Globalna okužba se širi, proizvodnja ustavljena tudi v Revozu

Možno je tudi, da te zezne posodobitev zvočne kartice :) https://www.extremetech.com/computing/2...

A_A je 14. maj 2017 ob 21:12 izjavil:

SeMiNeSanja je 14. maj 2017 ob 17:04 izjavil:

Glede na to, da je killswitch domena zdaj aktivna, morda v ponedeljek ne bo česa hujšega. Komur je zakriptalo podatke, je to najbrž opazil že v petek. Ostali imajo inicialni downloader še nekje v svojih milboxih.

Problem pa bi znal nastati, če bo avtor virusa popravil kodo, da bo spremenil killswitch domeno ali jo celo odstranil iz kode.
V tem primeru bi inicialni downloader lahko v ponedeljek sprožil nov val okužb. Ampak za zdaj še nisem zasledil kakšnih poročil o kakem wannacry 3.0.

kaj pa v primeru, da ti požarni zid blokira dostop do te domene? vrjetno se pol vseeno izvede kriptiranje?

Ne vem, ali zadeva zgolj preverja obstoj domene oz. naredi nekakšen nslookup, ali tudi izvede dejanski poskus povezave nanjo. Čisto možno, da zadošča že sam obstoj.

Ker se za nslookup ne povezuješ na blokirano domeno, bi načeloma ta test še šel skozi. Padel pa bi, če bi poskušal vzpostaviti kakšno konkretno povezavo.

Vendar je to zgolj teoretično. Če domeno blokiraš na domenskem strežniku, da se ne razrešuje, ali pa jo blokiraš na kakšnem DNS proxiju, potem bi virus imel občutek, da domena ne obstaja in se posledično zagnal.

Vsekakor je najbolje, da do uporabnikov sploh ne spustiš tisti downloader ali iniciator celotne štale (*.js/word/excel/pdf/??). Če se je ta že nekako prebil do uporabnika, pa da mu onemogočiš, da bi si lahko naložil dodatne komponente, katere potrebuje za svoje delovanje, kot tudi kasnejšo komunikacijo preko Tor omrežja s svojim C&C strežnikom.
Potem pa hitro naložiti patche, čimprej izprazniti spam karantene (pogosto dobre antispam rešitve te iniciatorje že v osnovi zaznajo kot spam),...

ti ga pač klikneš za okužbo. to še vedno deluje. s patchom ne deluje več RCE (remote code execution), torej da ti ne rabiš nič klikat, pa se vseeno okužiš, saj laufaš ranljiv servis (SMBv1, npr.).

Zakaj pa ne?

Vedno je zanimivo videti, kako zadeve (ne?) delujejo v praksi.
Tako lahko ugotoviš, ali patch deluje tako, da ne more poskušati okuževati drugih računalnikov (dvomim) ali pa tako, da te drugi ne morejo poskusiti okužiti (verjetno ta varianta).

Je pa dobro imeti še kakšen wireshark vključen, da vidiš, kaj se dogaja na nivoju mreže.

Btw.: kje si dobil sample? Preklikal vse priponke, ki si jih dobil v mailu? :)

SeMiNeSanja je 14. maj 2017 ob 23:13 izjavil:

Zakaj pa ne?

Vedno je zanimivo videti, kako zadeve (ne?) delujejo v praksi.
Tako lahko ugotoviš, ali patch deluje tako, da ne more poskušati okuževati drugih računalnikov (dvomim) ali pa tako, da te drugi ne morejo poskusiti okužiti (verjetno ta varianta).

Je pa dobro imeti še kakšen wireshark vključen, da vidiš, kaj se dogaja na nivoju mreže.

Btw.: kje si dobil sample? Preklikal vse priponke, ki si jih dobil v mailu? :)

LoL.
https://gist.github.com/Epivalent/e20d9...

jukoz je 14. maj 2017 ob 23:17 izjavil:

Kako pa zgleda zakljenjena datoteka? Še vedno nisem videl enega primera okužbe, slike na netu in medijih pa zgledajo precej filmske. harmony, bi lahko nalimal kakšeno zaslonsko sliko?

