Защита основной загрузочной записи (MBR)

Dragokas

Very kind Developer
Команда форума
Супер-Модератор
Разработчик
Клуб переводчиков
Сообщения
6,575
Реакции
6,020
Баллы
798
Cisco MBR Filter

Некоторые Ransomware шифруют MBR, где хранится информация о размещении разделов жесткого диска, а также шифруют MFT, таблицу с именами файлов и их расположением на диске.

Для защиты от этого, можно установить драйвер, разработанный Yves Younan и Andrea Alleivi из компании Cisco Talos.

Установка:

Скачайте с этой страницы архив, соответствующий битности вашей системы (64 или 32).
Распакуйте архив.
Нажмите правой кнопкой мыши по файлу MBRFilter.inf и выберите пункт "Установить".

Особенности работы:
Драйвер работает без вмешательства пользователя, автоматически блокируя любые попытки записи в область MBR.
Из замеченных неудобств: блокируется попытка форматирования флеш-накопителя. Если вам нужно сделать, что-то требующее вмешательство в MBR, перезагрузите систему в безопасный режим.

Более подробную информацию можно узнать по ссылкам:
MBR Filter - Cisco Talos
GitHub - Cisco-Talos/MBRFilter: Cisco Talos MBR Filter Driver
 

Dragokas

Very kind Developer
Команда форума
Супер-Модератор
Разработчик
Клуб переводчиков
Сообщения
6,575
Реакции
6,020
Баллы
798
Уточню, что согласно ветке Issue на GitHub, пользователи MBRFilter сталкивались с проблемами:
- отказа в работе ChkDsk (стандартной программы проверки диска на ошибки)
- отказа загрузки ОС при установке программ, типа RAM Disk, в частности http://www.ultraramdisk.com
Также, MBRFilter технически может конфликтовать с каким-нибудь антивирусным продуктом, если он тоже устанавливает защиту нулевого сектора.
 

mmx233

Новый пользователь
Сообщения
1
Реакции
0
Баллы
1
Не ставил RAM Disk, но после установки система перестала загружаться. Пришлось переустанавливать систему.
Лучше не ставьте себе эту дрянь или по крайней мере будьте готовы к возможным неприятностям.
 

Dragokas

Very kind Developer
Команда форума
Супер-Модератор
Разработчик
Клуб переводчиков
Сообщения
6,575
Реакции
6,020
Баллы
798
Не ставил RAM Disk, но после установки система перестала загружаться. Пришлось переустанавливать систему.
Ничего не понятно. Вы пишите, что "не ставили", потом пишите, что "после установки" ... Где правда?
В итоге, что именно вы ставили RAM Disk или MBR Filter и на какую ОС?
 
Последнее редактирование:

AndreyXpV7

Активный пользователь
Сообщения
73
Реакции
38
Баллы
318
Не ставил RAM Disk, но после установки система перестала загружаться. Пришлось переустанавливать систему.
Лучше не ставьте себе эту дрянь или по крайней мере будьте готовы к возможным неприятностям.
Ничего не понятно. Вы пишите, что "не ставили", потом пишите, что "после установки" ... Где правда?
В итоге, что именно вы ставили RAM Disk или MBR Filter и на какую ОС?
Я думаю, автор этого сообщения больше к нам не вернётся. Но у меня есть вполне разумный вопрос: а как его правильно удалить?
 

Dragokas

Very kind Developer
Команда форума
Супер-Модератор
Разработчик
Клуб переводчиков
Сообщения
6,575
Реакции
6,020
Баллы
798
To remove MBRFilter, follow these steps:

- Remove the line MBRFilter from the UpperFilters registry key in (only
remove MBRFilter, there might be other disk drivers here):

HKLM\System\CurrentControlSet\Control\Class\{4d36e967-e325-11ce-bfc1-08002be10318}

- Reboot
 
  • Like
Реакции: akok

AndreyXpV7

Активный пользователь
Сообщения
73
Реакции
38
Баллы
318
Эту инструкцию я читал: проблема не в этом, а в том, что такая инструкция должна быть на русском там же, где и основная статья, иначе количество сообщений типа
Не ставил RAM Disk, но после установки система перестала загружаться. Пришлось переустанавливать систему.
будет только расти. Иными словами, нужно сделать следующее:
1. удалите текст MBRFilter, который содержится в параметре UpperFilters в ключе/разделе реестра HKLM\System\CurrentControlSet\Control\Class\{4d36e967-e325-11ce-bfc1-08002be10318}
2.
после удаления нужно перезагрузить систему для "отключения" драйвера
3. после перезагрузки можно удалить оставшиеся элементы: ключ драйвера HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MBRFilter и сам драйвер C:\Windows\System32\drivers\MBRFilter.sys
Если система не загружается в обычном режиме, то всё то же самое нужно сделать в Безопасном режиме (так как драйвер, судя по содержимому статьи, не работает в Безопасном режиме, то всё можно сделать без лишней перезагрузки системы).
- такой ответ, я думаю, будет более точным
 
Сверху Снизу