Wana Descrypt0r 2.0

[Bletraut]

https://geektimes.ru/post/289115/

Страшно или нет?

[undefined]

попробовал скачать обновление с лекарством - комп ушел в циклический ребут.Кто может подсказать как вручную отрубить этот smbv1?
Команда
dism /online /norestart /disable-feature /featurename:SMB1Protocol
выдает ошибку
Имя компонента "SMB1Protocol" неизвестно.
Пока сижу боюсь

[Bletraut]

А винда какая?

[undefined]

семера

[caseyryan]

Я себе патч поставил дома. Надо будет еще на работе установить. Но эта версия вируса уже не страшна. Бояться нужно обновления. И то только в том случае, если комп находится в корпоративной сети, где есть риск заражения, или если сам лох и открываешь все подряд из почты)

[Bletraut]

... или если сам лох и открываешь все подряд из почты)

Вот и я думаю, что на домашней пекарне риск не так велик.

[undefined]

судя по описанию,эта дрянь залазит через smb, так что достаточно чтоб лох был в локальной сети,что не так уж невероятно.

[caseyryan]

судя по описанию,эта дрянь залазит через smb, так что достаточно чтоб лох был в локальной сети,что не так уж невероятно.

В локальной сети, где есть зараженный комп, и при этом у "лоха" не установлен указанный патч
вот тут про случайность, благодаря которой этот вирус остановили http://izvestia.ru/news/705371
Только что-то слабо верится. Ведь на домене должен быть еще и какой-то сервер, шлющий ответы вирусу. Вряд ли простая регистрация домена что-то решила бы. Хотя хз

[undefined]

Может он просто фавиконку запрашивает. Мне вот интересно пишут что адрес этого домена легко может быть изменен авторами. После этого всю атаку надо будет заново начинать или адрес не хардкодом прописан?

[Bletraut]

Интересно как удалось код вируса узнать и собственно сам домен.

[undefined]

https://ru.m.wikipedia.org/wiki/Дизассемблер

[caseyryan]

Может он просто фавиконку запрашивает.

Ну а фавиконка не на сервере чтоли лежит? К самому домену ничего нельзя прикрутить без сервера.
Домен зарегали на днс воронку (https://en.wikipedia.org/wiki/DNS_sinkhole). Ее сервер и отдает инфу вирусу
Мне вот интересно пишут что адрес этого домена легко может быть изменен авторами.
Для этого придется перекомпилировать и начать новую атаку
После этого всю атаку надо будет заново начинать или адрес не хардкодом прописан?
Хардкодом
Интересно как удалось код вируса узнать и собственно сам домен.
https://habrahabr.ru/post/328548/

[illuzor]

Неприятная хреновина. Один мой товариш словил, так как не обновлял винду несколько месяцев. А патч для этой дыры был ещё в марте.
Если вы не отключаете обновления винды или подключены через роутер(по умолчанию порт 445 почти на всех роутерах закрыт), бояться нечего.
И не забывайте делать бэкапы - это актуально всегда.

[caseyryan]

по умолчанию порт 445 почти на всех роутерах закрыт
мм. откуда такая инфа? У меня на всех роутерах открыт по умолчанию. Роутеры в основном d-link, tp-link и netgear. Всего их штук 15 в организации. Ни на одном порт не был закрыт. По моему опыту, порты по умолчанию были закрыты только на роутерах Acorp и Интеркросс (ростелекомовских), что тоже доставляло некоторые неудобства

Кстати на счет этого вируса, я уверен, что шумиху просто раздула пресса. Подобные шифровальщики существуют уже давно и встречаются часто. Так же в некоторые периоды активизировались и затихали. У нас на работе их цепляли еще пару лет назад. Тоже требовали выкуп в биткоинах. Правда сумму не помню. Восстанавливали все из бэкапа в дропбоксе. Скорее всего этот вариант вируса вызвал такой ажиотаж только благодаря тому, что распространяется по локалке используюя уязывимость, которая используется АНБшным фреймворком AfterMidnight, про который недавно была инфа на викиликс. Все что хоть как-то связано с викиликс и этими АНБ теперь по умолчанию вызывает шумиху в прессе

Неприятная хреновина.
Не то слово) Даже если есть нестандартные бэкапы (типа как у меня в платном аккаунте дропбокса), все равно, восстанавливать все это приятного мало. А если еще и разные фотки и видео побились, то вообще капец

[illuzor]

откуда такая инфа?Во всех новостях про этот вирус писали об этом. Я проверил два своих домашних роутера (zyxel и asus) - порты закрыты, я их не закрывал. На рабочем cisco тоже закрыт.

Подобные шифровальщики существуют уже давно и встречаются часто.Но для их запуска нужно что-нибудь скачать и запустить. А этот сам сканирует ip адреса и пролезает на комп без каких-либо действий от пользователя. Достаточно только наличия подключения к интернету.

