目次
お金払わなくて復旧出来るの？
場合によっては出来るみたいです
シャドウコピーという機能でバックアップファイルがウィルスによって削除されてなければ出来るみたいです。
シャドウコピーって何？
windowsの自動バックアップシステムみたいな奴ですね。
ランサムウェア感染被害時の対策ということで、Let's Emu!さんのサイトにも書いてありますね。
私の記事でも引用させていただいてました。
ただ、これってVVVウイルスに領域を削除されてしまうみたいなんですね。
しかしこの領域を削除するときに管理者権限を要求するので
１．UACを有効にしている
２．UACの画面でいいえをおす。
ってやると、残っているということではないでしょうか。
心当たりがないときにUACが出てきたら「いいえ」を押しておこうってことかな？
また、ボリュームシャドウコピーサービスは大事ってこともメモっとこう。
以下参考
CryptoWallランサムウェアウイルス感染被害 ファイル暗号化HELP DECRYPT - Let's Emu!
http://www.geocities.co.jp/Playtown-Yoyo/6130/notes/virus-ransomware-cryptowall.htm
■ 「以前のバージョン」機能 − VSS（ボリューム シャドウコピー サービス）
Windows Vista（Bussiness や Ultimate といった企業向けエディションのみ）、Windows 7 に実装されてる「以前のバージョン」機能を使うと、破壊される前のデータが残ってる場合に限ってファイルを復元・復旧できる”可能性”があります。
ファイルやフォルダを選択し右クリック → [プロパティ]項目 をクリック → [以前のバージョン]タブ を開く
[Windows] ボリューム シャドウ コピー について調べてみた件について | インフラSEの運用・構築メモ
http://rtaki.sakura.ne.jp/infra/?p=730
Windows7の「シャドウコピー」のタイミング設定変更方法
http://www.se-support.com/clientpc/volumeshadow.html
被害に遭われた柑橘.vvvさんが復旧出来たそうです
紹介してもらったShadowExplorerってソフト使ったらデータがあっさり生き返って声が出ない pic.twitter.com/lk9Nlllya6
— 柑橘.vvv (@kankitsu0) 2015, 12月 8
本当に良かったです！
フリーソフトの名前はShadowExplorerというそうです
ShadowExplorer.com - Downloads
http://www.shadowexplorer.com/downloads.html
使い方は簡単っぽいですが不明であれば以下などを参考に
ShadowExplorer - ｋ本的に無料ソフト・フリーソフト
http://www.gigafree.net/utility/recovery/shadowexplorer.html
CTB Locker ランサムウェアまたは暗号化されたファイルの解読法 - malwarerid.jp
http://www.malwarerid.jp/ctb-locker-%E3%83%A9%E3%83%B3%E3%82%B5%E3%83%A0%E3%82%A6%E3%82%A7%E3%82%A2%E3%81%BE%E3%81%9F%E3%81%AF%E6%9A%97%E5%8F%B7%E5%8C%96%E3%81%95%E3%82%8C%E3%81%9F%E3%83%95%E3%82%A1%E3%82%A4%E3%83%AB%E3%81%AE/
CryptoWall & DECRYPT_INSTRUCTION 身代金要 求ソフト インフォメーションガイドと FAQ
参考にさせていただきました
TeslaCrypt（vvvウイルス）に感染してみました。 — (n)
http://n.pentest.ninja/?p=32117
早速試してみた
準備
上の２つのどっちかだとボリュームシャドウコピーはオンっぽいです。
たぶん一番上がいいと思います。
こんな感じに設定して（最大使用量は検証環境なので少ないですが、実環境だともっと大きく撮ったほうが良いと思います）
んで、自動的にやってくれるっぽいですが、すぐ作って欲しかったので復元ポイントを作ります。（割愛）
そうすると直近で以前のバージョンができます。
ボリュームシャドウコピーは万能ではないです。
ここに表示されてる状態までしか戻れないようなので注意。また、バックアップ対象フォルダやドライブじゃないと使えないです。
ShadowExplorerをダウンロードして解凍、実行
こんな感じでバックアップした日時が出てると思います。
この状態まではボリュームシャドウコピーで復元出来るということですね。
そしたらVVVウイルスに感染します
暗号化されてしまいましたが、UACの画面は全部いいえを押しました。
何度も出てきてうざかったです。
UACさえいいえを押していれば、以前のバージョンのファイルが残っててエクスポート出来るので、復活させたいフォルダを選びエクスポート
無事に復活しました。
これは絶対ではないので、あまり当てにしないほうが良いと思います。
UACではいを選んだらどうなるのか？
※因みにUACではいを選びましたが、その後何回も復元出来ました。ただ、以前のバージョンに戻すからは上手くいきませんでした。
正直知識不足でよくわからないです。
疲れたのでこの辺で終わります。
よかったらはてブ等していただけると嬉しいです。