Ali je še možnost odkriti vzrok vdora v infor. sistem?

Odvisno od vašega informacijskega sistema, sledi dostopov nepooblaščenih oseb lahko da še so.

Ali je v tem trenutku še smiselno prijavljati dogodek z namenom izslediti storilce pa težko, da kdo lahko pove kar tako na pamet. Mogoče lahko odločitev o tem, ali bodo dokaze še zbirali in v kakem obsegu, prepustite policiji po tem, ko zadevo prijavite.

Še eno vprašanje, je možno da se je zadeva prenesla preko oddaljenega dostopa, malce je sicer nelogično? Sicer na oddaljenem računalniku ni nobenih sledi virusa in tudi dostop do računalnika ni bil preprečen, medtem ko je strežnik zakriptiralo.

danes je najmanjsi problem komu podtaknit kako tako zadevo

od tega da kdo odpre kak mail do tega da kdo utakne usb kljucek pa do tega da se kdo poveze v vase omrezje (wlan je itak slabo zasciten, ampak tud ce je samo po kablih ni tolk varno kot bi si mislil) in tko naprej

Dnevni backup, vsekakor. Na trak pa res ni treba, da je. Komot je tudi snapshot vsako uro, če datotečni sistem na strežniku to omogoča.

jype je 19. okt 2016 ob 06:37 izjavil:

Dnevni backup, vsekakor. Na trak pa res ni treba, da je. Komot je tudi snapshot vsako uro, če datotečni sistem na strežniku to omogoča.

... ter snapshoti morajo biti read only za omrežne uporabnike, sicer so tudi ti izpostavljeni.

Vidva v 9. mesecu nosečnosti razglabljata o koristnosti kontracepcije?

SeMiNeSanja> Vidva v 9. mesecu nosečnosti razglabljata o koristnosti kontracepcije?

Seveda, ker bo sicer kmalu spet zanosil.

SeMiNeSanja> Kar se pa tiče preprečevanja ponovne nosečnosti, pa sem še vedno mnenja, da je backup ene toliko kontracepcija, kot pilula za 'potem'. Dobro je, da jo imaš, če se slučajno kondom strga. Ampak brez kondoma ga nikar sračkat z neznanci!

Tega v praksi ne moreš zagotoviti drugače, kot da uporabnikom prepoveš poganjanje kakršnihkoli nepodpisanih programov, kar zna biti združeno s težavami pri izvajanju delovnih procesov.

Bolje, da resno razmislite o vaši varnostni strategiji na splošno, ker že samo dejstvo, da ste povozili 30 dni dela (30 dni brez backupa?!), preden ste pomislili na analizo, ne da bi pred izbrisom naredili posnetek ali vsaj ugotovili, za kateri virus gre, kaže, da imate veliko bolj resne težave, kot da ne veste, kako se je zgodila okužba. Ker vseh vektorjev za okužbo ne moreš preprečiti, posledice pa se v večini primerov da vsaj omiliti.
Tega noče nihče slišati, ampak zajebali ste, ne iščite zdaj podganjih drekcev, ampak preprečite ponovitev te šlamase.

Glede na opisano gre po vsej verjetnosti za tak ali drugačen ransomware, ki nima popolnoma, ampak res popolnoma nič z kompleksnotjo gesel. Ima pa toliko več z uporabniki, ki klikajo na 1001 link v emalih.

Kar se pa kompleksti gesel tiče, pa čisto empirična izkušnja iz podjetja z 30 zaposlenimi. V okviru večje varnosti se je implementiralo vsaj 12 mestna gesla, ki morajo imet veliko črko, poseben znak in številko. Gesla je potrebno osveževat na 60 dni, pri čemer se gesla ne smejo ponavaljati ali si biti preveč podobna. Rezultat po enem letu: 28 od 30 zaposlenih ima geslo napisano pod tipkovnico, na namiznem koledarju ali v predalu.

Je sploh še smiselno zadevo prijaviti si-cert ali pa policiji, lahko sploh še kako pomagajo in izsledijo zaradi česa je sploh prišlo do tega?

