电脑感染CryptoLocker勒索病毒处理流程

         “CryptoLocker”是最近十分流行的一款勒索病毒，感染该病毒后计算机的硬盘会被封锁，只有在交付相应赎金后，才可以解锁。下面是用户感染该病毒的真实案例，我们为大家分享处理该病毒的流程。

1背景介绍
1.1故障时间:2013年12月某日星期五 17：00左右A同事桌面第一次出现了无法关闭的红色对话框，当时没太在意，也没有与IT部门申报此现象。
1.2故障现象:2013年12月某日星期一 12：00，A同事致电IT部桌面服务反映公司配发的台式办公电脑桌面上出现了一个无法关闭的红色对话窗，如下图所示:

1.3确认全盘文档被加密。经查看A同事台式办公电脑(计算机名为“XXXXXX”)时发现该窗口与科技服务动态中 《关于防范勒索木马——Crypto Locker的安全警示》中的病毒窗口一样，然后按照安全警示中的提示操作，经尝试访问A同事本地电脑中所有办公文档和照片均已无法打开，即刻将此情况升级上报给总部防病毒管理员处理，总部防病毒管理员远程协助确认A同事电脑中了“Crypto Locker”病毒，且本地文件已被加密无法打开。与A同事沟通得知，上周五下班前后使用过邮箱和浏览过互联网，没有做其他特殊操作。通过点击上图中的“Here”按钮，可以列出被加密的文件列表。

1.4A同事的需求：由于A同事台式办公电脑中的数据没有副本，且勒索界面提示付款时间剩下最后的25个小时左右，所有非常关心被加密的文件是否能解密，建议我们发动科技力量，帮助寻找付款方法并尝试文件解密。

2准备阶段
2.1提取病毒样本升级至趋势科技。为了加强病毒的防御工作，总部防病毒管理员提取了A同事电脑中的病毒样本，并立即升级至防病毒软件服务提供商进行分析并更新病毒特征库数据，并向A同事解释了这种病毒的故障现象与原理。

2.2卸载本地防病毒软件。因为该病毒既是文档加密工具也是文档解密工具，待病毒库更新后，防病毒产品会自动清除该病毒，从而导致现有加密文档彻底无法解密，所以防病毒管理员远程操作帮助卸载掉了防病毒软件。

为了保证后续付款成功后无人操作时电脑保持开机、且不断网的状态，更改电源选项，取消Windows7系统自动待机、休眠和网卡休眠功能。



3处理过程
3.1 确定解决方案
3.1.1经查看病毒解密界面，该勒索病毒只能通过两种付款方式，第一种是提供300美元的MoneyPak（USA only）充值卡号码，第二种是交易支付0.3个Bitcoin方式，如下图所示:


3.1.2网上查找相关经验。经过在网上搜索查询，找到了一篇来源于百度文库的《Cryptolocker病毒发作后解决方法.ppt》，文中建议使用并介绍了第二种比特币支付的方法。

3.1.3确定解决方案。经过组内慎重讨论后，最终决定尝试使用第二种支付0.3个比特币的方式解密。

3.2处理步骤
3.2.1第一步：在A同事电脑上登录Bitcoin比特币中国交易平台并注册交易账户。

3.2.2第二步：安装建设银行网银并充值。由于比特币面值涨幅不稳定，按当时的汇率计算，0.3个比特币约等于1470元，向账户中充值1470元人民币。

3.2.3第三步：购买0.3个比特币。通过“比特币中国交易平台”中的交易功能，成功使用了1406.7元购买了0.3个比特币。

3.2.4第四步：交易比特币。通过“比特币中国交易平台”中的“比特币提现”功能，将0.3个比特币交易至病毒窗口指定的ID（14uF69M8vRpnbg8tsKVsJZ9jE9LtpyNBvu）。

3.2.5第五步：输入交易ID。交易成功后，将比特币中国交易平台的“交易ID”代码输入至病毒提示窗口中的“Enter the Transaction ID”地址栏中，然后点击“PAY”按钮，如下图所示。

3.2.6第六步：等待解密。支付成功后，页面提示“Waiting for payment activation”，大概意思为“病毒的主人正在手动查收汇款，最多可能需要等待48小时（比如国际时差，主人休息等原因），不要断网，不要关电脑”，如下图所示。

3.2.7第七步：确认文档解密。2013年12月17日8：20，由于不知道具体解密的开始时间，不了解整个解密过程。通过病毒窗口可以查看到付款已经被确认，共解密文件6000余个。

经过多次扫描解密重试，确认恢复成功文件6000余个，点击“取消”，提示该软件会自动销毁。如下如图所示。


4后续工作
4.1数据确认。A同事确认本地文档和照片均能正常访问。

4.2全盘查毒。安装防病毒软件，手动升级为最新病毒库特征码后进行全盘扫描，没有发现该病毒。

4.3全盘数据备份。为A同事办理领用250G移动硬盘1个，已将全盘数据备份至移动硬盘。

4.4恢复设置。恢复Windows7系统默认电源选项设置。