Антивирус

[BossUA]

Ми спостерігаємо можливо найбільшу епідемію за всю історію вінди.

И ни одного заражённого овера с Украины
Шо ж такое, неужто все на 10-ке сидят?

Украинские оверы настолько суровы что не пользуются электронной почтой.
Кстати, 10 лет назад 70% всех зловредов были написаны ради оутлук экспресса, ещё 20% под интернет эксплорер....
Посему рекомендую ukr.net почту и Оперу 45 с AdBlockPlus и Ghostery расширениями.

[movi]

Украинские оверы настолько суровы

Не настолько. На интерактивной карте есть зараженные компы и в Украине.))

[BossUA]

Украинские оверы настолько суровы

Не настолько. На интерактивной карте есть зараженные компы и в Украине.))

На этой карте написано что-то про оверов ?
Там 90% блондинок которым на оутлук пришло письмо "От подружки" типа скачай ехе файл с красивыми котиками", в таком роде.

[john_cvet]

у брата на семерке выдало, что нет такого компонента и 0x800f08c

[movi]

На этой карте написано что-то про оверов ?

Принимается.

[Makc1968UA]

На этой карте написано что-то про оверов ?

Эти "Оверы" заняты расшифровкой своих компов, позже отпишутся, если смогут...

[anatolikostis]

john_cvet
для 7-ки есть патч
хотя в принципе поражены будут только либо машины с шнурком прова в компе либо конторы, где админ работает по принципу

обновы не ставлю... антивируса нет ... IP статичный , NAT в роутере , только виндовый фаерволл

вот, проще всего проверить, стоит ли вам вообще по этому поводу парится
https://2ip.ru/check-port/?port=445
если закрыт, то все ок - ждем свежую дырку в винде

[Makc1968UA]

anatolikostis
Люто плюсую!
И да - порт закрыт!

[acm_fan]

Ещё одно подтверждение утратившего актуальность подхода сигнатурного анализа.
В Comodo решили приободрить пользователей и сделали видео:

Зелёная рамка это виртуальный рабочий стол (песочница).
Короче говоря, проактивка наше всё.
Делайте бекапы

[Scoffer]

acm_fan
Херню вони якусь показують. Метод зараження і запуску не даблтицом з робочого столу під правами користувача Це дуже серйозний хробак з технологією зараження з закомірків АНБ. Я не жартую, це з набору експлойтів FuzzBunch, які кулхацкери Shadow Brokers сперли у інших кулхацкерів Equation Group, котрі в свою чергу працюють на АНБ. Причому вразливість судячи з усього by design, бо не даремно в вінді навіть така галка є "заборонити підключення на файлошари і принтери".
Так от антивіруси в даному конкретному випадку разом з софтовими файрволами тупо безсильні тому, що працюють по верху мережевого стеку ОС, а вразливість в самому стекі. Файрвол на роутері врятував би

[anatolikostis]

acm_fan
полная чушь: проактивный каспер и софос лягли первыми.
дело в удаленном исполнении кода - удаленном!
никаких писем никто не рассылал и не подсовывал ускорялки вкантахте

[acm_fan]

Окей. Я, честно, не сильно слежу за очередной волной шифраторов, она не первая и не последняя.
Давайте по пунктам.
В этот раз нашли эксплойт посредством которого набор файлов попадает на ПК.
После того как что-то попало на комп, оно начало работать.
О каком удалённом исполнении кода вы говорите? Есть команда - начать шифрование, процесс, находящийся в среде ОС, его выполняет. Всё.
Этот процесс изолируется в песочницу.
В подтверждение, если ПК обращается куда-то там (зарегали домен) и находит ответ - процедура останавливается. Обращается зараженный ПК, а не злой Джон Смит.

Или вы хотите мне сказать, что условная пораженная система полностью выглядывает в мир, и можно удалённо работать с каждым файлом? Это фантастика, но, допустим, это так.
Работа с файлами проходит при участии какого-то процесса (возьмём explorer.exe). Если активность нетипичная - он изолируется, или, если настроить, система защиты будет спрашивать, а точно ли я хочу продолжения выполнения сценариев.

Если не прав, поправляйте, только своими словами, а не линками на ютубы.

[kostongik]

john_cvet
для 7-ки есть патч
хотя в принципе поражены будут только либо машины с шнурком прова в компе либо конторы, где админ работает по принципу

обновы не ставлю... антивируса нет ... IP статичный , NAT в роутере , только виндовый фаерволл

вот, проще всего проверить, стоит ли вам вообще по этому поводу парится
https://2ip.ru/check-port/?port=445
если закрыт, то все ок - ждем свежую дырку в винде

Спасибо за ссылку!
Вот полезности: через команду cmd от имени администратора.
netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=135 name="Block_TCP-135"

netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=445 name="Block_TCP-445"
Ну и блокировка уязвимости SMB1. Через ту же команду cmd для закрытия уязвимости. После ввода жмем Enter. Видим сообщение "успех". Перезагружаемся.
sc.exe config lanmanworkstation depend= bowser/mrxsmb20/nsi
sc.exe config mrxsmb10 start= disabled

[Scoffer]

acm_fan
Користуючись вразливістю SMB1 протоколу хробак завантажує себе напряму в оперативу з правами system, тобто права бога, на цей час ще немає ніяких файлів малварі, просто запуск коду з оперативи Одразу ж починається шифрування. Антивірі все це ще не бачать. Але, хробак для другого і інших запусків (автономний режим, після перезавантаження компа) ще й рєєструє нову службу, ось це вже можна розпізнати, що і зробив комодо, але на той час скоріш за все буде занадто пізно, і якщо вразливість не закрита, то ззовні пройде повторне зараження за першим сценарієм.
Власне факт є фактом, всі до єдиного антивірі не захистили від цього хробака, бо у них немає ніяких шансів це зробити. Це по-перше.
По-друге антивірі не можуть і не будуть зупиняти 0-day шифратори тому, що їх поведінка дуже схожа з нормальною роботою користувачів, вони ж нічого не ламають в системі, просто відкривають і редагують файли. Тому з шифраторами боряться пост-фактум, по відомим сигнатурам.

