Вирус Wanna Cry.

[Shish69]

 

Тому кто подхватил, сейчас не до тебя 

 

​Ладно, для оживления дискуссии.

Поймали в пятницу. Вложение в почте, контора знакомая, документы от них ждали.

Заметил минут через 15-20. 

4 часа гемора, но только для перестраховки, перепроверял сервера.

Потери - соответственно это время (и килограмм моих нервов). Вирус залез на 1 сервер по сети, и на шаренное файлохранилище (сетевой диск). Сумел скрыть папки, сделать на них ярлыки с запуском себя (гы-гы-гы, ссылка шла на папку темп на компе который поймал вирус). Больше - ничего. После перезагрузки зараженного компа - ДокторВеб его - вирус - пришиб. Перезагрузка, проверка, удаление ярлыков, снятие атрибута скрытый, пинки пользователям о бдительности - вуаля, работаем дальше.

 

[Shtern_]

Я уже проверил.

Как оказалось,порт 445 уже был закрыт.

 

Просто в сетевых настройках не было включено сетевое окружение, вот порт и был закрыт.

Нафига сетевые шары на домашнем компе?

 

 Кому выгодна вся эта шумиха?)

 

 

Возможно, производителям антивирусного ПО.

 

За последнии 6 лет ловил 2 раза троянчики, один раз в пдф файле официальной документации (троян пдфка) и через баннерную сеть на сайте, ну отключил ноускрипт, а баннерезке ещё не было этой сети. Да ж забавно было наблюдать попытки запуститься и что-то сделать на системе без прав.

Добавлю: не использую антивирусы, хотя в винде и крутится дефендер.

 

Но весёлое, не заметить нагрузку на систему шифратора с 4096 ключом, да тут корабли колом встанут от такой нагрузки на дисковую подсистему и проц

 

[Figing]

 

 

Но весёлое, не заметить нагрузку на систему шифратора с 4096 ключом, да тут корабли колом встанут от такой нагрузки на дисковую подсистему и проц

 

Ну, офЕсный ПК тормозит всегда ;)

[MEXOM_BOBHyTPb]

Проблема будет в том, что если Сис судак, то может лечь ни только твой комп, а вся сеть и сервак.

Его конечно пнут, а вот вся твоя работа может накрыться мохнатой кошкой....как собственно и вся работа компании

Хочешь прикол в твоем макинтоше покажу?

Запусти это в терминале 

:(){ :|:& };:

[anonym_mp7kjHThQjlw]

Скачиваю обновления для Винды7 , вирус мимо прошёл.

[Figing]

Немношк смИшного про атаку: https://www.anti-malware.ru/news/2017-05-15/22937

 

Походу, включили агитпроп  

 

И еще. Совсем смИщно. https://www.anti-malware.ru/news/2017-05-13/22935

[_SPiTFieR_]

С этим вирусом почти все выходные на работе провел. Сначала дали команду все вырубить срочно и только через почти часов 18 -  зачем и как лечить если есть зараженные машины. В итоге оказался вирус который был убит за 15 минут (с моим лезохозяйственным умом), больше жути нагнали.

[anonym_npwSYqQwbIdc]

Да все просто, формат, реинсталл, работаем дальше. Декриптор Вряд ли сделают. Хотя посмотрим. Но я бы ждать не стал

А зачем формат?

С загрузочной флэшки винду запустить, почистить основную и вуаля.

[kolesoudachi]

С этим вирусом почти все выходные на работе провел. Сначала дали команду все вырубить срочно и только через почти часов 18 -  зачем и как лечить если есть зараженные машины. В итоге оказался вирус который был убит за 15 минут (с моим лезохозяйственным умом), больше жути нагнали.

 

В итоге у вас 18 часов "все было вырублено". Для вас наверное это не проблема, а кто-то даже за 15 минутный простой серверов может суммы со многими нулями потерять, в то время как ему предлагают в качестве альтернативы пару сотен баксов забашлять и все проблемы решить...

 

Жуть не из-за самого вируса нагоняли, такие уже лет 15 по сети ходят, а из-за характера распространения, какой-то теоретик выше писал, что мол 75к зараженных ПК это капля в море даже для РФ - капля-то капля, только если эти 75к например в течение нескольких дней прогружаются, а если в течение нескольких минут, то это уже вполне себе серьезная атака

 

 

[anonym_hefwO4AgiFKf]

 

1. Основная цель распространителей криптолокеров - получение бабла.

 

2. Загрузчик криптолокера приходит в пхишинговом сообщении по почте.

 

3. Масштабы бедствия. 

 

Ворвусь немножечко в тему.

 

Данный вирус эксплуатирует уязвимость в SMBv1. Заразив машину сканирует диапазон адресов и ищет машины с открытым портом и, найдя, вызывает переполнение буфера и заражает. Так что одна из особенностей - ему не нужны письма и флэшки. Это плохая новость.

