Protectie CryptoWall
Salut, numele meu e Dan si am fost infectat cu Cryptowall. De fapt asta e o minciuna, m-am infectat singur si am depus toate eforturile pentru asta.
Ieri a trebuit sa fac o interventie remote la un client. Intrucat Teamviewer nu imi convine (considerente tehnice), Remote Desktop era imposibil iar softul nostru opensource www.f1f1.ro nu functioneaza foarte bine in Windows 8 (inca), am ales de comun acord cu clientul Ammyy (www.ammyy.com) . Clientul il folosea frecvent, era deja instalat la el. Si aici incepe aventura si se vede cat de tenace pot fi unii oameni.
Deschid Chrome (browserul default la mine si la marea majoritate) si accesez, prin Google pagina de download a Ammyy. Click pe client si Chrome zice:
Recunosc ca nu am mai vazut asta, dar in nici un caz nu ma va opri sa fac ce vreau, nu? Asa ca deschid Mozilla Firefox si ii dau din nou. De data asta vrea:
Super, am reusit! Asa ca rulez executabilul si Windows-ul zice:
Evident ca nimic nu ma poate opri, dau More Info, continui si.... gata. Toate fisierele mele sunt criptate, nu mai am nimic.
De abia dupa, am curiozitatea sa vad ce se intampla cu Ammyy si vad ca este cunoscut ca site-ul lor este virusat: http://www.theregister.co.uk/2015/11/12/fraudsters_ammyy_malware_downloads/ De o luna!!
Insa povestea asta este de fapt despre cum anume sa te protejezi de CryptoWall (sau alte variante de mallware Ransomware), nu despre cum m-am infectat eu.
In primul rand, inamicul, CryptoWall, este unul dintre primele Ransomware aparute. Ce face? Infecteaza un calculator dupa care cripteaza toate documentele si pozele gasite.
Odata criptate, aceste fisiere nu vor mai putea fi accesate decat utilizand cheia unica de criptare utilizata in acest proces (cel de criptare), si ce credeti, doar atacatorul o are :(
Foarte important este ca se duce si in retea ceea ce inseamna ca nu doar fisierele de pe propriul tau calculator vor fi afectate ci si cele aflate pe share-uri publice de pe servere, pe Google Drive sau pe Microsoft OneDrive. Criptarea se face cu o cheie foarte lunga si cu algoritmi de criptare moderni facand practic imposibila decriptarea prin metode clasice de tip brute force.
Singura varianta sa va puteti reaccesa/utiliza fisierele criptate este sa luati legatura cu atacatorul (este foarte amabil si va furnizeaza datele de contact) si sa ii cereti cheia de decriptare.
HELP_YOUR_FILES.TXT, HELP_YOUR_FILES.HTML, HELP_YOUR_FILES.PNG sunt fisierele (inofensive, cu date de contact si instructiuni) prin care atacatorul se asigura ca, daca va doriti fisierele inapoi, aveti posibilitatea de a le recupera, urmand instructiunile, cea mai importanta fiind plata "recompensei".
"Recompensa" este o suma variabila intre 1 si 5 Bitcoin (~300 EUR pentru un Bitcoin). Si bineinteles ca nu aveti nici o siguranta ca veti primi intradevar cheia.
Evident, trebuie sa ne protejam. Ceea ce pot sa va spun din prima este ca nu exista un antivirus care sa va protejeze complet de asa ceva. Exista cateva, foarte putine versiuni ale mallware-urilor de tip Ransomware care sunt prinse de antivirusi. Dar majoritatea vor trece nedectate. Variantele de protectie sunt in zona limitarii de acces si, mai ales, a unui backup curent si continuu. Eu de exemplu, nu am pierdut nimic ieri. Absolut nimic.
Dar cea mai importanta protectie este la nivelul utilizatorului. Dupa cum vedeti mai sus, sistemul de operare, browserul, toate au incercat sa ma opreasca sa imi fac singur rau. Si aici este vorba despre calculatorul de acasa, fara firewall, fara scanare de trafic, si cu Windows Defender instalat. Probabil ca la birou se schimba complet treaba. Dar eu, eroic, am reusit totusi sa trec peste toate protectiile si sa ma virusez.
Protectia exista pe orice sistem. Trebuie doar sa ne tinem sistemele de operare actualizate, sa nu oprim sistemele de alertare si protectie (care uneori pot fi obositoare, cel mai bun exemplu fiind sistemul UAC), si bineinteles sa citim de doua ori inainte de a da click pe OK/Allow.
Pentru aventurosi sau pentru cine vrea sa isi testeze sistemul antimallware :), mai jos regasiti 3 (trei) versiuni ale utilitarului ammyy, o versiune (curata din punctul nostru de vedere, descarcata de pe un mirror softpedia, [atentie, pe softpedia, din trei locatii de download, doar una a fost curata]).
ATENTIE, nu testati mostre de fisiere virusate decat daca aveti cunostinte avansate de IT si securitate !!! Toate testele efectuate de camscape au fost facute in medii izolate, dispensabile, fara acces la retea, daca vreti sa incercati si voi, asigurati-va ca aveti aceste medii de test (izolate, dispensabile, fara acces la retea). camscape nu isi asuma responsabilitatea pentru utilizarea incorecta a celor doua mostre de fisiere virusate disponibile pentru descarcare.
AA_v3_CLEAN.zip
ATENTIE, arhiva contine un fisier virusat AA_v3_INFECTED_sample1.zip, parola de dezarhivare:1234
Rezultate AA_v3_INFECTED_sample1:
- Windows 8.1, actualizari la zi, protectia antimalware asigurata de Windows Defender, UAC dezactivat: Mallware-ul (CryptoWall) NU a fost detectat .
- Windows 7 actualizari la zi, protectia antimalware asigurata de Windows Defender, UAC activat: Mallware-ul (CryptoWall) NU a fost detectat de catre Windows Defender, a fost in schimb emisa alerta de executie de catre sistemul UAC asupra unui fisier temporar neidentificat care incerca sa executa la fiecare 10 secunde
ATENTIE, arhiva contine un fisier virusat AA_v3_INFECTED_sample2.zip, parola de dezarhivare:1234
Rezultate AA_v3_INFECTED_sample2:
- Windows 8.1, actualizari la zi, protectia antimalware asigurata de Windows Defender, UAC dezactivat: Mallware-ul (CryptoWall) a fost detectat si stopat de sistemul Windows Defender.
- Windows 7 actualizari la zi, protectia antimalware asigurata de Windows Defender, UAC activat: Mallware-ul (CryptoWall) NU a fost detectat de catre Windows Defender, a fost in schimb emisa alerta de executie de catre sistemul UAC asupra unui fisier temporar neidentificat care incerca sa executa la fiecare 10 secunde
camscape, 7 decembrie 2015
Vrei sa primesti pe email articolele CAMSCAPE ? Inscrie-te
aici si le vei primi automat.
