一次失败的溯源(中勒索病毒之后)

打开电脑，发现文件都被修改为CC3H

各处都有此html 打开之后查看，是勒索病毒 Decryption INFO.html

进行溯源，首先前一天晚上22：00左右电脑还是没有问题的，查看下文件修改时间，

基本上就是1月7日凌晨1点41：05

先查看下其他简单的信息，（用户，共享，定时任务等等）

这是共享

其中C,D是默认共享。

admin$是正常的系统共享文件

IPC$也是系统自带

不过我感觉admin账号出了问题。

分析日志，首先查看前一天1：41左右的日志

发现大量登录记录，猜测是暴力破解

通过日志找到了对应IP。但是是内网的主机，查看下

然后日志中还有

找到这么一款工具，是1：39创建的，通过百度发现这是一款进程查看工具。

然后因为浏览器可用，我下载了360.360对此病毒并无任何反应。不过它扫描到了这个进程查看工具。以及木马文件

腾讯电脑管家是这么告诉我的

在腾讯哈勃扫描了一下

后面有些内容没有记录，总之，因为电脑上没有重要资料，只有几个虚拟机。所以最后直接重新做了系统。

这个勒索病毒，至少google浏览器还可以正常使用。以及没有后台运行，也就是只运行一次，只加密一次。