Formatear discos duros a bajo nivel infectados con el ramsonware Lockbit en Linux
Formatear discos duros a bajo nivel infectados con el ramsonware Lockbit en Linux
Tengo que alabar a GNU/Linux. Mi equipo con GNU/Linux (Debian) no fue infectado con el ramsonware Lockbit pero el equipo de mi padre cuyo sistema operativo Windows sufrió un ataque e infectó todos los archivos cifrándolos con extensión .lockbit. Los piratas pedian un rescate en inglés y en bitcoins a un hombre de más 80 años y le recomendaban la red tor para efectuar el pago, unos lumbreras con mucha empatía.
El problema es que mi padre perdió el trabajo. Hablé con una tienda de informática y me dijeron que ningún cliente que pagó a laboratorios por recuperar archivos encriptados con cryptolocker, lockbit u otro tipo de ramsonware había logrado desencriptar y salvar sus archivos personales. El ataque afecta al registro del sistema de windows y lo modifica. Ya no puedes restaurar los equipos a su configuración de fábrica...
Alguno me ha dicho que los discos duros que los tire. Otros me han dicho que hay que formatearlos a bajo nivel para que no quede ni rastro. ¿El problema es como formatear esos discos duros HDD de 500 GB y SSD de 280 GB sin que afecten al sistema operativo que los formatea, a sus archivos y al equipo.
Es que aquí me pierdo y bastante... no vaya a ser que por cualquier historia infecte a otro equipo. También me dijeron que todos los pendrives o unidades externas que habían estado conectados con ese equipo infectado con ramsonware corrían el riesgo de propagar la infección a otros equipos si los enchufaba...
¿Es posible formatear discos duros a bajo nivel infectados con ramsonware Lockbit con total seguridad en Linux? ¿Cómo?
Espero vuestras respuestas.
Gracias por contestar.
Inicias el equipo con un linux modo live , y luego sobrescribis todo el disco con cero datos , por ejemplo usando la aplicacion dd
Finalmente te tocara particionar y formatear el disco nuevamente
Se cuidadoso en cuanto asegurarte a que disco/s le estas haciendo eso por que vas a borrar todo en forma irrecuperable.
Busca iformacion en internet de como hacerlo , por ejemplo algo asi :
(Si tenes dudas sobre poder recuperar datos, hace una copia de los archivos en un dispositivo extraible tipo pendrive ,asi siempre te quedara la opcion de poder recuperar )
Otra opción es arrancar el equipo afectado con una utilidad como DBAN y borrar el disco:
Personalmente prefiero la solución proporcionada por caliban.
A un clic de distancia de ti...
Eso es la solución idónea pero desde que uso pendrives con distros live, no uso dvds virgenes para grabar nada y comprarlos me supone un coste absurdo. Pero tendré que plantearmelo.
Muchas gracias a los dos.
Yo uso CD's regrabables. Claro que los compré hace unos cuantos lustros...
Los sigo usando en aquellos equipos que no permiten arrancar desde una memoria USB o tarjeta.
A un clic de distancia de ti...
Hay algo que no me queda claro, si tenes un pendrive con linux live ¿para que comprar un dvd ? pues para sobreescribir
todo el disco con dd no necesitas mas que un linux operativo ¿o hay algo que me pierdo en todo esto?
No he usado la herramienta, pero he escuchado mucho de ella ... Permite arrancar el PC desde USB incluso si la BIOS no lo permite.
AntiX recomendaba la herramienta, pero ahora existe un parámetro de kernel que lo sustituye, solo hay que agregar "from = usb".
(1) Grabar el CD/DVD y memoria USB con la misma versión de AntiX.
(2) Conectar la USB al puerto.
(3) Arrancar desde CD/DVD ... Presionar F4 y agregar from=usb.
(4) El proceso de arranque comenzará primero desde el CD pero continuará desde la memoria USB.
¿Porque? ...
Mi Acer tiene la opción de arranque CD/DVD ... Pero tiene 16 años de edad, :-) ... Si todo sale bien, se completa la instalación del SO ... Pero suelen ocurrir fallos de Entrada/Salida en la unidad (dmesg, unidad de CD-ROM/RW).
