從情書病毒看照片資料保存及照片資料還原

最近一個朋友的電腦說中毒了,幫他查看之下,中了情書病毒 Loveletter-又名情人節病毒I LOVE YOU,這個病毒簡單說感染的是JPG、MP3這類的檔案,中毒的方式是你點擊了中毒檔案例如test.jpg,但打不開這個檔案,因為實際上此檔案的名稱已被改成test.jpg.vbs,當此時您的未安裝防毒軟體或是防毒軟體病毒過期或能力不足沒有攔截到,您就中毒了!!
中了這個毒後它會將您電腦中所有JPG及MP3檔案抹除(不僅僅是刪除,而是抹除了磁區),然後產生同樣檔名的例如test.jpg.vbs,檔案大小都為10K,而一般的人沒有打開檔案總管的"顯示已知格式副檔名",所以看起來也還是test.jpg而不自覺,等到要開啟照片時才知道所有照片都打不開了!

我們在整合銷售NAS產品,一直在宣導的就是檔案備份,TimeBackup,磁區快照,異地備援等資料保護,每天每月每年我們都拍了多少照片,可能拍完後連看都沒看甚至往電腦一丟也沒整理,但如果有一天它都不見了,才會想到這些資料的重要性而後悔莫及!!

從.vbs病毒來看就是一個很典型的例子,當我處理這次的資料救援,才知道它並不是單純把你的JPG刪掉,然後置換一個同檔名.vbs的檔案這麼簡單,因為使用所有救援軟體去找"刪除的資料"並沒有找到檔案,而需要從"磁區掃瞄"的模式才能有機會將資料救回。

這次我也採用了很多救援軟體,但效果都不是很理想,最後反而是用了PC Inspector File Recovery這支德國的免費軟體達到磁區救援目的,由於一開始時我也不知道這軟體該如何使用而放棄,因此在此也將使用方法分享給大家。

下載點: http://download.pcinspector.de/pci_filerecovery.exe
Step1: 下載後安裝執行PC Inspector File Recovery，選擇English再點擊勾

Step2. 按下左上角的Recovery deleted files它會快速的掃瞄您電腦中的所有磁碟機

Step3.點選您要救援的磁碟再點擊勾

Step4. 按下來的步驟非常重要,當時我也是在此步驟時不知該如何做所以沒辦法繼續,先點上方功能列的"Object"

Step5. 再選擇Option

Step6. 進入後點擊上方的Files

Step8. 由於我們是進行磁區資料掃瞄救援,如果您大略知道所有照片最大的檔案大小,那就在下方的Default file size填入例如4MB輸入4000000,如此掃瞄時當他找到磁區上有檔案時,會先預開4MB的大小讓它儲存檔案,如果這個空間開的比它原檔的小,那麼會造成JPG檔救回來,只能看到一半的圖片。

Step9. 回到主畫面按下左方的 + 號,進行範圍選擇

Step10. 不知是程式的問題還是硬體搭配的問題,按下來是選擇要掃瞄的區塊,但是這個區塊如果調整到整顆硬碟,很容易在儲存時發生程式錯送的訊息,整個硬碟掃瞄需時很久,又在儲存時發生錯誤實在很令人氣憤,建議一次掃瞄的區塊不要設的太大,以避免這個問題,所以我都是分成好幾次來做資料救援的動作。
Step11. 開始掃瞄了,成敗就在這個過程後

Step12. 掃瞄完後出下以下畫面,可以用Type進行資料排序,主要是要救回JPG檔,將找到的JPG檔都選擇起來

Step13. 在選起來的檔案上按下滑鼠右鍵, 選擇Save to,之後請選擇儲存到另一顆硬碟上,以免影響要救援的硬碟,就大功告成了!