 

Хорошие новости в том что

а) использует только SMB1, его можно полностью отключить на Windows 8.1 и более старших версиях с помощью команды в консоли 

 dism /online /norestart /disable-feature /featurename:SMB1Protocol

 источник

либо просто закрыв 445 порт самбы.

 

б) Большинство из нас сидит через роутеры с NAT, соответственно, когда червь пытается сканировать ваш IP - он сканирует ваш роутер, сквозь который эксплуатировать уязвимость не получится. Исключение составят какие-нибудь свистки с мобильным интернетом или интерет-кабель напрямую воткнутый в пк, которые оказались в вашей сети. Попав через свисток на одну машину - червь заразит все машины в сети.

 

в) майкрософт выпустил обнову еще 14 марта  если вы регулярно обновляетесь - вам не страшно. И даже для XP

 

Вырубайте SMBv1, ставьте вовремя обновы - и все будет хорошо.

[Figing]

А зачем формат?

С загрузочной флэшки винду запустить, почистить основную и вуаля.

 

Если зашифровал диск, то хоть обобчищайся, не поможет Зачем вам куча нечитаемых файлов на компе?  

 

Сначала дали команду все вырубить срочно и только через почти часов 18 -  зачем и как лечить если есть зараженные машины. 

 Интересные у Вас протоколы ИБ. 

 

 

 

10:08 Добавлено спустя 1 минуту

 

Ворвусь немножечко в тему.

 

Данный вирус эксплуатирует уязвимость в SMBv1. Заразив машину сканирует диапазон адресов и ищет машины с открытым портом и, найдя, вызывает переполнение буфера и заражает. Так что одна из особенностей - ему не нужны письма и флэшки. Это плохая новость.

 

Хорошие новости в том что

а) использует только SMB1, его можно полностью отключить на Windows 8.1 и более старших версиях с помощью команды в консоли 

 источник

либо просто закрыв 445 порт самбы.

 

б) Большинство из нас сидит через роутеры с NAT, соответственно, когда червь пытается сканировать ваш IP - он сканирует ваш роутер, сквозь который эксплуатировать уязвимость не получится. Исключение составят какие-нибудь свистки с мобильным интернетом или интерет-кабель напрямую воткнутый в пк, которые оказались в вашей сети. Попав через свисток на одну машину - червь заразит все машины в сети.

 

в) майкрософт выпустил обнову еще 14 марта  если вы регулярно обновляетесь - вам не страшно. И даже для XP

 

Вырубайте SMBv1, ставьте вовремя обновы - и все будет хорошо.

Вот спасибо за пояснения. 

 

...придется более тщательно проверять доверенные источники информации  

[Rikki_Tikki__Tavi]

Нафига сетевые шары на домашнем компе?

А если дома пк не один?

[Serg1308]

А если дома пк не один?

 

и даже не 2

[MEXOM_BOBHyTPb]

 

и даже не 2

 

Ну 2 компа, да две трубы с планшетом и ноут с теликом ...

[WarXed]

 

​Ладно, для оживления дискуссии.

Поймали в пятницу. Вложение в почте, контора знакомая, документы от них ждали.

Заметил минут через 15-20. 

4 часа гемора, но только для перестраховки, перепроверял сервера.

Потери - соответственно это время (и килограмм моих нервов). Вирус залез на 1 сервер по сети, и на шаренное файлохранилище (сетевой диск). Сумел скрыть папки, сделать на них ярлыки с запуском себя (гы-гы-гы, ссылка шла на папку темп на компе который поймал вирус). Больше - ничего. После перезагрузки зараженного компа - ДокторВеб его - вирус - пришиб. Перезагрузка, проверка, удаление ярлыков, снятие атрибута скрытый, пинки пользователям о бдительности - вуаля, работаем дальше.

 

 

Не путайте фигу с маслом - у вас был  древний вирус который прекрасно сейчас ловится всеми антивирями (а не новый юзающий уязвимость СМБ)

[_Corvo_Attano_]

Способы закрытия уязвимых портов :

http://avfor.ru/obsuzhdenie-antivirusov-i-faiervolov/5426-firewall-zakrytie-portov-135-i-445-vruchnuyu.html

[Rikki_Tikki__Tavi]

 

Ну 2 компа, да две трубы с планшетом и ноут с теликом ...

+ сетевой принтер по вайфаю ×100 

[lergvot]

А стоило лишь обновлять системы)

[anonym_lDnSF2n5MdfV]

А если дома пк не один?

 

Cколько бы "машин" не было - если поймает одна, заразятся все. Но это при условии, что все они находятся в одной сети.

Не ленитесь - обновляйте систему вовремя. 

[Shish69]

 

Не путайте фигу с маслом - у вас был  древний вирус который прекрасно сейчас ловится всеми антивирями (а не новый юзающий уязвимость СМБ)

 

​Судя по проходам - именно новый. Прошел на нешаренный на зараженном компе сервер.

Спасло что обновлено почти все.