מסמכי וורד מוצגים במחשב כקבצי מוזיקה

[Googleness]

בנוגע לRansomware אני יכול לחלוק שהמרצה שלי במכללה (שהוא עובד בענף כCTO) סיפר לנו השבוע שבאחד המקומות שהוא מפקח עליהם אחת העובדות קיבלה מסמך וורד עם הצעת מחיר כלשהי. כשהיא פתחה אותו מסיבה כלשהי היא חשבה שזה יהיה מצחיק ללחוץ על הכפתור שהופך עריכה לזמינה ובאותו רגע זה איפשר להריץ מאקרו כלשהו שהפעיל את ה Ransomware לאותו ארגון.

 

בנוסף הוא סיפר לנו שבאותו רגע כמובן הם קודם כל בדקו איך הפסולת הזאת חדרה לארגון ואיך היא עובדת ומסתבר שזאת נוזקה עם כמה מאפיינים מעניינים,

1. לאחר ההצפנה היא מוחקת את עצמה ככה שאי אפשר יהיה לעשות Reverse Engineering. 

2. ברגע שהיה בעמדה כלשהי שיתופים ברשת היא אוטומטית רצה לכל השיתופים והדביקה אותם גם כן.

 

מה שהם עשו היה להחזיר גיבוי שהם עשו מעט לפני ההדבקה תוך כדי שהם מוודאים שכל זכר של הקבצים הנגועים נמחקו ואין זכר לתוכנה על המערכות.

 

________________________________________________________

 

שורה תחתונה הגורם האנושי,

אם אנשים יעברו הכשרה בסיסית של זיהוי פישינג וילמדו להפעיל היגיון הרבה מהצרות הללו היו נפתרות.

בנוסף המרצה שלי סיפר ש95% מההדבקות בארגונים הן דרך מייל, 4.9% הן דרך התקנים ניידים כמו DOK והשאר זה מקרים נדירים של חדירה לרשת מבחוץ בדרכים מוזרות.

בנוגע לRansomware אני יכול לחלוק שהמרצה שלי במכללה (שהוא עובד בענף כCTO) סיפר לנו השבוע שבאחד המקומות שהוא מפקח עליהם אחת העובדות קיבלה מסמך וורד עם הצעת מחיר כלשהי. כשהיא פתחה אותו מסיבה כלשהי היא חשבה שזה יהיה מצחיק ללחוץ על הכפתור שהופך עריכה לזמינה ובאותו רגע זה איפשר להריץ מאקרו כלשהו שהפעיל את ה Ransomware לאותו ארגון.

 

בנוסף הוא סיפר לנו שבאותו רגע כמובן הם קודם כל בדקו איך הפסולת הזאת חדרה לארגון ואיך היא עובדת ומסתבר שזאת נוזקה עם כמה מאפיינים מעניינים,

1. לאחר ההצפנה היא מוחקת את עצמה ככה שאי אפשר יהיה לעשות Reverse Engineering. 

2. ברגע שהיה בעמדה כלשהי שיתופים ברשת היא אוטומטית רצה לכל השיתופים והדביקה אותם גם כן.

 

מה שהם עשו היה להחזיר גיבוי שהם עשו מעט לפני ההדבקה תוך כדי שהם מוודאים שכל זכר של הקבצים הנגועים נמחקו ואין זכר לתוכנה על המערכות.

 

________________________________________________________

 

שורה תחתונה הגורם האנושי,

אם אנשים יעברו הכשרה בסיסית של זיהוי פישינג וילמדו להפעיל היגיון הרבה מהצרות הללו היו נפתרות.

בנוסף המרצה שלי סיפר ש95% מההדבקות בארגונים הן דרך מייל, 4.9% הן דרך התקנים ניידים כמו DOK והשאר זה מקרים נדירים של חדירה לרשת מבחוץ בדרכים מוזרות.

[QttP]

ציטוט של Googleness

בנוסף הוא סיפר לנו שבאותו רגע כמובן הם קודם כל בדקו איך הפסולת הזאת חדרה לארגון ואיך היא עובדת ומסתבר שזאת נוזקה עם כמה מאפיינים מעניינים,

1. לאחר ההצפנה היא מוחקת את עצמה ככה שאי אפשר יהיה לעשות Reverse Engineering. 

