Ultimativna antivirus tema - P&O

Ja imam drugačija iskustva, na poslu svi ili Defender ili Security essentials imaju a svašta sam našao gore. Bilo je adwarea (na to tek odnedavno MS trza), virusa koji se putem Skypea šire, trojana pobranih iz phishing mailova i jedan rootkit (ne sve na istom compu). Često Defender upozori na prijetnju i napiše da je ukloni ali je pri novo skeniranju ponovo tamo.

Evo to su moja iskustva i nemaju ljudi crackove i da surfaju po tko zna kakvim porn stranicama ali uspiju svasta pokupiti, i ja se često pitam kako uspiju. Vjerojatno onaj brain.exe ne radi najbolje ili nije instaliran.

Iz FRST logova se vidi da je imao Avast Free i MBAM, ne vidim neku zastitu (osim Avastove) na FF i Chrome..

Platform: Windows 7 Ultimate Service Pack 1 (X64) Language: English (United States)
Internet Explorer Version 11 (Default browser: IE)

FireFox:
========
FF ProfilePath: C:\Users\korisnik\AppData\Roaming\Mozilla\Firefox\Profiles\7utv6oip.default
FF Plugin: @adobe.com/FlashPlayer -> C:\Windows\system32\Macromed\Flash\NPSWF64_13_0_0_223.dll [2014-06-11] ()
FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin-x32: @adobe.com/FlashPlayer -> C:\Windows\SysWOW64\Macromed\Flash\NPSWF32_13_0_0_223.dll [2014-06-11] ()
FF Plugin-x32: @Google.com/GoogleEarthPlugin -> C:\Program Files (x86)\Google\Google Earth\plugin\npgeplugin.dll [2015-05-21] (Google)
FF Plugin-x32: @google.com/npPicasa3,version=3.0.0 -> C:\Program Files (x86)\Google\Picasa3\npPicasa3.dll [2014-01-06] (Google, Inc.)
FF Plugin-x32: @intel-webapi.intel.com/Intel WebAPI ipt;version=4.0.5 -> C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\IPT\npIntelWebAPIIPT.dll [2013-09-16] (Intel Corporation)
FF Plugin-x32: @intel-webapi.intel.com/Intel WebAPI updater -> C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\IPT\npIntelWebAPIUpdater.dll [2013-09-16] (Intel Corporation)
FF Plugin-x32: @java.com/DTPlugin,version=11.45.2 -> C:\Program Files (x86)\Java\jre1.8.0_45\bin\dtplugin\npDeployJava1.dll [2015-04-20] (Oracle Corporation)
FF Plugin-x32: @java.com/JavaPlugin,version=11.45.2 -> C:\Program Files (x86)\Java\jre1.8.0_45\bin\plugin2\npjp2.dll [2015-04-20] (Oracle Corporation)
FF Plugin-x32: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin-x32: @tools.google.com/Google Update;version=3 -> C:\Program Files (x86)\Google\Update\1.3.28.1\npGoogleUpdate3.dll [2015-08-03] (Google Inc.)
FF Plugin-x32: @tools.google.com/Google Update;version=9 -> C:\Program Files (x86)\Google\Update\1.3.28.1\npGoogleUpdate3.dll [2015-08-03] (Google Inc.)
FF Plugin-x32: @videolan.org/vlc,version=2.0.3 -> C:\Program Files (x86)\VideoLAN\VLC\npvlc.dll [No File]
FF Plugin-x32: Adobe Reader -> C:\Program Files (x86)\Adobe\Reader 11.0\Reader\AIR\nppdf32.dll [2015-06-29] (Adobe Systems Inc.)
FF HKLM-x32\...\Firefox\Extensions: [wrc@avast.com] - C:\Program Files\AVAST Software\Avast\WebRep\FF
FF Extension: Avast Online Security - C:\Program Files\AVAST Software\Avast\WebRep\FF [2013-12-17]
FF HKU\S-1-5-21-134193272-2137897477-2772047924-1000\...\Firefox\Extensions: [{B64D9B05-48E1-4CEB-BF58-E0643994E900}] - C:\Program Files (x86)\Common Files\DVDVideoSoft\plugins\ff

Chrome:
=======
CHR Profile: C:\Users\korisnik\AppData\Local\Google\Chrome\User Data\Default
CHR Extension: (Chrome Hotword Shared Module) - C:\Users\korisnik\AppData\Local\Google\Chrome\User Data\Default\Extensions\lccekmodgklaepjeofjdjpbminllajkg [2015-05-20]
CHR Extension: (Google Wallet) - C:\Users\korisnik\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2014-10-20]
CHR HKLM-x32\...\Chrome\Extension: [gomekmidlodglbbmalcneegieacbdmki] - C:\Program Files\AVAST Software\Avast\WebRep\Chrome\aswWebRepChrome.crx [2015-05-07]

 Dakle AV je bio Avast Free. Ostala zaštita MBAM free, Hitman Pro (samo scan). Browseri IE i Chrome zaštićeni ABP-om i WoT-om. Uz to, instaliran Unchecky da ne dobivam raznorazne toolbare i slična sranja dok instaliram nešto. Comodo FW i konfiguriran CCleaner da čisti temp files svakih tjedan dana. Godinama funkcioniralo savršeno. Konfa je i5 4460, Kingstonov SSD 120 GB, integruša, PC radio k'o mina do danas. PC nije korišten za skidanje nikakvih torrenta, crackova i sličnog. Korišten striktno u poslovne svrhe.

