Tietoturva nyt!

26.6.2012

Kiristyshaittaohjelmasta liikkeellä eri versioita

Poliisin nimissä rahaa vaativasta kiristyshaittaohjelmasta on liikkeellä uusia versioita. Näiden versioiden poistaminen koneelta ei onnistu CERT-FI:n ohjeen 1/2012 mukaisesti.

CERT-FI:n tietoon on tullut uusia versioita poliisin nimissä rahaa vaativasta haittaohjelmasta, joiden poistamiseen Ohje 1/2012:ssa kuvatut toimenpiteet eivät auta. Haittaohjelman käyttämät hakemistopolut ja tiedostonimet voivat vaihdella sen eri versioissa ja eri käyttöjärjestelmissä. Haittaohjelman poistamiseen voi kokeilla esimerkiksi F-Securen Rescue CD:tä, jonka ISO-levykuvan voi ladata täältä.

Käynnistyksen yhteydessä käynnistyviä ohjelmistoja voi tutkia esimerkiksi käynnistämällä tietokoneen vikasietotilaan (Safe mode). Erilaisia niihin liittyviä rekisteriavaimia on kuvattu esimerkiksi CERT-FI:n ohjeen 1/2007 sivulla kahdeksan, sekä sivustolla http://www.silentrunners.org/. Windowsin rekisterin muokkaaminen vaatii tuntemusta ja teknistä osaamista, eikä sitä voida suositella aloittelijoille. Rekisteriä muokkaamalla käyttöjärjestelmän voi saada sellaiseen tilaan, ettei se enää käynnisty tai asennetut ohjelmistot eivät enää toimi.

Suosittelemme kääntymään asiantuntijoiden puoleen teknisen avun saamiseksi, jos haittaohjelman poistaminen ei onnistu ohjeiden mukaan tai käyttämällä päivitettyä virustorjuntaohjelmaa. Viestintävirasto ei voi auttaa yksittäisten haittaohjelmatartuntojen puhdistamisessa. Tietojemme mukaan haittaohjelman nykyiset versiot eivät salaa tiedostojärjestelmän tiedostoja, joten tietokone voi olla mahdollista puhdistaa ilman uudelleenasennusta ja tiedostojen menettämistä. Helpoin tapa voi olla kuitenkin asentaa käyttöjärjestelmä uudelleen. Tällöin menetetään ne tiedostot, joista ei ole varmuuskopioita.

Olemme edelleen kiinnostuneita siitä, mistä verkkosivulta tartunta on mahdollisesti voinut tulla sekä siitä mikä haittaohjelman versio on ollut kyseessä. Tiedon haittaohjelman versiosta ja nimestä voi saada esimerkiksi sen tunnistaneelta virustorjuntaohjelmistolta. Nämä tiedot voi ilmoittaa esimerkiksi käyttämällä tämän Tietoturva nyt! -artikkelin "kommentoi" näppäintä.

Lisätietoa

Ohje 1/2012 Kiristyshaittaohjelman poistamiseksi tietokoneelta
Ohje 1/2007 Haittaohjelman saastuttamaksi epäillyn Windows-järjestelmän tutkintaan
F-Secure Rescue CD
http://www.silentrunners.org/

Sivua päivitetty 26.06.2012

Tulostusversio