2. ברגע שהיה בעמדה כלשהי שיתופים ברשת היא אוטומטית רצה לכל השיתופים והדביקה אותם גם כן.

זה בדיוק מה שCryptowall עושה, כפי שאפשר לראות בניתוח שnachum37 קישר אליו.

 

[nachum37]

ציטוט של Googleness

אם אנשים יעברו הכשרה בסיסית של זיהוי פישינג וילמדו להפעיל היגיון הרבה מהצרות הללו היו נפתרות.

לא מאמין. או שיש לך את זה, או שאין לך ושום דבר לא יעזור. 

ההכרה הזו התחזקה בי אחרי שנפגשתי שוב ושוב באנשים שאתה נותן להם מחשב חדש וחצי שנה אחר כך אתה מוצא אותו מלא בכל הנוזקות, רוגלות וה Bloatware שבעולם, ולא משנה כמה שנים הם כבר עובדים על מחשב.

[nachum37]

מידע על ההבדלים בין 3 ל 4:

http://www.bleepingcomputer.com/virus-removal/cryptowall-ransomware-information#cryptowall4

 

In the beginning of November 2015 the developers of CryptoWall released a new version that we have called CryptoWall 4.0. Compared to the previous version, there were some significant changes in this version such as filenames now being encrypted, more robust Shadow Volume Copy deletion, new ransom note filenames, new payment gateways, and a redesign of the HTML ransom note.

[ag43]

סתם נקודה שחשבתי עליה - אם יש קובץ נקי זהה לקובץ שהוצפן, האם אפשר לשחזר את מפתח ההצפנה?

[QttP]

במערכת הצפנה נורמלית - לא (אחרת כל מערכת הצפנה public key הייתה פרוצה). אתה יכול להיות בטוח שהחבר'ה שכתבו את זה משתמשים במערכת הצפנה נורמלית.

 

[Nemesis]

האמת היא שאני מכיר הרבה יותר חברות קטנות עם גיבויים מחורבנים שכנראה היו משלמות 20-30 אלף ש"ח כדי לקבל אליהן את המידע חזרה. אצלינו איזה עובד נדבק, והצפין את כל הקבצים של תוכנת ה CRM בנוסף לתיקיות משותפות ברשת. פירמוט מחשב ומשיכה מ Snapshot פתרו את הבעיה למעט כמה קבצים שנוצרו בין שני Snapshots. אבל לרוב בארגונים קטנים גיבויים עובדים לפעמים כן, לפעמים לא, הקלטות הרבה פעמים לא תקינות וכו'.

[ag43]

ציטוט של QttP

במערכת הצפנה נורמלית - לא (אחרת כל מערכת הצפנה public key הייתה פרוצה). אתה יכול להיות בטוח שהחבר'ה שכתבו את זה משתמשים במערכת הצפנה נורמלית.

 

 

אני מבין למה לא PUBLIC KEY אבל כאן אפשר להשוות ישירות את המידע הלא מוצפן למוצפן ולא את המוצפן והמפתח.

[QttP]

עדיין. בכל מערכת PUBLIC KEY אתה יכול להשוות איזשהו מידע לא מוצפן למוצפן, כי המפתח PUBLIC ואתה יכול פשוט להצפין איתו. האם מזה אתה יכול להסיק את הפונקציה ההפוכה?

 

תחשוב באופן כללי. נגיד שיש פונקציה F(X) = Y. ונגיד שאתה יודע X וY - האם זה בהכרח אומר שאתה יכול לקבל מכך אפיון מלא של F? וודאי שלא, אלא אם כן אתה יודע מראש דברים מאוד ספציפיים עליה. אחת הדרישות לכל מערכת הצפנה, אפילו קיקיונית יחסית, היא שאי-אפשר יהיה בחישוב סביר לשחזר את המפתח על סמך זוגות plaintext וciphertext. וכמו שאתה מבין, מערכות ההצפנה שמשתמשים בהן פה רחוקות מלהיות קיקיוניות.