Eres un cachondo. (lo digo con respeto pero con una sonrisa en mi cara).
Si el equipo no tiene un bootmanager (gestor de arranque) instalado en el disco o donde sea para que lo pueda iniciar la BIOS. ¿Cómo vas a poder arrancar la máquina desde un pendrive desde el USB?
Es decir, has de instalar de alguna manera antes el "bootmanager" y desde el pendrive USB no será posible.
El equipo del compañero corría Windows así que si tiene un gestor de arranque instalado será el de Microsoft.
Antaño en todas mi máquinas tenía instalada una pequeña partición arrancable con un DOS (PC-DOS, MS-DOS ó DR-DOS), en esa partición solían venir unas pocas herramientas según el fabricante de la máquina y unas herramientas desarrolladas por mi persona en lenguaje máquina.
Esas herramientas me permitían por ejemplo borrar el disco, reiniciar la máquina, acceder a un CD o configurar algunos parámetros de la BIOS que no se podían modificar desde la propia BIOS.
En las máquinas más modernas ya no es necesario, entre otras cosas por que los fabricantes actualmente ni se molestan en facilitar esas herramientas para configurar la BIOS.
A un clic de distancia de ti...
Fuera de tema. Supongo que el colega ya formateo.
"Es decir, has de instalar de alguna manera antes el bootmanager" ... Si, ya esta grabado en un disquette o CD ... ... O mejor aún desde lilo.
->
Este boot loader, luego carga la imagen de instalación ISO grabada en el CD o USB, (USB 1.1 UHCI, OHCI - USB 2.0 EHCI).
Teórico, porque aún no he comprobado su funcionalidad, a la espera de Salix/Slackware 15, :-)
Sigo sin verle la utilidad si hablamos de borrar el disco. Si necesito de un CD para arrancar de USB. ¿No tiene más sentido arrancar directamente desde un CD con las herramientas?
Cualquier imagen de instalación de Debian puede usarse como disco de rescate, las hay que caben en un CD.
En modo rescate tienes una terminal de comandos limitada pero suficiente para "liquidar" el contenido de un disco duro.
Luego, y esto es un punto importante. Hay que tener presente la arquitectura en la que se basa el equipo a arrancar. Si es un equipo que no puede arrancar desde un dispositivo USB es muy probable que sea un equipo con arquitectura Intel de 32bits, es decir, te ves limitado a esta arquitectura.
A un clic de distancia de ti...
Ah, si!. Recuerdo que una vez me explicaron que en los sistemas anteriores al AT, los XT y compañia,
había 2 operaciones que hacer "para poner el el disco en el mapa". la primera era un programa que lo que
hacía era escribir las marcas sobre las que se construirian luego las pistas de los cilindros.
El segundo programa era el conocido fdisk.
Pero ya me dijeron en su momento que esta primera operación ya no se podía hacer con los discos modernos.
El link de Caliban da una buena explicación de todo ello. Un buen link.
Yo una vez tuve un pendrive que se lió todo el sistema de ficheros y ni windows ni linux podían controlarlo.
El fdisk de windows no deshacia el lio. Y ni el fdisk de linux ni tan solo el gparted no terminaban de aclararse.
Estuve haciendo pasadas entre el chkdisk -f del windows, un programa de formateo radical del windows,
Ahora no recuerdo su nombre, pero también podía llenarlo todo de ceros, cambiar la organización del medio,
tocar los flags, y no se cuantas cosas.
Ayudado por supuesto con el dd, el fschk. de linux, y cualquier otra cosa que se me ocurriera.
Estuve iterando entre ellos hasta que conseguí limpiarlo del todo y dejarlo bien otra vez.
Eso si, un pendrive no es exáctamente igual que un hdd.
De otro lado considera que al llenarlo todo de ceros estarás planchando todo rastro de que alguna vez
haya habido ningún tipo de datos en el. Ni tan solo estará definido el label del volumen, ni que tipo
de tabla de partición ha de tener, ni con que arquitectura de sistema operativo ha de trabajar.
