Ransomware napada

 samo windows jbga malware je rasist.

http://www.svijetsigurnosti.com/blogs/5433-u-posljednja-72-sata-hrvatska-je-meta-intenzivnih-hakerskih-napada

Čovjek bi pomislio, da su pokupili virus samo oni, koji pod radnim vremenom surfaju po portalima

Ono što mene, između ostaloga, brine u cijeloj priči su konfuzne informacije, čini mi se da je  jedino Sum_of_all_feras   pokušao analizirati problem.

Zanima me :

Da li je svima napad započeo u srijedu oko 13:30 ? To bi potvrdilo da je malware (koji god da je) preuzet u nekom trenutku prije toga i aktiviran u datom trenutku. Termin je vjerojatno izabran jer je tvorac malwarea  pretpostavljao da će u tom trenutku računala biti uključena

Koliko sam razumio malware se nakon obavljenog posla briše sa računala pa ga zbog toga vjerojatno naknadna provjera sa antivirusnim alatima ne pronalazi iako postoji mogućnost da je  razlog u zero-dayu

Na www.cert.hr za kojeg bi očekivao da će biti centralno mjesto gdje bi mogao pronaći informacije nema niti slova o ovome

Da li su svi na zaraženim računalim dobili obavijest o plaćanju otkupnine ? Da li je netko platio otkupninu i uspio dekriptirati datoteke ?

Samo jedan info :

Na analizi 100 PC pronašli smo da je u razmaku od 13.3 - 16.03 putem e-maila i jave na webu slano više različitih trojan.script.xxxxx (xxxxxx mi djeluje kao id ili dio id-a) (malware koji pokušava s drugih lokacija skinuti file i izvršiti ga lokalno, s lokalnim ovlastima). Nakon toga je krenuo napad e-mailom sa Worm:Win32/Nimda, a kulminacija je bila 18.3 kad je aktivacija krenula za cripter.

LP

Hajmo jedno pitanje: je li moguće da su stradala samo računala poslovnih subjekata? Ako je to točno onda mora postojati neka poveznica. Od 20 osobnih računala zaposlenika i obitelji niti jedno nije stradalo, iako su neka u data vremena bila online. Ja sam, ako je ovo prethodno točno, opet najskloniji sumnjati na banke i telebanking poslovnih subjekata... Jedina vijest u novinama - večernji list - je bila da u Osijeku nisu isplatili socijalnu pomoć zbog napada virusa na računalo. Isto sam čuo da su administratori jednog dnevnog lista brisali sadržaje share foldera na serveru na kojem su imali pristup svi novinari (što ništa, doduše ne znači). Usput, najviše smeća u registryju je bilo na stroju koji je najmanje stradao (6000 datoteka), pa je možda moguće i da je krenulo ne sa prvog, već sa zadnjeg stroja u mreži prema prvom zaraženom.

zato jer inače postoji pravio da banka telefonom/mailom ne obavještava korisnike, tj obično je tad netko drugi. U ovom slučaju nije prevara (netko drugi tko bi se predstavljao kao banka). To je neobično. Indirektna potvrda da je problem veći i da 'druga strana' (banke/institucije) znaju da se nešto dešava, ali svejdno ništa javno ne iznose, nemaju odgovor.. osim 'generičkih' helpova koji ne pomažu ničemu kao ova CERTova str. ali je bar neko mjesto gdje korisnik na hrpi ima npr antiviruse i kratka objašnjenja/upute...

ŠBBKBB, ako je inicijalno širenje preko jave povezano s bankama?

Executable je sve ono što ima odgovarajući header, a kako je malware ekriptirao datoteke i mijenjao headere (primjer gore sa PSTovima), možda izgleda kao executable, ali nije. Probali smo...

Možda je problem bio u flash playeru

http://www.computerworld.com/article/2899702/new-attacks-suggest-timeline-for-patching-flash-player-is-shrinking.html

Pa, nije to baš točno .... :)

Skoro sigurno to nema veze s bankama, više sa java apletom koji svi koristimo i za pristup bankama i Fini ...

 Ili da im platiš ali ni tada nisi ziher da ce ti poslati stvari za dekripciju ili da povučeš stvari iz backupa!

Tko ima važne stvari na pc-u a nema backup na drugom mjestu (drugi disk, cloud storage itd.) je jako ..... osoba!

Pošto se pojavilo samo na poslovnim kompjuterima za pretpostaviti je da je došlo s nekim alatom kojeg koristiš samo u poslovne svrhe(npr za ulaz na finu ili e poreznu,e mirovinsko).

A ako je prošlo njihove kontrole onda su oni i odgovorni,te bi oni trebali i platiti ključeve.A vidim da se nitko od njih ne javlja kao da se ništa nije dogodilo....

Isto tako su mogli gledati IP adresu računala. Tipa ako je javna adresa računala t-com/iskon/bnet mogli su zaključiti da se radi o low priority meti, ako je javna adresa pak pbz.hr, fina.hr, allianz.hr... itd...mogli su doći do zaključka da se radi o poduzeću sa važnim dokumetima za koje će vjerovatnije dobiti otkupninu. 

Ništa ne garantira da taj crv ne sjedi na vašem računalu upravo sada, samo što im niste odveć zanimljivi.