[undefined]

Восстанавливали все из бэкапа в дропбоксе
AFAIK дропбокс при изменениях файлов в своих папках синкает все и на сервере.Или там есть версионность?

[caseyryan]

Во всех новостях про этот вирус писали об этом.
Я много чего про него читал, но про то, что на роутерах эти порты закрыты по умолчани ничего не встречал
Но для их запуска нужно что-нибудь скачать и запустить. А этот сам сканирует ip адреса и пролезает на комп без каких-либо действий от пользователя. Достаточно только наличия подключения к интернету.
Нет, этот так же проникает после запуска вложения из почты. Ничего нового. После этого он может сканировать локалку на предмет уязвимости в SMB и вот в локалке он уже распространяется без участия пользователя. Но с внешки сам по себе не проникает.
На счет портов в маршрутизаторах. На скрине то, что стоит по умолчанию в ASUS'ах. Проверил на двух разных. Одинаковая картина. То есть по умолчанию нифига там не блокируется. Сетевой экран в принципе отключен. Видимо на твоих кто-то их все таки закрыл. Ну или тебе повезло найти ASUS в котором с завода уже включено всё. Хотя не понимаю какой смысл с завода блокировать порт, который отвечает за общие ресурсы в винде. На счет ZyXEL'ов не знаю, не проверял

AFAIK дропбокс при изменениях файлов в своих папках синкает все и на сервере
Там есть контроль версий. Даже в бесплатном аккаунте. Кликаешь на меню файла в аккаунте, и в выпадающем списке будет пункт "Журнал версий". На сколько я знаю, они могут храниться около месяца. А какие-то серьезные версии хрнаятся дольше. Сколько точно и по какому принципу не знаю, но вчера восстанавливал файл, версия которого хранится аж с января 2016 года

[illuzor]

Нет, этот так же проникает после запуска вложения из почтыНет, он именно стучится в случайные ip в глобальном масштабе. А если есть локалка, то и по локалке идёт.

Вот, например, занятное чтиво (https://habrahabr.ru/company/pentestit/blog/328606/).
После заражения системы шифровальщик сканирует локальную сеть для поиска других уязвимых хостов, а также сканирует случайные диапазоны сети Интернет.
Минимальное время заражения системы после выставления в интернет 445 портом — 3 минуты

Или вот (https://habrahabr.ru/company/cisco/blog/328598/)
WannyCry — это червь-шифровальщик, отличительной особенностью которого является функция саморазмножения, обычно отсутствующая у классических шифровальщиков. Это значит, что для заражения вам не требуется никуда кликать, ничего нажимать и ничего открывать. Достаточно иметь просто уязвимый, непропатченный и подключенный к Интернет компьютер на базе платформы Windows

[caseyryan]

Нет, он именно стучится в случайные ip в глобальном масштабе. А если есть локалка, то и по локалке идёт.

Вот, например, занятное чтиво.
Хм. Про эту версию я еще не читал.


Сейчас интересно другое. Допустим кто-то заплатил, и ему пришел ключ расшифровки. Возникает вопрос "ключ расшифровки для всех один, или каждый раз разный (что маловероятно)?"
Ведь получив ключ, можно написать "противоядие"

[undefined]

или каждый раз разный (что маловероятно)?
как раз многовероятно. Это же стандартное поведение генерим ключ на клиенте и отправляем его на сервер.

[illuzor]

Допустим кто-то заплатил, и ему пришел ключ расшифровки.Интересно то, что по этому поводу вообще нет информации, хотя денег на кошельках довольно много. Видимо, заплатившие не хотят светиться.

Возникает вопрос "ключ расшифровки для всех один, или каждый раз разный (что маловероятно)?" Делать один ключ на всех было бы слишком глупо. Где-то видел информацию (не знаю, насколько ей можно верить), что вирус генерирует ключ на ходу, шифрует данные и удаляет ключ из памяти и даже если заплатить, расшифровать ничего не выйдет.

[caseyryan]

На хабре в комментах пишут, что те, кто заплатил ничего не получают. Это просто развод. Там есть ссылка на пост чувака, который якобы заплатил и уже несколько дней ждет. Хотя, вполне возможно расшифровка произойдет (если вообще произойдет) позже, когда больше бабла скопится. Иначе быстренько сделают патчик, который будет расшифровывать и эти хакеры не получат ничего

В общем, так как я принципиально не намерен платить никаким ублюдкам, все компы которые мог я уже пропатчил, порты 137-139 и 445 позакрывал, но думаю еще поставить CryptoPrevent на всякий случай

[wvxvw]

А еще... уязвимость так долго не находили возможно еще и потому, что SMB - это протокол из ада. Его так тяжело правильно реализовать, что никто и не пытается. (Вотличие от, например NFS). Вся сила энтерпрайз мышления Майкрософта в одном продукте.