Ransomware napada

 Nisam ziher da li su drugi shvatili poantu tvog posta ali ja se u potpunosti slažem 

Sigurnosni problemi su puno širih razmjera od  ovog jednog "kamikaze" koji nas momentalno žulja.

Na win7 funkcionira ili "previous versions" ili "shadow explorer"

Putem shadow explorera sam uspo na win7 povratiti fajlove i to je ok.

Ali na xp'u nije bas bilo nade. Prije jedno mjesec dana sam vidio djelo starije verzije i bilo je dovoljno povratiti podatke (getdataback itd..)

Na ovoj verziji to nije slucaj. Znaci winxp je relativno u klincu.

Jel moze netko iz startupa (tko je pogođen...) poslati taj tmp fajl (u istom folderu su slika i taj tmp fajl koji je ustvari izvršni fajl).

Samo ga uploadati negdje da ga se moze analizirati(konkretno vidjeti sta mijenja na fajlovima)

Zapravo, cek..imam na mailu <- link na "izvrsni" (ekstenziju sam maknuo, tko hoce nek skine, analizira fajl -> peid za detekciju kompajlera/pakera, olly ili ida ili softice za debugging(smartcheck ako je u starijem vb'u)

Vb6 executable je, mozes exe staviti, ne sjecam se koji je ext bio izvorno jer je to prije par dana pa sam mu samo preimenovao i rekao da mi posalje. Pozabavim se analizom.

- Numega smartcheck <-

moguce da je neki dropped dio, nisam stvarno analizirao. Po sadrzaju se vidi da pristupa msmapi kontrolama za Outlook Express.

Kad dodjem doma pogledam, jesi probao ucitati u w32dasm itd

Ako nemaš backup, bez plaćanja ništa. A i sa plaćanjem još ne znamo...

Ivana

Skini shadow explorer pa daj screenshot programa jel ti nasao nesto 

ako nadje - vratis na datum prije nego sto se pojavilo (vjerojatno ti je pisalo XXX has topped working... i da posaljes microsoftu error report)

 Imam windows xp, a gore negdje sam pročitala da na xp-u to baš i nema smisla.... a i predpostavljam da su dečki koji se malo više kuže od mene, već to pokušali pošto od srijede pratimo ovaj forum... u svakom slučaju ako nije skinut shadow explorer, sada ću to napraviti...

 Ovo kaze:

 Numega kaze "is not valid"

Ekipa, preko vikenda sam pogledao decrypt u VM-u. Dekripciju obavlja korištenjem vlastite procedure (dakle, ne koristi win api). Ključevi su 256-bitni, a algoritam je složen. Pretpostavljam da je neka varijanta simetričnog AES-a. Nije mi se dalo dublje ulaziti u algoritam kad sam skužio da koristi inicijalizaciju vektora iz ključa ... To su uglavnom operacije koje procesor vrlo brzo odradi (bit shift, xor ...) Odabir ove metode i kriptiranje prvih 30KB datoteke mu je omogućilo brzo kriptiranje velikog broja datoteka. S obzirom da AES nije plain-text vulnerable, bez vlastitog ključa se možete slikati :-(

đabe vam shadowcopies, kad prvo što virus napravi je 

vssadmin.exe Delete Shadows /All /Quiet

u opasnosti si ako nemaš backup, pa ako niš drugo ak ti disk rikne :)

recimo meni kad je zakriptirao sharove na serveru samo sam se nasmijo i restoro s backupa, dok sa korisničkim PCijima nije baš tako jel naravno debili nerade nikakav backup

 Naravno da je samo Windows.

znaju hakeri da su ovi sa linuxima škrti i za os, a kamoli još za ransom platit :)

Ne znam da li je to taj ali meni je nod32 pocistio par sumnjivih mailova (3.2 mi je maill dosao): 

__________ ESET NOD32 Antivirus upozorenje, verzija baze podataka virusnih potpisa 11120 (20150204) __________

Upozorenje, ESET NOD32 Antivirus pronasao je u poruci sljedece prijetnje:

  scott_health_and_safety_ltd378.zip - varijanta Win32/Kryptik.CXEW trojanac - izbrisano

    scott_health_and_safety_ltd378.zip = ZIP = scott_health_and_safety_ltd378.zip - varijanta Win32/Kryptik.CXEW trojanac - izbrisano

      scott_health_and_safety_ltd378.zip = ZIP = scott_health_and_safety_ltd378.zip = ZIP = scott_health_and_safety_ltd378.scr - varijanta Win32/Kryptik.CXEW trojanac - izbrisano