Ransomware vs. Linux?

Erfaring - nej, men der er skrevet en del om det:

https://en.wikipedia.org/wiki/Linux.Encoder.1
www.zdnet.com/article/how-to-fix-linux-encoder-ransomware/

#0: Har I nogen erfaringer?

Heldigvis ikke, men min holdning er: Hav en god backup og giv dem fingeren. Så længe nogen betaler, bliver de ved.

#2: Hav en god backup og giv dem fingeren.

Enig.
Overvej i den forbindelse om auto-sync backup er en god ide.

I forhold til forebyggelse i Linux, kan brug af uBlock Origin + WOT (web of trust) udvidelserne til Firefox, Chrome osv. være meget nyttige mod overhovedet, at komme i nærheden af links/domæner, der hoster ransomware og anden malware for den sags skyld. Der bliver nemlig ikke kun blokeret for almindelige reklamer. Det kan også løse problemet med drive-by installation - dog mest set i Windows.

Det kan med fordel bruges på samtlige platforme. Det, kombineret med begrænset konto i Windows og OSX (Linux er allerede out-of-the-box uden administratorkonto) giver en meget høj beskyttelse mod ransomware og anden malware på alle platforme.

#4

Også enig. For hvad angår Windows, så er problemet at den administrative konto tillader adgang til SysWOW64 biblioteket i Windows systemet. Ransomware, og mange andre malwares, prøver at slette Shadow Copies ved at hijacke EXE filerne, således at kommandoen køres hver gang man starter et program:

"C:\Windows\SYsWOW64\cmd.exe" /C "C:\Windows\Sysnative\vssadmin.exe" Delete Shadows /All /Quiet

System Restore skal være aktiveret på C:\, og man skal oprette, og bruge, en standard konto, for bedst muligt at forhindre malware system adgang. Har man disse præventive foranstaltninger på plads, er sandsynligheden for at krypterede filer kan erstattes med hjælp af ShadowExplorer så meget bedre. http://www.shadowexplorer.com/downloads.html

Har man installeret Windows 10, så tjek at System Restore er aktiveret. Det er den formentlig ikke. Oplever man at den heller ikke kan aktiveres fra GUI, så åbn en administrativ CLI og kør kommandoen:

reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SPP\Clients" /v " {09F7EDC5-294E-4180-AF6A-FB0E6A0E9513}" /t REG_MULTI_SZ /d "1" /f

Derefter kan System Restore aktiveres.

Der er mange typer Ransomware. Linket herunder handler om Locky og en metode der muligvis kan erstatte krypterede filer fra en Shadow Copy i Windows:

http://malwarefixes.com/remove-locky-ransomware-and-decrypt-files/