Torej, ko je kompjuter okuzen nimas veliko casa in se ti pocasi vse zaklepa. Karkol kliknes ti takoj zaklene, najbrz po dolocenem casu ti zaklene avtomatsko vse.

Jaz sem po okuzbi se 1minuto lahko gledal slike. Po minuti so ze bile kriptirane.

Tekstovne datoke so pa resnicno coolske. Na zacetku ti pise WannaCry ter ostali zmazek.

Fajli pa pac tipicno za ransomware dobijo random koncnice. Muzka.mp3.WTRZW al pa Text.txt.WRYJL

Zanimiv mi je read fajl..., ki pravi da naj se placa za odklep podatkov in da bojo 100% vrnili fajle, saj nezelijo prevarati uporabnikov. lol

The show must go....?

WannaCry -- New Variants Detected!

Kako že pravijo? It's not over till it's over?

Kot sem napovedoval, so se že pojavile nove variante brez killswitcha.
Patchajte kakor hitro morete, preverite backup-e,....

Jutri bo vsekakor zanimivo videt, kaj so se ljudje naučili v petek...

jaz mam na netu en windows 7 non sp1 pa tega virusa nisem dobil. očitno rabiš bit idiot in klikniti na priponko.

ja sem slišal, da je worm. zadnji virus, ki sn ga jaz mel je bil en java virus. znašo sem se na okuženem websitu in java ni bla up to date. jebiga. samo nobene škode ni povzročil razen tega, da mi je skril vse file.

SeMiNeSanja je 14. maj 2017 ob 23:48 izjavil:

Skratka čim prej bannajte Tor s svojih omrežij.

Kako pa to narediš?

Kako pa je v Sloveniji s prestrezanjem SSL sej na firewallu, da lahko filtriraš na L7? Po odločbi informacijskega pooblaščenca podjetje ne sme odpirat niti poštnega predala uporabnika, ki je zapustil podjetje - niti v toliko ne, da bi npr. nastavili Out-of-office reply. To moraš naredit na serverju. Prav tako odpade avtomatski forwarding maila na nov naslov.

Skratka, če nenadoma odide prodajnik (oz. ga vržeš iz službe), njegovega maila ne smeš preusmerit na drugega prodajnika, samodejni odgovor, da prodajnik ni več zaposlen v podjetju pa lahko nastaviš samo na strežniku, nikakor pa ne z odpiranjem njegovega email predala. Delodajalec ni niti upravičen preveriti, ali so v mailboxu ostali kakšni pomembni maili, na katere prodajnik še ni odgovoril.

Po drugi strani pa naj bi bil SSL interception na FW dovoljen?

In kako vam kaze kaj? Jaz sem zagnal povsod update na klientih. Kar me muci, je da tega KB-ja med instaliranimi updejti ne najdem. Je potrebno resnicno rocno to poinstalirati.

Pri nas so nekateri klienti na 1511 nekateri ze na 1607.

Poleg tega je marčevski rollup superseded z aprilskim in potem majskim, ki oba vključujeta ustrezen patch in imata seveda drugo KB številko.

Edit: typo

imagodei je 15. maj 2017 ob 10:34 izjavil:

Po drugi strani pa naj bi bil SSL interception na FW dovoljen?

Dovoljen? V bistvu je nujen, saj nimaš druge opcije, da zadevo ustaviš še predenj vstopi v tvoje omrežje.