Has de hacer todo de nuevo, desde cero.
Es por eso que no acabo de ver claro lo de hacer un volcado "por si acaso".
Si lo borras y formateas, es para perderrlos de vista. No creo que el sistema te permita borrar o
sobreescribir las partes que permiten al hdd arrancar, ponerse a la escucha y reponder quién es.
Sencillamente no tenemos acceso tan abajo, o sea que no vas a estropear nada que un administrador no pueda arreglar.
Y ya te han dicho que de poco sirven los datos que contiene ahora mismo el disco.
Entonces pues, ¿cual sería la utilidad de hacer ese volcado?
Yo lo que haría, es poner el ordenador en modo "standalone", desconectando físicamente el cable de red, para
impedir propagaciones accidentales, y probar los programas que te han dicho.
(Yo voto por dd).
" Berbellon: No he usado la herramienta, pero he escuchado mucho de ella ... Permite arrancar el PC desde USB incluso si la BIOS no lo permite. "
He descubierto que puppy también tiene alguna opción interesante para cuando instalas desde pendrive. Permite arrancar
desde usb incluso cuando la opción no aparece ni en la bios ni con la tecla de las opciones de arranque.
Tengo pendiente investigar como aprovechar eso para usb's ya llenos o que no contienen a puppy. ;)
" NerveNet : Eres un cachondo. (lo digo con respeto pero con una sonrisa en mi cara).
Si el equipo no tiene un bootmanager (gestor de arranque) instalado en el disco o donde sea para que lo pueda iniciar la BIOS. ¿Cómo vas a poder arrancar la máquina desde un pendrive desde el USB?
Es decir, has de instalar de alguna manera antes el "bootmanager" y desde el pendrive USB no será posible. "
Para cachondo, uno de los mios, no recuerdo bien si es el core2duo o el pentium 4.
Intentaba arrancar desde cd-dvd externo, y no había forma de que me lo viera. Una vez arrancado y cuando me
pasaba el control a mi, no había problema, funcionaba docilmente. Pero al momento de arrancar, antes de que
salte a mirar sus fuentes internas, no había manera, ni tan solo se observaba ningún intento de ver si había
alguien allí.
Ponerlo junto con una fuente usb auxiliar de las que se hacen por si el dispositivo consume mucho, tampoco ayudó.
Al final ya me tocó los disketes y me puse a mirar a fondo que c...caramba pasaba allí. Otros más antiguos
y menos capaces sabían hacerlo.
La respuesta me dejó de piedra.
Resulta que el tio cachondo no te larga los 5 V. del positivo usb con el encendido de la fuente, si no hasta
que inicializa el servicio de usb, lo cual, parece, que se lo deja al s.o. :o :shock:
O sea, que hasta que un s.o. no inicializa los servicios por usb, no tienes tensión para leer el usb o dvd
y cargar el s. o. con el que quieres arrancar.
Pero ¿donde le dieron el título a ese ingeniero?. XD XD
Aquí si que ni boot manager ni hirens boot ni leches. A prueba de arranques indebidos. :D
Ah!, yo también tengo alguna máquina con una particiçon ms-dos al principio del disco. :)
"NerveNet: Sigo sin verle la utilidad si hablamos de borrar el disco. Si necesito de un CD para arrancar de USB. ¿No tiene más sentido arrancar directamente desde un CD con las herramientas? "
Si, supongo que si. Si lo tienes preparado.
Pero estoy de acuerdo que si tienes un ps y un cd-dvd de instalación de debian con su sistema de rescate
trae lo suficiente para un disco windows
"NerveNet:
Cualquier imagen de instalación de Debian puede usarse como disco de rescate, las hay que caben en un CD. "
Yo conservo una, llamada liap, que te permite arrancar un linux -- con solo 2 disquetes --
Increible, por eso la guardo, pero es asi. Un disquette para el nucleo, y el otro para el sistema operativo.
Un saludo a todos. Cuidaros, y cuidad a los vuestros.
Solo entré porque lo de "formato de bajo nivel" me dio melancolía. Yo creo que desde los años 90 que el formato de bajo nivel (a.k.a. formato físico) ya no se hace a nivel de usuario. El formato de bajo nivel es el que le "enseña" al firmware de la controladora donde está cada cilindro y sector.