Sad kad si to spomenuo, sjetio sam se jedne čudne stvari. Dakle kad sam dobio taj cryptoshit, pustio sam MBAM, koji je našao u Startupu jedan backdoor. Tražio je restart i nakon toga Comoda više nije bilo. Nestao je. (MBAM ga nije izbrisao). Sve drugo je bilo tu, MBAM, Avast, Hitman(to imam portable, pa nije bio instaliran). Ali Comodo nije upozorio na ništa čudno. Što me čudi, jer Comodo je poznat po svojoj paranoji i vrišti na sve, pa treba dobro gledati prije klikanja.

 Jeli boldano znači da nakon što si već bio zaražen sa ransomware?

Jeli ti HIPS u Comodou upaljen? jeli javio što prije nego si pokupio zarazu i što su svi dokumenti enkriptirani?

Savjetovao bih ti da ubuduće još staviš Malwarebytes Anti-Exploit  i možda da promijeniš DNS postavke u OpenDNS, ostalo je ok.

Jeli namješten na proactive pod settings?

Ako je sandbox uključen možda je to zeznulo, tko zna...

Svakako stavi MBAE da ti neki exploit nebi u budućnosti opet podvalio nešto.

Po onim FRST logovima nema ni C od Comoda, kao da nikad nije ni bio instaliran.

Nije mogao samo tako nestati s cijelog kompa, bas niti jedan jedini dio se ne nalazi u LOG-ovima.

========================================================================

Probaj zaguglat u vezi dekritpiranja fajlova - KLIK

Nesto kao ovo - KLIK

Neki se fajlovi nekad mogu popravi samo ovisi o malwareu koji ih je kriptirao, pomocu ID.

Kada si primjetio da Comoda nema, mogao si otvoriti Avast i u njemu postaviti HIPS na najveću razinu.

Mogu li Comodo i Avast HIPS raditi u isto vrijeme?

 Je, a i SB je uključen. Ništa. Idući put MBE stavit i to je to.

djigi - Nije ni meni jasno kako se to dogodilo, ali eto nije ga nigdje bilo nakon restarta. Ni u Program Files, ni na desktopu, ni u trayu. nigdje :(

Probao sam nekoliko tih alata, ali nije bilo uspješno. Našao sam na forumu da je lik napravio neki fix. Program u Pythonu i da to navodno pomaže, ali meni nije.

Marko -Nisam stavio Avastov HIPS na max jer sam prvenstveno mislio na datoteke(prekasno). Čim sam vidio da sam ga barem djelomično uspio ubiti, bacio sam se na traženje lijeka za datoteke.

Čudi me da me nije lockao. Ja sam mogao normalno raditi u sustavu cijelo vrijeme. Surfati, pokretati Avast i sve...

100% Kao što sam napisao, to je poslovni PC i jako pazim na to. na kućnom nemam tako jaki sigurnosni setup, on je manje bitan, aiko se što dogodi, samo sustav reinstaliram i bok.

Ako koga zanima, ovo su kriptirane datoteke: http://www47.zippyshare.com/v/EvZNc10U/file.html

Molim te objasni na što misliš? Ja sam se potrudio što bolje opisati situaciju, ne znam što ti smrdi.

Što je MT?

Iskreno ne znam, da je cudno je, da je moguce...hmm, mozda...

Po ovome ispada ovako neki scenario:

 - korisnik je surfao i cryptolocker se neprimijetno uselio u komp pored Comoda i Avasta

 - iskljucio i onesposobio Comodo te ga je zatim i deinstalirao da nije ostalo nista od njega

 - zatim je zapoceo s kripiranjem fajlova

 - ....

@softwaremaniac

NHF, nemoj mislit da ti ne vjerujem ili te ismijavam, samo iznosim moguci scenario.

MT = MalwareTips forum

Zero Day Vulnerabilities are being Weaponized faster than ever before

djigibao kaže...

NiramX kaže...

softwaremaniac kaže...

100% Kao što sam napisao, to je poslovni PC i jako pazim na to. na kućnom nemam tako jaki sigurnosni setup, on je manje bitan, aiko se što dogodi, samo sustav reinstaliram i bok.

 

Nešto tu opasno smrdi. I to veoma opasno.

 

Djigi, što misliš da bi ekipa s MT-a rekla na ovo?

 

Iskreno ne znam, da je cudno je, da je moguce...hmm, mozda...

 

Po ovome ispada ovako neki scenario:

 - korisnik je surfao i cryptolocker se neprimijetno uselio u komp pored Comoda i Avasta

 - iskljucio i onesposobio Comodo te ga je zatim i deinstalirao da nije ostalo nista od njega

 - zatim je zapoceo s kripiranjem fajlova

 - ....

 

 

 

@softwaremaniac

NHF, nemoj mislit da ti ne vjerujem ili te ismijavam, samo iznosim moguci scenario.

MT = MalwareTips forum

 Nema frke. Znaš da sam nekad i sam više sudjelovao u AV temi i to taman negdje kad je Comodo bio glavna tema pa znam podesiti FW/IS, jer sam ga vrtio na virtualki na kućnom PC-u i puštao malware i svašta. Ali slažem se da je scenarij bizaran.

Da njega pitamo?

Yep. Svi procesi su 64-bitni.