Ti pravniki se predvsem obešajo na sorazmernost ukrepov. Če ti mašina nekje v ozadju dela DPI, to samo po sebi ne prizadane zasebnosti. Področje zasebnosti se prične tam, kjer ti ugotovitve tega scana zapišeš nekam v en log. Tu je potem vprašanje, ali je potrebno (sorazmerno), da se te 'osebne podatke' hrani (zagotovo je - kako boš sicer ugotovil, kdo je bil pacient zero?). Še bolj pa zanje zadeva postane škakljiva, ko te podatke potem 'obdeluješ' (delaš statistiko).
Vrhunec skrbi pa IP povzročiš z dostopom do vpogleda v logirane (in/ali obdelane) podatke. Dejansko jaz šele na tej stopnji vidim resno potrebo po 'paniki' če stvari niso urejene, kot bi morale biti. Pač ne more kar vsakemu jet gledat, kam vse je pisal in od koga vse je prejemal maile, po katerih spletnih straneh se je šetal, itd. Takointako pa se tu z GDPR postavlja zahteva, da so logirani podatki anonimizirani, da do 'pravih' deanonimiziranih lahko prideš šele z privolitvijo pooblaščenca za varovanje zasebnosti, ali kako se bo to že imenovalo.

Ampak s samo DPI inšpekcijo v ozadju ta del nima veliko skupnega. Saj se tudi nihče ne obrega ob to, da se datoteke na računalniku skenirajo z antivirusnim programom. Razlika je zgolj v toliko, da AV ne dela logov (razen za zlonamerne datoteke), medtem ko jih DPI lahko ustvari celo kopico.

Seveda se potem še privacy paranojiki vtaknejo v broken chain of trust, ker se jim vtakneš vmes v njihov SSL promet, ampak to je že druga zgodba.

jukoz je 15. maj 2017 ob 15:10 izjavil:

A smo spet pri DPIju ali kaj? Ajajaj...

Kakorkoli - nova viroza po mailih:
Subject: 12_Invoice_3456
Body: 001_1234

WannaCry ver 2?

priloga: 001_1234.pdf

Imam 4 take primerke v karanteni:
001_9952.pdf
001_5160.pdf
001_4860.pdf
001_0015.pdf
...vsak z drugim hash-em.

harmony je 15. maj 2017 ob 15:18 izjavil:

Jaz sem jih najdel 42. :)

Logično, saj imaš najmanj 10x večje omrežje.

Kar je bistveno pri zgodbi, je to, da ta golazen ne pride uporabniku v roke, da bi lahko po njej klikal. Tu se namreč zgodi izvorni greh.

Očitno so solidne antispam rešitve že toliko pametne, da ta sporočila že sama po sebi uspejo prepoznati kot sumljiv spam, pa čeprav noben AV še ne zganja panike.

Pri 0 day zadevah je AV takointako nemočen. Sandbox analitika dela odlično - a žal pridejo rezultati z 5-10-minutno zamudo. Kakšen hiter uporabnik bi tako priponko lahko ta čas že odprl. Če ti potem antispam rešuje zadevo in take maile umakne na 'stranski tir', ti ravno omogoči tisti dodatni čas do potrditve, da se gre dejansko za golazen, da lahko zadeve še varno odstraniš pred morebitnim klikom firbčnih uporabnikov.

Sicer pa, ko enkrat vidiš vzorce imen datotek, katere generator uporablja za določeno kampanjo, zanj narediš ustrezen filter in tovrstne datoteke enostavno porežeš ali zakleneš in se z njimi sploh ne ukvarjaš več, pa če so ali niso nevarne - zakaj bi tratil resurse na sistemih, če takointako z 99% gotovostjo lahko rečeš, da je taka datoteka malware.

Če je datotečni sistem na NAS dosegljiv kot windows share (samba?), potem znajo biti ogrožene tudi datoteke na NAS strežniku.

Pri VPN se lahko širi, če dovoljuješ SMB promet preko VPN povezave.

Predvsem je treba ločiti 'širjenje' in 'kriptiranje' - širjenje poteka preko SMBv1 in okužuje druge računalnike, kateri spet naprej okužujejo in zaklepajo vse, kar 'vidijo'.
Pri kriptiranju pa okuženi računalnik kriptira samo tisto, kar 'vidi' oz. do česar ima dostop preko share-ov.