Отправлено спустя 9 минут 15 секунд:
Я тут не пропагую відмові від антивірусів, якщо здається. Я стверджую, що одного лише антивірусу - категорично недостатньо. Потрібен комплексний підхід: антивірус, правильно налаштовані права в системі (сидіти під самим зарізаним користувачем без можливості запуску виконуємих файлів з непризначених на те директорій, вирублені макроси в ексельках і інший подібний треш) і файрвол на роутері. От тоді можна бути більш-менш спокійним

Отправлено спустя 7 минут 5 секунд:
Вищий пілотаж - програмно-апаратні рішення файрвол+потоковий антивірь від Fortinet, Cisco і ко замість роутеру, але це дорого.

[fantomrulezz]

сидіти під самим зарізаним користувачем без можливості запуску виконуємих файлів з непризначених на те директорій, вирублені макроси в ексельках і інший подібний треш

Это все, конечно, прекрасно с точки зрения безопасности, но работать то как?
Может с точки зрения сисадмина, это и трэш, а с точки зрения пользователей, которые работают с экселевскими файлами по 20 МБ, макросы - это суровая необходимость. И этот самый пользователь, скорее всего, зарабатывает для организации деньги, которыми админу зп платят.

[Makc1968UA]

Користуючись вразливістю SMB1 протоколу хробак завантажує себе напряму в оперативу з правами system, тобто права бога, на цей час ще немає ніяких файлів малварі, просто запуск коду з оперативи Одразу ж починається шифрування. Антивірі все це ще не бачать.

Здесь нужно понять - как именно проникает зловред на комп? Протокол Самбы подразумевает приём/передачу файлов. Запуск файлов удалённо на машине возможен и тут уже задача антивиря отслеживать своей проактивкой ключи запуска кода на атакуемой машине. То, что антивири не сработали - это или реальная дырка, или скрытая создателями Винды потаённая возможность удалённо управлять компом. И тут "теория заговора" уже не просто легенда, а материально подтверждённый факт. Похоже, все эти новомодные UAC и проактивки - фикция. Против скрытого запуска кода всё это бесполезно. Особенно, если код запускается при помощи стека - такое вообще невозможно контролировать. Никакие дорогущие Циски не способны такое остановить.
Писать код нужно на ассемблере, чтобы каждую ячейку, каждую строчку контролировать. Любая писанина на языках высокого уровня с последующей компиляцией в машинный код неизбежно будет создавать дыры вне зависимости от разгильдяйства программистов.

[Scoffer]

Makc1968UA
Як-як, переповнення стеку і вперед) Сам по собі протокол тут ні до чого, просто в його конкретно взятій реалізації є вразливість, з таким самим успіхом міг бути будь-який інший протокол.

fantomrulezz
Немає ніякої необхідності в макросах років з надцять вже. В тих пір як стало можна перенести обробку будь-яких даних на сервера, а користувачу видати юзерфрендлі тицалки і жмакалки в браузері. Багато кантор все ще живуть в минулому тисячолітті в цьому плані, але самі винні.

[fantomrulezz]

Немає ніякої необхідності в макросах років з надцять вже. В тих пір як стало можна перенести обробку будь-яких даних на сервера, а користувачу видати юзерфрендлі тицалки і жмакалки в браузері. Багато кантор все ще живуть в минулому тисячолітті в цьому плані, але самі винні.

Это все очень красиво звучит именно с точки зрения админа, а в реальной жизни очень часто бывает так, что провести анализ здоровенной таблицы необходимо прямо сейчас, и нет возможности ожидать, пока разработчики запилят красивые тыкалки и жмакалки где-бы то ни было.
В любой крупной организации у аналитиков есть десятки отчетов, которые еще не доросли до того, чтобы держать их в базах данных, но уже требуют некоторую автоматизацию, с чем успешно справляются макросы. Проблема многих айтишников, что они забывают о том, что айти инфраструктура компании призвана в первую очередь решать запросы бизнеса, а не тешить ЧСВ сисадмина.

[Scoffer]

fantomrulezz
До чого тут ЧСВ? Є реальна проблема втрати організацією даних на багато-багато грошей, є вона і все тут, це не залежить від адміністратора. І далі ти вирішуєш або сидиш і далі в своїх ексельках як на пороховій бочці і в якийсь момент можеш втратити все, або замінюєш підхід на не на такий зручний, але значно більш безпечний. За статистикою компанії, які втратили дані від шифраторів, і в тижневий термін не змогли їх відновити, закриваються на протязі року. За все треба платити, в тому числі за зручності, тільки ціна може стати фатальною.

[acm_fan]

Видели рекомендации от доблестной Киберполиции?
https://www.cybercrime.gov.ua/16-novost ... agach#news
Есть желающие прокомментировать?