Es algo que se hacia en servidores con discos SCSI por paralelo (cuando el disco era nuevo aunque también cuando se montaba un RAID por hard con discos usados) y dispones de unos discos de unos 2GB y 10.000 RPM de esos que cuando funcionan suenan similares a una sierra circular cortando madera Pino.
Claro que en estos ultimos 30 años es posible que el termino "formato de bajo nivel" se utilice para otra cosa.
Con eso de los arranques, para una maquina mas o menos moderna con EFI ya todo se ha vuelto tan facil y transparente que no hace falta hacer nada, si puedes copiar el contenido de un CD de instalación en un pendrive a lo bruto y la EFI puede detectarlo y arrancar de allí sin mas trabajo.
En fin, supongo que el amigo ya debe haber resuelto su problema.
Saludos
La democracia es el proceso que garantiza que no seamos gobernados mejor de lo que nos merecemos.
¿Un pendrive con una distro GNU/Linux live USB ves tan inmune como un dvd con una distro gnu/linux live? Es que yo tengo miedo a que el ramsonwire escriba algo en el pendrive... no sé, desconozco el tema, en principio el ramsonware no puede afectair nada dónde esté instalado el sistema operativo si está en modo live y si el usb no contiene ninguna partición en modo persistente pero y si infecta algún sector libre del pendrive? No conozco demasiado el proceso de instalación de un distro gnu/linux en un pendrive usb booteable. ¿Tiene algo parecido al MBR o alguna pequeña partición que pueda infectar?
Gracias a todos por vuestras respuestas. No, no he podido solucionar el tema porque no he tenido tiempo. Hago muchas cosas y estaba muy liado. ¿Merece la pena hacer un backup con los archivos infectados? Yo creo que no, porque son archivos de offimatica relacionados con unas cuentas que pasados unos meses, el usuario los tendrá disponibles después de haberlos creado. La solución a la infección puede tardar meses o años...así que es posible que los borre. Lo haré desde un laptop y utilizando un gnu/Linux live, eso está claro.
Ahora le llaman formatear a bajo nivel un disco duro a escribir ceros y unos con el objetivo que no quede ningún dato en las particiones del sistema operativo o de datos infectadas con ramsonware. Con el comando dd por ejemplo, se puede hacer.
Aún no he resuelto el problema porque hago otras cosas y aún estoy rompiendome la cabeza si merece la pena guardar esos discos infectados tocados por ramsonware esperando una solución milagrosa, me decantaré por el fomateo. Mi trabajo no es la informática exactamente, aunque es una parte de mi trabajo
Si usar un distro gnu/linux live en un pendrive no reporta ningún peligro que el ramsonware escriba algún dato en el pendrive, entonces es mejor opción que el dvd porque hace mucho ruido y es lento.
Emm, a ver si te aclara algo lo de un pendrive con un sistema live.
Vos vas a usar esa opcion para poder "borrar" todo el contenido del disco duro ( o los discos duros ,) su unica funcion es esta ,luego el sistema live no lo vas a usar para otra cosa y si tuvieras dudas, le haces la misma operacion al pendrive.
Un sistema live instalado en un soporte fisico en principio es de solo lectura , o sea que no podes escribir en el mismo .y nada podra escribir algo en el mismo ( he dicho en principio)
Resumiendo ,usas un live para asegurarte de que nada se tranfiera a otro sistema activo ,luego lo usas para borrar el disco duro en cuestion.
Ahora te toca a vos decidir si vale la pena , aun teniendo dudas sobre si terminan siendo discos " seguros"
Personalmente yo lo haria y seguiria usando el disco como si nada .
Por cierto el enlace que pase al inicio del tema aclara el punto sobre " formateo a bajo nivel" mal usado por todos lados,
saludos emérito y patricio @elpatosilva :þ
Enlace que por supuesto no seguí ni leí, hasta ahora. Esta muy bien explicado, en el sentido de que bueno y breve, dos veces bueno.
