窗) 下面則沒有其它 .exe 檔
看起來, 刪除這個 explorer.exe , 應賅就不會再出現. 但..要如何刪除.
個人積分：12分
文章編號：55767375
網路上搜到 有人 po 文 :
躲在螢幕後面的勇敢IT人 於 2015/04/30 09:19
附上澳洲政府官網為輔，證明不是掉入另一個火坑
https://www.staysmartonline.gov.au/alert_service/message?id=1124622&name=Good+news!+Cryptolocker+malware+un-locker+available+to+free+your+files%3A+SSO+Alert+Priority+Low+
*********
看來澳洲政府官網(2014.8.7) 有提到並連結至https://www.decryptcryptolocker.com/
用這次被 crypt0L0cker 加密過的檔案, 上傳至 https://www.decryptcryptolocker.com/
無法解密, 變種的 crypt0L0cker 無法用 cryptolocker 解密
只能把檔案留起來. 寄望不久的將來, 能有解藥.
希望有同樣遭遇的人, 也能懷抱希望.
有任何解密成功的, 也請不吝分享.
失去的痛苦, 真的不好受.
******在此萬分感恩 PHIL Hou, 在絕望無助的時候伸出援手.
mobile01 有許許多多像 PHIL Hou 這樣的好心人.
May God bless you !!
個人積分：8分
文章編號：55767512
個人積分：97分
文章編號：55772104
原理同先前說的「對資料夾按右鍵→還原以前的版本」；對單一被加密的檔案，將副檔名被病毒加上的 .encrypted 去掉（即讓檔名跟原來的相同），再嘗試還原，詳細操作步驟如原文：
Hi everyone,
My name is İsmail
I found some kind of solution to get back the files which are encrypted, I think never mentioned before.
When a file is encrypted, the original file is deleted and the encrypted file remains in the place of original file.
Example : (2001.jpeg) file becomes (2001.jpeg.encrypted) while the original file is no longer in that folder.
At this point many people look to the "2001.jpeg.encrypted" file with a right click, properties, previous versions and see nothing as a shadow copy.
Than start to think that, virus deleted the shadow copies. Here do not give up.
Of course you will not see a previous version because it is a new file.
1- Make a new folder on the desktop, copy the "2001.jpeg.encrypted" file to that folder.
2- In that folder, rename the file by just erasing ".encrypted" part to make the file to the origanal name "2001.jpeg"
3- Copy the renamed "2001,jpeg" file to the folder where "2001.jpeg.encryped" file is.
4- With a right click to the file " 2001.jpeg", properties, previous versions, you will have a luck to see the previos versions (shadow copies), if you have an enabled system restore with files before.
At this point, I think, if you see a previous version of the file, you can change it with the previous version and delete the encrypted one.
(What i observed: To see a shadow copy, the file must be named as it was before, and it must be in the folder where it was before)
This helped me to get my files back.
I hope and wish this could also help you.
Greetings from TURKEY.
İsmail
另外確保病毒是否清除乾淨是當務之急，比較快的方法，可以如樓上 pingua 大大所說的利用免安裝的防毒軟體，Dr.Web CureIt!、Trend Micro HouseCall、Norton Power Eraser 等都是些比較大的廠牌，不過使用上還是得小心誤報，避免誤刪正常檔案，自行斟酌使用。
個人積分：12分
文章編號：55772995
個人積分：8分
文章編號：55773640
個人積分：12分
文章編號：55777729
個人積分：12分
文章編號：55777940
有關Crypt0L0cker 視窗, 暫時用這種方法將其關閉 :
工作管理員 -> 處理程序 -> 找到 explorer.exe ( **找記憶體使用量低的那個)
-> 按右下的 [結束處理程序]
這樣就可以關掉了, 只是下次開機 又會出現.
此外, 開機完, 除了Crypt0L0cker 視窗會出現外, DECRYPT_INSTRUCTIONS.txt
也會彈出來. txt檔按關掉,就不會再出現了.
請問有何方法 可以開機後不讓這二個出現. 好像開機後, 就會直接載入.
對這方面有研究的大大, 也能幫幫忙. 感激不盡!
( ** 以下是我的方法,可能不完全正確,
注意不要按錯explorer.exe, 我是多開幾個ie 瀏覽器 這樣其中一個explorer.exe 的記憶體使用量比較高,
然後我判斷再把那個記憶體使用量低的 explorer.exe 按[結束處理程序] )
個人積分：97分
文章編號：55779290
redbird wrote:
process 有 2個 explorer.exe
1 個 explorer.exe 下面有 iexplorer.exe, notepad.exe, mspaint.exe 等開啟的程式.
另一個 explorer.exe (就是 Crypt0L0cker視窗) 下面則沒有其它 .exe 檔 ...(恕刪)
你在 Process Explorer 中那個 explorer.exe 上按右鍵→點選 Properties，把這圖貼上來看看。
redbird wrote:
1. 看了被加密檔的folder, 按右鍵內容 (如圖 ). 系統是 XP.
這樣是不是就沒有系統還原 ...(恕刪)
這樣看起來應該是你 Windows 的系統還原原本就沒有開啟。
像我無論是資料夾或檔案按右鍵進入內容都看得到「以前的版本」標籤喔。
redbird wrote:
2. 請問利用免安裝防毒軟體, 是不是就不需要將現有安裝的Avast 移除 ...(恕刪)
嗯，使用免安裝防毒軟體無須移除現有的防毒軟體。
關於「誤刪」的問題，我覺得你就先掃描看看，如果有什麼不確定的檔案被報毒，再貼個圖上來。
