izsiljevalski virus Locky

Ta postopek ti omogoči, da dobiš pravice od administratorja za ta fajle. Izvedem vse kot piše v teh korakih in pol pa na koncu (zadnji, predzadnji korak) ne morem ničesar obkljukati in kot da nisem ničesar naredil.

OK, mogoče je res tako...nisem strokovnjak...pred nekaj dnevi sem googlal na to temo in mi je vrglo ven ta link z opisanim postopkom...večkrat sem šel skozi in nisem uspel odstraniti flash datotek.

Hvala za nasvete. S tem se bom poigral, ko bo več časa na razpolago.

čuhalev je 15. apr 2016 ob 00:37 izjavil:

No, pa sem ga le dobil. ZIP priponka, JS vsebina dvakrat escape + replace vse povprek, potegne EXE z neke turške strani, potem se poveže na nek Ukrajinski IP. Virus total 6/55.

Kdor čaka, ta dočaka :)

čuhalev je 15. apr 2016 ob 00:45 izjavil:

Zanimivo mi je, da je gmail vrgel sporočilo le v spam. Marsikomu gmail sporoči, da arhiv vsebuje virus in ga ne moreš niti posredovati.

Očitno ga AV, ki ga Google uporablja, ni prepoznal kot grožnjo, kar pa nebi smelo presenečati.

Ne. Pošiljajo iz naključnih naslovov, tudi iz tvojega (ko pošiljajo tebi).

Developerji pa ...?

darkolord je 15. apr 2016 ob 09:25 izjavil:

Ne. Pošiljajo iz naključnih naslovov, tudi iz tvojega (ko pošiljajo tebi).

Kako tudi 'iz tvojega'?
Edino, če si pripopan direktno na internet brez routerja, na javnem IP naslovu (IPv6 mislim, da še ne obvlada?). Ampak baje da niti ni tako malo ljudi, ki so tudi danes še vedno na tak način pripeti na internet, direktno preko modema.

smtpji brez avtentifikacije omogočajo posiljanje poste v imenu korgakoli hočeš. Je pa dejstvo, da to stvar tvojega strežnika če bo to sporočilo filtriralo :)

SeMiNeSanja je 15. apr 2016 ob 11:17 izjavil:

darkolord je 15. apr 2016 ob 09:25 izjavil:

Ne. Pošiljajo iz naključnih naslovov, tudi iz tvojega (ko pošiljajo tebi).

Kako tudi 'iz tvojega'?
Edino, če si pripopan direktno na internet brez routerja, na javnem IP naslovu (IPv6 mislim, da še ne obvlada?). Ampak baje da niti ni tako malo ljudi, ki so tudi danes še vedno na tak način pripeti na internet, direktno preko modema.

ups...

Jaz sem bil že en korak naprej, ne več pri mailih ampak pri hostih, s katerih se vleče payload, tisto zares nevarno exe datoteko, ki potem vso godljo izvede.

Vidim pa, da se je komentar nanašal na mail in ne na distribucijo samega core malware-a.

Mail je pa seveda lahko tudi tvoj...

jukoz je 15. apr 2016 ob 11:50 izjavil:

SeMiNeSanja> Če je govora o resnih projektih, pa se kodo takointako naj nebi pošiljalo sem in tja preko maila...

Naj ne bi =)
Na koncu se jo pošilja preko Google Drive in DropBox, ker jim network admini ne puščajo drugih načinov izmenjave ("company policy" pa to). Jebi ga, Google Drive, DropBox in Skype je pa OK, ker ni omenjen v "company policy" =)

Vem.

In me vsakič razjezi, če samo pomislim, da vsak Linux pride z SFTP serverjem, ki čisto zadošča za osnovno varno izmenjavo datotek. Če nočeš kunštvat, imaš zadevo mimogrede up&running.
Ampak očitno je tam zunaj toliko enih adminov, ki za SFTP še nikoli slišali niso? Dobro, da so že kdaj slišali za SSH....

Company policy pa naj nebi bila toga zadeva, ampak živa stvar, ki se jo revidira, spreminja in prilagaja. Če se ne, je že v osnovi nekaj narobe.