Debo decir que yo personalmente ni siquiera realizaría un borrado total, formato y a seguir sumando horas.
Saludos
La democracia es el proceso que garantiza que no seamos gobernados mejor de lo que nos merecemos.
Seria interesante si argumentas tu punto de vista, todos aprendemos algo mas .
El utilizar la palabra Virus como analogia a un virus humano es bastante incorrecto, un virus de computadora es un fragmento de código que debe cargarse en memoria y ejecutarse para que funcione. Con dar formato al disco ya se está perdiendo toda referencia a ese fragmento de código, por mas que aún siga allí.
Claro, eso es lo que yo haría, quien se sienta mas seguro borrando todo pues que lo haga, siempre y cuando se tomen las precauciones en los demás aspectos, llenar el disco con /dev/urandom para después copiarse el contenido de un usb que estuvo expuesto no tiene sentido. Hacer cosas que en realidad no dan mayor seguridad o resultado introduce la idea de que se está mas seguro y lleva a descuidar otros aspectos importantes. Es como el que hoy en día pone alcohol en gel a todo pero anda con la nariz fuera del barbijo.
Saludos
La democracia es el proceso que garantiza que no seamos gobernados mejor de lo que nos merecemos.
No recuerdo todo con claridad, pero ahora que leo a @elpatosilva,
Antes mi viejo pentium 4 tenía instalado las primeras versiones de Manjaro Linux y Windows XP ... Resulta que las actualizaciones del kernel/grub, notificaban algo como "grub corrupto", insisto fue hace muchos años atrás. Grub funcionaba bién, así que no le preste suficiente atención ... Pero harto de ese mensaje, decidí realizar un chequeo completo del disco desde Windows XP ... Malware en el sector de arranque ... La re instalación de grub, no resolvía el problema ... Maldito Panda Antivirus ... Sucedió dos meses después del fin de soporte de Windows XP ... Solución, DBAN (Darik’s Boot and Nuke) ... Notan que las soluciones que nacen como opensource, después de ganar una buena cantidad de usuarios, se transforman en soluciones paga, :-) ... En fin, instale Void Linux, no problemas, que haya notado ... Luego instale Salix OS 14.2 hasta la fecha ... El disco ahora tiene sectores defectuosos, pero no presencia de malware, (htop - tree).
Me preocuparía si el malware se hubiera instalado en el BIOS.
Quote Viriato: " ¿Un pendrive con una distro GNU/Linux live USB ves tan inmune como un dvd con una distro gnu/linux live? Es que yo tengo miedo a que el ramsonwire escriba algo en el pendrive... no sé, desconozco el tema, en principio el ramsonware no puede afectair nada dónde esté instalado el sistema operativo si está en modo live y si el usb no contiene ninguna partición en modo persistente pero y si infecta algún sector libre del pendrive? No conozco demasiado el proceso de instalación de un distro gnu/linux en un pendrive usb booteable. ¿Tiene algo parecido al MBR o alguna pequeña partición que pueda infectar?"
-En teoría-, no debería. y repito, en teoría, ya que el medio lleva una "protección" solo por software ,
y ya sabemos que una adecuada secuencia de reescritura de permisos y estados puede quitarla de enmedio.
Es el mismo caso que las webcams de los portátiles, en principio eres tu quién decide si se permite o no
su activación.
Pero al final hay quién se cuela y le da permisos en remoto. La única protección 100% fiable es "por hardware",
(el papelito delante del objetivo. ;) )
De la misma manera, y ya que el invento del mini interruptor se perdió después de la primera generación de usb,
Yo creo que lo mejor es un dvd-r. Una vez grabado, haz lo que quieras, que eso no se toca.
Grabado en piedra. No, espera, creo que en los dvd utilizan algo mas ligero que la piedra, ¿verdad?.
Por otro lado, tengo alguna distro en pendrive, y se que estos también tienen su tabla de particiones,
con sus parámetros y punteros, y lógicamente su arranque, en el sitio asignado donde suele mirar el
bootloader de turno. Si no no arrancaría.
Y una vez dentro de la partición indicada, evidentemente tendrá su tabla de archivos, su fat, y etc.