Če imaš npr. IPS na VPN povezavi, ki ima signaturo za SMBv1 ranljivost, boš morda imel srečo in bo preprečil širitev okužbe. Bolje pa je, da SMB promet sploh ne spuščaš preko VPN in na njemu omogočiš zgolj RDP, za prenašanje datotek pa uporabiš SFTP (ki je za povrhu še hitrejši od SMB). Vse ostale porte pa zapreš, oz. dovoliš izključno tiste, ki so nujno potrebni. Pa tudi za RDP in SFTP je najbolje, če lahko nastaviš per user, do katerih mašin bodo smeli dostopati preko RDP. Redko kdo namreč potrebuje dostop do celotnega omrežja.

EternalBlue se izkorišča za širjenje po lokalnem omrežju (na vse Windoze sisteme, ki niso posodobljeni v tem omrežju), vstopna točka (prvi uporabnik v omrežju, ki požene to) je pa verjetno klik na sumljiv link v mail/priponka/dokument z makri, itd.

Praviloma te zadeve zašifrirajo VSE do česar imajo dostop (in pobrišejo obnovitvene točke itd), torej če ima kdo dostop do NASa/omrežnih pogonov/itd... potem bodo le ti tudi zašifrirani.

BigWhale je 15. maj 2017 ob 19:30 izjavil:

SeMiNeSanja je 14. maj 2017 ob 16:56 izjavil:

Invictus je 14. maj 2017 ob 10:37 izjavil:

Ena jebena access lista na switchu bi rešila 99% problemov. Lahko narediš še simple bazo, kjer se accss liste potem ponoči avtomatsko deplojajo na switche. Ni to rocket science... Sploh če veš, da imaš v omrežju zastarele, nezamenljive naprave...

Kar bi moral vedeti vsak kolikor toliko sposoben IT admin...

Se popolnoma strinjam.
Ampak očitno pisanje ACL-ov presega nivo znanja povprečnega IT-admina?

Ce za izmenjavo uporabljas katerega izmed standardnih protokolov, ki so dandanes v uporabi in je to protokol preko katerega se siri virus, ti nobena Access Lista ne pomaga.

Takoj, ko nimas vec fizicno locene zadeve se stvari zakomplicirajo in nobena rec ni vec 100% varna in zanesljiva.

Pa pozabil je omeniti, da v Sloveniji tako nihče ne potrebuje backupa dokler ga res ne potrebuje (samo takrat je prepozno). Od sistemcev na minimalcih pa je tudi težko kaj dosti več kot minimalni effort pričakovati. Zdaj če firme pač ne vidijo to kot nek pomemben faktor (večina, dokler nimajo kakšnega incidenta) potem pač jebiga (je stanje po pričakovanjih).

Evo tu imaš, https://isc.sans.edu/forums/diary/ETERN... (čeprav to zadevo le malenkost zajezi).

Mr.B je 14. maj 2017 ob 15:59 izjavil:

bbbbbb2015,
to ti nič ne pomaga, ker tudi če uspeš paralerizirat rabiš imeti prepustnost, da boš to lahko prepunpal... move on sedi cvek, ker je rešitev no bistevno ensotavnejša.

Ne rabim jaz sedet, če mi ne paše. Kdo pa si ti, da mi boš cveke talal?

Zaenkrat je tako, da velike firme tukaj v tujini (Benelux) še vedno uporabljajo robotske knjižnice za backup. Večinoma je to D2D2T, ampak kot trajen medij je še vedno trak.

Sploh ne vem, o kakšni prepustnosti govoriš. Za vsak server, ki ga imajo, imajo bare-metal recovery. Vse kar majo na mainframu, je tudi backupirano. Večino diskovnih polj imajo itak priklopljeno na mainframe.

Samo mi ne govori, da so diski za backup. Lahko imaš virtualne trakove, samo nekje je vseeno potreben trak na koncu.

Če nimaš tega, ti ostane še uni tam zgoraj. Morda v Sloveniji, v kakšnih miki-maus firmah ne, samo tujci se s tem ne zajebavajo.

AndrejO je 15. maj 2017 ob 19:53 izjavil:

Ne, to ni ravno "access lista", je pa dovolj blizu enostavnosti tega, kar je access lista. Ne, to tudi ne rešuje stvari tam, kjer si ljudje delijo datoteke kar med delovnimi postajami. Ampak hkrati pa je presenetljivo veliko majhnih in velikih omrežij, kjer so datotečni stražniki (NAS-i takšne in drugačne vrste) že v igri, posledično pa je tudi način uporabe omrežja tudi že takšen, da se lahko takšne recepture vpelje hitro in brez negativnih stranskih posledic.

Ok, imas masino A, ki skrbi za X, to je masina, ki se ne sme okuziti. Povezana je preko privatnega VLAN-a z masino B, kateri posilja podatke. Masina B je povezana v internet, ker mora te podatke posredovati naprej.

Ce okuzis masino B in ce masini A in B komunicirata na nek standardni nacin HTTP, FTP, SSH, ... in se virus siri po katerem izmed teh protokolov in izkorisca nek remote execution exploit, potem s privatnim VLANom nisi naredil nic. Ce je ranljiv ze sam TCP stack, potem je lahko dovolj ze to, da imas TCP interface pokonci na masini A.

Ce pa ti dve masini komunicirata na kak drugacen nacin, potem si safe, drugace pa ne. Access liste in privatni lani in podobne zadeve ne pomagajo kaj dosti, ce okuzis masino, ki je direktno povezana s tisto, ki je mission critical.

Vceraj sem v labu okuzil Windows 7 masino. Zraven mu je delal druzbo Win 10, brez updejtov, brez win defenderja ter z izklopljenim firewalom. Zgodilo se ni nic. Win 10 se ni okuzil. Je to fora tega kilswitcha?

BigWhale je 16. maj 2017 ob 08:40 izjavil:

Ce pa ti dve masini komunicirata na kak drugacen nacin, potem si safe, drugace pa ne. Access liste in privatni lani in podobne zadeve ne pomagajo kaj dosti, ce okuzis masino, ki je direktno povezana s tisto, ki je mission critical.

Predvsem nič ne pomagajo, če ne veš kaj se na mašinah dogaja .

Večina IT adminov pač priklopi mašino v mrežo in potem ... dela ...

Nobody give a fuck anymore...

Slučajno kdo ve, če ta nesnaga gleda header za vsak fajl posebej in na podlagi tega definira vrsto (pdf, jpg, doc...) ali gleda samo file.extension/končnico in se na podlagi tega odloči kaj se bo kriptiralo?

MrStein je 16. maj 2017 ob 10:56 izjavil:

imagodei je 16. maj 2017 ob 09:46 izjavil:

Hja, poskusi še tako, da lab ne bo imel povezave na network - potem domena ne bo dosegljiva in killswitch ne bo deloval.

IMO pa zna biti tudi zgolj to, da je ranljivost v SMBv1, Win 7 in Win 10 pa najbrž med sabo komunicirata v SMBv2 ali SMBv3.

Win 10 podpira tudi SMBv1.

Vem, ampak ni nujno, da je enablan.

b3D_950 je 16. maj 2017 ob 10:57 izjavil:

Slučajno kdo ve, če ta nesnaga gleda header za vsak fajl posebej in na podlagi tega definira vrsto (pdf, jpg, doc...) ali gleda samo file.extension/končnico in se na podlagi tega odloči kaj se bo kriptiralo?

Čisto odvisno.

Nekateri gledajo samo končnice, nekateri pa enkriptirajo kar vse (razen sistemskih map).