Laskota je 19. apr 2016 ob 17:44 izjavil:

no, poleg smetenja, obstajajo tudi drugi vektorji infekcije. Cerber virus, variant Locky, lahko namesti s exploit kit http://sureshotsoftware.com/guides/cerb...

Seveda je cel kup nesnage, ki jo lahko fašeš na kompromitiranih spletnih straneh, ne samo Cerber, še kup drugega je, kar se na ta način distribuira.

Vseeno pa je vsaj za enkrat glavnina okužb z izsiljevalskimi virusi bila vnešena v omrežja preko priponk ali linkov v elektronski pošti. Medtem ko za priponke obstaja kup mehanizmov, kako jih brisati/onemogočiti, stvar že pri linkih postane bolj problematična. Elektronsko pošto, ki bi vsebovala linke, ne moreš kar apriori blokirati. Razen spodobne antispam rešitve, praktično ni načina, kako bi lahko preprečil dostavo takšnega sporočila v uporabnikov inbox.

Od tukaj naprej si pa v bistvu na istem, kot pri vseh ostalih kompromitiranih spletnih straneh, ki uporabljajo najrazličnejše exploit kit-e za distribucijo malware-a.
Redno posodabljanje OS-a, brskalnikov, vtičnikov (flash, pdf,...), blokiranje izvajanja skript, onemogočanje Jave, so osnovni ukrepi, ki ne stanejo nič, pomagajo pa kar precej.
Klikanje 'po pameti' včasih pomaga, ampak prej izjemoma kot pa v pravilu, saj se pogosto kompromitira spletišča, ki imajo določen ugled in jim uporabniki zaupajo.

Če hočeš za svojo zaščito naresti več od tega, pa moraš že posegati po naprednejših rešitvah, ki pa niso več zastonj.

Ali je danes v obtoku kakšna nova podvarianta tega Lockyja?

Do danes, mi ga je AV na firewall-u več kot uspešno polovil, danes so se pa vsuli msg-ji iz Sandbox analize (se pravi, da AV ni zaznal škodljivca in je zadeva šla na naslednji nivo preverbe 'škodljivosti'), da mi hočejo barabe pošiljat škodoželjne priponke.

V vseh primerih se priponka imenuje scan.docm - ima pa vsakič drug MD5 hash.

jukoz je 6. maj 2016 ob 16:12 izjavil:

Ne še. Pa ".docm" blokiraj kar tako, ker ti nimajo kaj samo makrojev pošiljat naokoli.

Jaz imam to namenoma dovoljeno, da vidim, če kaj uspe 'prebiti zaščito'. Če bi blokiral, bi mi koj porezalo in nebi mogel analizirat efektivnosti enega ali drugega varnostnega servisa.

Za vse druge 'navadne uporabnike' pa seveda obvezno priporočam blokiranje *.docm in *.js, ki se zadnje dneve tudi kar nekajkrat pojavljal.
Ker je ta *.js običajno zapakiran v zip datotekah, po svoje tudi nebi bilo narobe blokirati *.zip priponke.
Če ti že kdo mora poslati kakšno zip datoteko, pa to lahko pred pošiljanjem preimenuje v nekaj drugega (npr. *.paket), si to shraniš in preimenuješ nazaj v *.zip, da jo lahko razpakiraš.

Po moje noben mail client nebi smel tega direktno odpirati.

Predvidevam, da firbčni uporabnik klika toliko časa, da mu odjemalec ponudi pogled datoteke v web browserju ali karkoli že ima asocirano z *.js

zero_max je 6. maj 2016 ob 19:33 izjavil:

SeMiNeSanja je 6. maj 2016 ob 16:22 izjavil:

Za vse druge 'navadne uporabnike' pa seveda obvezno priporočam blokiranje *.docm in *.js, ki se zadnje dneve tudi kar nekajkrat pojavljal.

Kako se to naredi?

To se je nanašalo bolj na poslovne uporabnike, kot domače. Odvisno, kaj ima kdo v uporabi, se da prenašanje določenih vrst datotek zablokirati že na požarni pregradi ali na strežniku za elektronsko pošto. Večina sodobnih požarnih pregrad danes omogoča, da omejuješ prenašanje določenih vrst datotek.