...Talmente como un disco de verdad!. :)
Y todos hamos oido 30 veces sobre los virus del bootloader, los de mbr, los que juegan con la fat,
los que se insertan dentro de los ficheros, ... ...
Nada, nada. Dvd intocable, y ya está. Y si te ha funcionado bien lo guardas por si lo necesitas otro dia.
Quote Elpatosilva: " El utilizar la palabra Virus como analogia a un virus humano es bastante incorrecto, un virus de computadora es un fragmento de código que debe cargarse en memoria y ejecutarse para que funcione. "
Pues acabas de describir también el funcionamiento de un virus biológico.
Un virus, (biológico), lo que hace es precisamente es inyectar la secuencia de código que le define, su adn,
en la "memoria" de la parte de la célula que se encarga de la reproducción.
Una vez hecho esto, pone la célula en modo clonado, marcha a tope, y dale caña!. O sea, que ha mandado
ejecutar la secuencia que ha introducido, la cual genera nuevos virus, totalmente formados.
Si a esto añadimos la forma en que se transmite, por "infección" de nuevos sistemas, ("contagio") que antes
estaban correctos,
¿Me vas a decir que no hay una similitud entre los dos ??.
Es por eso que hablamos de virus, y de sistemas infectados. Informáticamente hablando, claro.
Esto me recuerda algo que me explicó una persona, es divertido, y muestra como han cambiado las cosas.
Me decía que, al principio del boom informático, cuando los ordenadores empezaban a llegar a las casas,
los programas y archivos se trnsmitian en diskette(s), y con frecuencia de mano a mano, cuando a internet
aún le quedaban años antes de que alguien pensara en algo asi ...
... una persona había recibido unos disquetes, que al parecer estaban "infectados".
Puesto al habla con la persona que se los había dado, este le dijo, "Bueno, no te preocupes, traemelos
de vuelta. Yo ahora paso el antivirus, y ya te los vuelvo a copiar".
Como parece que no podían encontrarse de manera directa ese dia, le dio instrucciones de que se los
dejara en una farmacia, y ya los recojeria el de alli.
Asi lo hicieron. Y cuando según lo acordado este pasó a recojer los discos y se los pidió a la chica del
mostrador esta respondió " Ah, si!, me han traido una cosa, que dicen que son unos discos que están
enfermos, o algo así. ¿no? "
XD XD XD . ( Ya salió el farmaceutico. jaja ).
y Habemus forum nuevamente!
Posiblemente lo diferente entre tu punto de vista y el mio respecto a la similitud entre los tipos de virus esta relacionado en como se comporta una persona normal en los diferentes ambitos, para mi en la vida real una persona normal que hace cosas normales como tomar el transporte publico (ah, que tiempos) puede terminar contagiandose con un virus sin darse cuenta por tocar un pasamanos y luego llevarse la mano a los ojos o boca. Mientras que en su PC esta persona normal no andará por allí ejecutando programas desconocidos descargados de sitios poco fiables o abriendo adjuntos de correos electrónicos no fiables.
Claro que hay gente que anda por la vida lamiendo pasamanos o tapas del vater para subirlo a tick tok, o metiéndose en antros a consumir sustancias de dudosa procedencia, como tambien hay quien da doble click a todo lo que se le cruza "para ver que es", pero en general no es lo que uno llamaría "normal", al menos desde mi punto de vista.
Para mi que la PC se infecte con un virus sin que me de cuenta es como que llegue yo de la calle a mi casa y al verme en el espejo me de cuenta de que alguien en la calle me cambio los pantalones mientras lo tenia puestos por unos de otro color sin que yo me de cuenta. No digo que no pueda pasar, pero...
En los años que estoy en esto nunca he infectado mi PC con un virus (que yo sepa, claro), tiempo en el cual me he enfermado varias veces de diferentes bichos, nada raro por suerte.
Claramente, la acción de afirmar que nunca he infectado mi PC con un virus garantiza que dicha infección se producirá en los próximos 5 dias.
Saludos
La democracia es el proceso que garantiza que no seamos gobernados mejor de lo que nos merecemos.