Če ni skrivnost kaj konkretno se pa zgodi če prijaviš tak incident na policijo ali si-cert? Reševal podatke ali aktivno preganjal zlikovce po moje ne bo nobeden od teh dveh.

Ne vem, ali sem samo jaz prebral kaj je OP napisal? Zakriptiralo jim je strežnik, ne pa delovnih postaj. Če bi kdo kliknil na priponko, bi najprej kriptiralo njegov računalnik da nebi mogel kaj kliknit in nato ostale mrežne resurse. Predvsem pa samo tiste, do katerih ima uporabnik pravico.

In točno enako zgodbo kot jo je imel OP sem že videl. Uporabniki pa tam nimajo dostopa povprek na server ampak samo na določeni fileshare oz. sql bazo. In nihče nima serveradmin ali rdp dostopa do serverja. In nobena od del. postaj ni bila okužena (vem sem jih vse skeniral) niti zakriptirana. Se je pa z legalnim administratorskim uporabnikom nekdo ponoči skonektal na server in zagnal nek ransoware, ki je zakriptiral kompleten server in na namizju "pohekanega" zunanjega administratorja pustil obvestilo za kontakt za plačilo. Nek indijski mail. K sreči je bil tu backup..

In ne mi govoriti, da nima veze z gesli. Ima, ker sem kasneje zvedel, da je omenjeni zunanji skrbnik imel enostavno geslo sestavljeno iz svojega imena, imena stranke in letnice. Simpl ko pasulj za ugotovit....

Vi sami zihr ne. Lahko pa koga najamete.

issak je 19. okt 2016 ob 11:25 izjavil:

Furbo je 18. okt 2016 ob 23:59 izjavil:

Verjetno je kdo brihtno kliknil kako priponko v mailu..

Tako je bilo pri nas, da. Ker je imel read/write dostop do samba sharov, se je zadeva razpasla po mreži. Cryptolockerji ne rabijo admin pravic niti (uporabnik jih ni imel), rabijo samo write dostop do datotek.

Ko enkrat pobrišeš vse je težko izslediti kaj je dejansko bilo, razen če greš pogledat nazaj po priponkah v emaile.

Pri nas smo imeli relativno omejen primer. Storilca je bilo enostavno najti - vzel sem eno datoteko in pod zavihkom Details pogledal kdo je Owner.

SeMiNeSanja je 19. okt 2016 ob 17:03 izjavil:

noraguta je 19. okt 2016 ob 16:54 izjavil:

Vi sami zihr ne. Lahko pa koga najamete.

Tudi če nekoga najamejo, ta verjetno ne bo imel delujoče kristalne krogle, katera bi jim povedala, od kje je prišla prvotna okužena datoteka.

Pa tudi če bi imeli VSE logirano, dobiš nek IP naslov na internetu, kateri je malware datoteko skladiščil - ta IP naslov pa je po vsej verjetnosti nek kompromitiran spletni strežnik, čigar lastnik še sanja ne, da trosi nesnago po internetu.

Edino, kar načeloma lahko najdejo brez kristalne krogle, bi bil računalnik, kateri se je v omrežju okužil in v nadaljevanju zaklenil datoteke na strežniku.

Lahko bodo odkrili vzrok , najti storilca je pa druga reč.

Furbo je 20. okt 2016 ob 11:12 izjavil:

SeMiNeSanja je 19. okt 2016 ob 20:49 izjavil:

McMallar je 19. okt 2016 ob 20:44 izjavil:

Pri nas smo imeli relativno omejen primer. Storilca je bilo enostavno najti - vzel sem eno datoteko in pod zavihkom Details pogledal kdo je Owner.

To ni storilec, temveč naivna žrtev.

Ali pa nekdo, ki bi mu pasal teden dni dopusta.

Ni storilec je pa izhodišče za nadaljno raziskovanje. Ni ti treba preiskovati 10, 100, 1000+ mašin ter njihove akcije in promet ampak samo eno (oz nekaj, če je več ljudi odprlo to priponko).