Na samih računalnikih uporabnikov, pa lahko z nekaj iznajdljivosti tudi precej 'zabremzaš' stvar. Lušten ćlanek na to temo imaš na Technetu: Locky malware, lucky to avoid it

SeMiNeSanja je 6. maj 2016 ob 21:39 izjavil:

zero_max je 6. maj 2016 ob 19:33 izjavil:

SeMiNeSanja je 6. maj 2016 ob 16:22 izjavil:

Za vse druge 'navadne uporabnike' pa seveda obvezno priporočam blokiranje *.docm in *.js, ki se zadnje dneve tudi kar nekajkrat pojavljal.

Kako se to naredi?

To se je nanašalo bolj na poslovne uporabnike, kot domače. Odvisno, kaj ima kdo v uporabi, se da prenašanje določenih vrst datotek zablokirati že na požarni pregradi ali na strežniku za elektronsko pošto. Večina sodobnih požarnih pregrad danes omogoča, da omejuješ prenašanje določenih vrst datotek.

Na samih računalnikih uporabnikov, pa lahko z nekaj iznajdljivosti tudi precej 'zabremzaš' stvar. Lušten ćlanek na to temo imaš na Technetu: Locky malware, lucky to avoid it

Hvala. V Wordu (za nas navadne uporabnike) sem označil 'Onemogoči vse makre razen elektronsko podpisanih.'.

Aja...pol naj nastavim/označim v excelu tudi: 'Onemogoči vse makre razen elektronsko podpisanih. ?

To ne bo vplivalo na delovanje excela (npr. da bi imel težave s kakimi funkcijami/forumalmi)?

ql, hvala

Ali pa imaš takšen AV, ki ti že med prenosom skenira datoteko in pregleda, če je v njej virus.

Še ena na temo Makri in excel...
V exceleove celice sem prilepil 3 url naslove (Od tega je bil eden skrajšan prek bit.ly. Vsi naslovi so z vidika varnosti bili neoporečni. No res je da niso imeli https na začetku, ampak šlo je za 2 zelo obikana serverja po celem sveu. Eden je bil državni iz ZDA, drugi nek zasebni (zadebna zelo velika firma) iz Z Evrope.) in potem sem shranil datoteko. Nato sem jo odprl in pojavilo se je okno/neko obvestilo od samega excela, da ni varno to odpirati (ne spomnem se natančno kaj je pisalo). Nisem si upal odpreti datoteke in sem jo prvo pregledal z AV (NOD32, ni zasledil ničesar) in potem zbrisal. Na srečo sem imel narejeno varnostno kopijo nekaj ur pred tem in nisem izgubil veliko 'podatkov'.

@zero_max: mislim, da to nima veze z makroji;

https://support.office.com/en-us/articl...

Brez zamere, še vedno NISI NAPISAL, kakšno zvezo ima to pisanje z naslovom teme?

Govorimo o makrih (mimogrede, macros so makri, ne makroji - makro je zvodnik), ki niso škodljivi ali o makrih, ki so ti dol potegnili Lockyja?

In še: NOD32 je podn od antivirusa že desetletje, Bitdefender, na primer, naj bi Lockyja v živo ustavil.

tony1 je 7. maj 2016 ob 17:42 izjavil:

Brez zamere, še vedno NISI NAPISAL, kakšno zvezo ima to pisanje z naslovom teme?

Govorimo o makrih (mimogrede, macros so makri, ne makroji - makro je zvodnik), ki niso škodljivi ali o makrih, ki so ti dol potegnili Lockyja?

In še: NOD32 je podn od antivirusa že desetletje, Bitdefender, na primer, naj bi Lockyja v živo ustavil.

Ma kakšen Bitdefender. Kaspersky je top

tony1 je 7. maj 2016 ob 17:42 izjavil:

In še: NOD32 je podn od antivirusa že desetletje, Bitdefender, na primer, naj bi Lockyja v živo ustavil.

NOD32 se je pri Lockyu in podobnih izkazal za enega boljših. Malo višje sem prilepil sliko za primer.

Edit: je bilo v drugi temi: