MyCity » Ambulanta -> MyCity Laboratorija » Članak: Informacije o CryptoLocker, CryptoWall i ostalim Ransomware klonovima. Prevencija !

Informacije o CryptoLocker, CryptoWall i ostalim Ransomware klonovima. Prevencija !

Napisano na dan: 1.2.2015
4

Informacije o CryptoLocker, CryptoWall i ostalim Ransomware klonovima. Prevencija !
Pagination Prethodna strana

Idi na vrh

Poslao: 19 Mar 2015 14:51
Idi na vrh
offline
  • magna86  Male
  • Anti Malware Fighter
    Rank 2
  • Pridružio: 21 Jun 2008
  • Poruke: 6104

Small update:

- Dodat link ka BC forumu sa informacijama o VaultCrypt, u proslosti poznat kao BAT.Encoder.27;
- Estetski izdvojena glupa sa linkovima, cisto da privuce necije oko tokom citanja;



Registruj se da bi učestvovao u diskusiji. Registrovanim korisnicima se NE prikazuju reklame unutar poruka.
Poslao: 26 Mar 2015 16:09
Idi na vrh
offline
  • magna86  Male
  • Anti Malware Fighter
    Rank 2
  • Pridružio: 21 Jun 2008
  • Poruke: 6104

Uskoro update clanka na tkz. Trojan.Encoder.741. Infekcija je trenutno aktivna, siri se koristeci exploit kits i putem piratskog sadrzaja. Trazi oko ~ 300$ i koristi AES 256 encryption. Izgleda da postoji bruteforce dekripcija no trenutno su kljucevi skladisteni u drWeb Labu.




Poslao: 14 Apr 2015 10:44
Idi na vrh
offline
  • magna86  Male
  • Anti Malware Fighter
    Rank 2
  • Pridružio: 21 Jun 2008
  • Poruke: 6104

Update:

- Azurirani "Alternativni Programi" sekcija, predstavljen novi CryptoMonitor program;
delo jednog vrsnog MalwareRemoval experta i coveka koji jos od pocetka nadgleda razvoj ransomwera i azurira jedan nas interni dijagnosticki alat koji sticajem slucajnih okolnosti nije tako cesto koriscen u Ambulanti.

- Azurirana "Dekripcija" sekcija, predstavljen CoinVault decrypter by Kaspersky

- Azurirana "Crypto' Timeline sekcija

Poslao: 14 Apr 2015 10:54
Idi na vrh
offline
  • magna86  Male
  • Anti Malware Fighter
    Rank 2
  • Pridružio: 21 Jun 2008
  • Poruke: 6104

...i posto trenutno nemam neki javni link ili clanak, za sada cisto informativno ovde. Ovaj info nije stavljen u clanak na prvoj strani.


Nov ransomware koji je napravio mali haos na Ruskim sajtovima, za sada poznat kao:
Trojan.Encoder.858, Trojan-Ransom.Win32.Shade.

Release date je ~ December 2014 god, koristi explot kits, piratski sadrzaj i slab password kao vektor napada.
Trenutno je i dalje aktivan u divljini (na internetu), ransom trazi oko 100$, koristi metodu RSA enkripticije, i za sada ne postoji metod brute force dekripcije.

AV/AM programi ce flagovati sledeci path.
- %systemroot%\readme.txt (10-ak takvih fajlova)
- C:\ProgramData\Windows\csrss.exe ili C:\Documents and Settings\All Users\application data\windows\csrss.exe

Ransom sadrzi sledece aktivne vrednosti u regeditu:

- HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Run, Client Server Runtime Subsystem

- HKEY_CURRENT_USER, Software\Microsoft\Windows\CurrentVersion\Run, <random 8 karaktera>



Poslao: 04 Dec 2015 08:50
Idi na vrh
offline
  • _Sale  Male
  • Prijatelj foruma
  • Pridružio: 30 Jul 2010
  • Poruke: 13413
  • Gde živiš: Z-moon

@magna86, sass drake, ...
Vezano za ovu temu: http://www.mycity.rs/Ambulanta/Infekcija-cryptolockerom.html#p1789909 , imate li saznanja da li i dalje CryptoPrevent pruža dovoljan stepen zaštite? Ažuran AV i oprez se podrazumevaju.
U tom programu, na default nivou piše da on pruža zaštitu, ali ne garantuju da će taj nivo biti dovoljan da zaustavi najnovije verzije ove pretnje.

Poslao: 04 Dec 2015 10:45
Idi na vrh
offline
  • Pridružio: 09 Avg 2011
  • Poruke: 15879
  • Gde živiš: Beograd

CryptoPrevent radi tako sto postavlja takozvane polise koje blokiraju pokretanje bilo kojeg izvrsnog fajla (.exe, .com, .pif, .scr i jos mnogo drugih u koje ulaze i skript fajlovi, kao sto je javascript .js)na odredjenim lokacijama gde je poznato da se malware obicno pokrece. Kod mene to izgleda ovako:

+ polise

Takodje, novije varijante se maskiraju, i sto ti mislis da izgleda kao .jpg ekstenzija je ustvari .exe ekstenzija. CryptoPrevent blokira i to.

Milsim da je CryptoPrevent i dalje itekako dobra zastita jer je konstantno azuriran. E sad postoji maksimalna zastita u okviru programa, ali ce ti blokirati sve zivo, tako da se ne preporucuje, barem ne za neiskusne korisnike.

Poslao: 04 Dec 2015 11:00
Idi na vrh
offline
  • _Sale  Male
  • Prijatelj foruma
  • Pridružio: 30 Jul 2010
  • Poruke: 13413
  • Gde živiš: Z-moon

Ja sam, videvši linkovani slučaj iz Ambulante, skinuo novu verziju CP i postavio na Maximum. Ne vidim nikakav problem u radu, jer sam štiklirao opciju da postojeći programi na računaru uđu u "belu listu". Prethodno "čist" sistem od malware-a je obaveza! Jedini koji je bio kolateralna šteta je uTorrent, koji se više ne pokreće sa Windows-om.
Inače, možda malo paničim ali na slave HDD-u imam gomilu privatnih slika i fajlova u vezi posla. Bila bi prava katastrofa da postanu nedostupni. Sam sistemski SSD mi nije nikakav problem, jer na njemu ne držim ništa bitno (što i ostalima toplo preporučujem).

Poslao: 04 Dec 2015 11:39
Idi na vrh
offline
  • magna86  Male
  • Anti Malware Fighter
    Rank 2
  • Pridružio: 21 Jun 2008
  • Poruke: 6104

Default podesavanja su dovoljna. Bolji i poznati AV/AM programi bi ovaj malware sprecili od izvrsenja, korisnik kao i obicno ne bi bio ni svestan sta je blokirano.
Nije ovaj tip bas toliko komplikovan (te ga je lako i blokirati). Problem nastaje ako se izvrsi.
Sto ne koristis i neki cloud based storage kao ne daj boze rezervni backup?

Poslao: 04 Dec 2015 12:17
Idi na vrh
offline
  • _Sale  Male
  • Prijatelj foruma
  • Pridružio: 30 Jul 2010
  • Poruke: 13413
  • Gde živiš: Z-moon

Imam eksterni HDD, ali mi nedostaje vreme da uradim jedan dobar bekap svega što je bitno, uključujući i bekap sistema.
Hvala obojici na iznetom mišljenju, danas ću vratiti podešavanje CP na default. Very Happy

Poslao: 31 Mar 2016 21:27
Idi na vrh
offline
  • _zoni_  Male
  • Zaslužni građanin
  • Pridružio: 27 Sep 2012
  • Poruke: 506
  • Gde živiš: BGD

http://www.techspot.com/news/64271-new-form-ransom.....-lock.html

Evil or Very Mad

MyCity » Ambulanta -> MyCity Laboratorija » Članak: Informacije o CryptoLocker, CryptoWall i ostalim Ransomware klonovima. Prevencija !

Ko je trenutno na forumu
 

Ukupno su 942 korisnika na forumu :: 25 registrovanih, 5 sakrivenih i 912 gosta   ::   [ Administrator ] [ Supermoderator ] [ Moderator ] :: Detaljnije

Najviše korisnika na forumu ikad bilo je 3466 - dana 01 Jun 2021 17:07

Korisnici koji su trenutno na forumu:
Korisnici trenutno na forumu: ajo baba, amaterSRB, Andrija357, Apok, babaroga, cavatina, DH, Doca, dolinalima, HrcAk47, Kubovac, ladro, Lieutenant, milos.cbr, milutin134, Prašinar, procesor, S2M, samsung, stegonosa, vathra, virked, Vlad000, Vlada78, zastavnik