Ransomware napada

Što se mene tiće eto, vidim da je ovo postao svojevrsni "hub" informacija pogođenih, pa sam pokušao i svojim informacijama pridonjeti. Naravno još uvijek čekam potvrdu da je uplata uspjela, iako ako uspijem svog šefa nagovorit da odriješi kesu, bit će te prvi koji će te znati :)

Nitko ne zna. Neki kažu mailovi, neki drive-by download sa naših portala a ja sam poprilično uvjeren da je riječ o nekom sleeperu jer je problem nastao oko 14h u srijedu kod manje-više svih...

Obično se pojavi na jednom ili dva stroja i ne širi se dalje (sam ransomware) - dovoljno je da se pokrene na jednom PCju i onda enkriptira fajlove na shareanim diskovima (kojima ima pristup taj user kod kojeg je malware).

 Drago mi je da ima ljudi koji ne čitaju što drugi pišu i hoće od sveg srca pomoći :)

Shadow explorer pomaže, ova varijanta ne briše datoteke (tkz previus version) i to je jedino što vas spašava. Osim backupa koji nije zakačen na to računalo ili ima neobičajenu ekstenziju. 

Prema zadnjim informacijama koje su mi informatičari rekli, u ovom trenutku bi svi antivirusni programi trebali biti sposobni prepoznati i spriječiti napad i širenje virusa koji se jučer oko 13-14 aktivirao po računalima diljem Hrvatske. Dakle, napad je prošao, tko je stradao-stradao je. Širenje je išlo uglavnom preko Java exploita. Da li je se je neki novi cryptolocker začahurio negdje po računalima i serverima i opet će se aktivirati - to nije sigurno ali ovo je bilo upozorenje svima koji nemaju adekvatnu zaštitu i ne rade backupe da se uhvate posla.

nije mi problem nista, htio sam zavrsiti dekpripciju i backup kao sto sam ti vec jednom napisao

ko hoce primjer krptiranog filea, dekiptiranog filea, dekripter, user i pass molm na pm mejl sa imenom i prezimenom.

tolko od mene, hvala na pomoci

 Definitivno! Valjda bi u dva dana našao 1 minutu i 17 sekundi da pošalje nešto da to uopće ima.

pregovaraju sa putinom :)

da, jesam

S obzirom da se tiđe ove teme (drive by zaraza i java exploita) ovo ja koristim u firmi i pokazalo se učinkovito:

Hitman Pro alert

Ghostery

TrafficLight

Malwarebytes anti exploit

Edit: Meni koriste nekih 50Mb rama više u firefoxu tako da nr bi trebalo bit gušenja

Vidim da su neki fulali point kako se to smeće proširilo...

1. Malware se skinuo na PC na neki način (drive-by, exploit, zaraženi attachment) ili je otprije tamo, samo se u srijedu oko 14h aktivirao. Moguće je da se nalazi i na više PCja ali tamo je došao uvijek na isti način. Malware se nije kopirao niti na jedan PC unutar mreže!

2. Pokrenut je scan za fileovima iz popisa (Office dokumenti, ZIP fajlovi, PDFovi i slike te PSTovi) na dijeljenim diskovima.

3. Skupio je popis datoteka na mreži i počinje kriptiranje.

4. Kriptiranje gotovo, malware se briše sa PCja sam odakle je obavio popis (i kriptiranje) te ostavlja ili txt ili fud.bmp sa uputama za otkupninu.

Dakle, zaraženi su PCji koji su skinuli zaraženi file (ili neki drugi način naveden gore) i nakon kriptiranja, malware se obriše! Mi ga nismo nigdje našli a nulti PC smo pronašli prema kriptiranom fajlu u mapi kojoj imaju pristup samo admin i taj domenski user. Svi ostali useri i PCji su čisti.

http://www.bleepingcomputer.com/virus-removal/cryptolocker-ransomware-information

Mala pomoć nesretnicima.

Meni je na jednom zaraženom računalu avg jučer prepoznavao virus ga kada sam vraćao datoteke sa shadow explorerom. Dio datoteka sam pronašao sa data restore aplikacijom.  

 to ti je 0 day ransomware kako će ga adguard prepoznati ako ga nema u bazi.Slučaj je najvjerojatnije izoliran samo na Hrvatsku i tu niti napredna heuristika ne pomaže.

i ja sam se registrirao na forum tek sada jerbo je i nas pogodilo, a ovo je začudo jedino mjesto na kojem se o ovome govori ovih dana. Kako sam u komunikaciji s ljudima shvatio da je jaaaako puno firmi nadrljalo nije mi baš najjasnije da o tome nema niti retka u javnim medijima.

Nisam nikakav stručnjak i nemam ništa pametno za reći nego samo ukratko opisati našu situaciju pa možda netko iščita nešto korisno iz ovoga.

Dakle startalo je u srijedu u 13.30 i to, najvjerojatnije s mog stroja. Trend micro nije ništa skužio. Ja, uglavnom ne idem na portale a i oprezan sam s mailovima. (U vezi s mailovima bila mi je sumnjiva jedna stvar da mi je od ponedjeljka 16.3. Outlook kod searcha inboxa prikazivao samo mailove dospjele tamo negdje do 20.12.2014.)

U svakom slučaju od 6 računala na mreži tri su bila uglavnom rasturena. Na onom koje je najbolje prošlo bilo je oko 6.000 fajlova (samo jpg i doc), na sljedećem oko 40.000 (jpg i doc) (na oba su dečki ne baš osobitog odnosa prema sigurnosti - jedan surfa po portalima, a drugi nerezonski klika po gmailovima), a na mom svi fajlovi unutar share foldera (ali samo foldera u koje sam taj dan pristupao).

Srećom pa imamo backup jer su dečki s ova dva stroja druga pokrenuli restore point i popušili sve fajlove (koji su naravno na kraju imali ekstenziju com). Ali nije velika tragedija jer se bavimo DTP-om, pa u konačnoj pripremi ne koristimo jpg već tif datoteke, a tif nije dirao (ili stigao dirati).

Na svom stroju sam prvo pokušao preimenovati datoteke ali nakon toga se nisu dale otvarati. Međutim shvatio sam da kad se preimenuje datoteka u pravi naziv da se može vratiti previous version i onda stvar hoda.

Sa shadow explorerom sam uspio vratiti većinu stvari na zadnji datum 25.2. međutim negdje oko 3 u noći, vjerojatno sam pokušao restorati public folder, shadow explorer je vrisnuo (i nije imao više niti jedan stariji datum za povrat fajli - a zanimljivo opcionalno je imao datume za povrat 25.2., 18.2. i 3.11.2015. (!?!). Usput vraćene su i neke fajle koje imaju novije datume /ili te možda niti nisu bile zaražene/.

Uglavnom na mojem su stroju i folderi dobijali nastavak sos@anointernet.com. Jedine datoteke koje sigurno nije dirao (unutar zaraženih foldera) su bile InDesign fajle.

Nakon svega smo prošli s cc cleanerom i kod čišćenja registryja naletjeli na brdo invalidnih java zapisa.

Usput to me je natjeralo da se zapitam je li moguće problem s pristupom na banku (kojoj sam jedinoj taj dan pristupao) pa me baš zanima čiji su klijenti pogođene firme (znam da je jednoj firmi stvar krenula iz računovodstva).

Eh da, mi smo na Windows 7, ali jedno računalo je ostalo netaknuto, kao i još jedno koje je na Windows 8.