• Már több mint 200 000 számítógép fertőződött meg!

A támadás fő célpontjai a vállalati szektort célozták meg, ezt követték a spanyol, portugál, kínai és angliai távközlési cégek.

• A legnagyobb csapást az orosz felhasználók és cégek érték. Köztük a Megafon, az Orosz Vasutak és meg nem erősített információk szerint a Nyomozóbizottság és a Belügyminisztérium. A Sberbank és az Egészségügyi Minisztérium is beszámolt rendszereik elleni támadásokról.

Az adatok dekódolásáért a támadók 300-600 dollár váltságdíjat követelnek bitcoinban (körülbelül 17 000-34 000 rubel).

Break HDD ill SSD meghajtó partíciókhoz a Windows 10 rendszerben

Interaktív fertőzési térkép (KATTINTSON A TÉRKÉPRE)
váltságdíj ablak
Titkosítja a következő kiterjesztésű fájlokat

Annak ellenére, hogy a vírus a vállalati szektort támadja meg, az átlagfelhasználók sem mentesek a WannaCry behatolásától és a fájlokhoz való hozzáférés esetleges elvesztésétől.

• Útmutató a számítógép és a benne lévő adatok fertőzés elleni védelméhez:

1. Telepítse a Kaspersky System Watcher alkalmazást, amely egy beépített funkcióval rendelkezik a titkosító műveletei által okozott változások visszaállítására, amely még mindig képes volt megkerülni a védelmi eszközöket.

2. A Kaspersky Lab víruskereső programjának felhasználóinak azt tanácsoljuk, hogy ellenőrizzék, hogy a Rendszerfigyelés funkció engedélyezve van-e.

3. A Windows 10 rendszerhez készült ESET NOD32 víruskereső felhasználói számára egy olyan funkciót vezettek be, amely ellenőrzi az új elérhető operációs rendszer-frissítéseket. Abban az esetben, ha előre gondoskodott és be volt kapcsolva, akkor minden szükséges új Windows frissítések telepítésre kerül, és rendszere teljes mértékben védett lesz ettől a WannaCryptor vírustól és más hasonló támadásoktól.

4. Ezenkívül az ESET NOD32 termékek felhasználói a programban olyan funkcióval is rendelkeznek, mint a még ismeretlen fenyegetések észlelése. Ez a módszer viselkedési, heurisztikus technológia alkalmazásán alapul.

Ha egy vírus vírusként viselkedik, akkor nagy valószínűséggel vírus.

Május 12. óta az ESET LiveGrid felhőrendszer technológiája nagyon sikeresen veri vissza a vírus összes támadását, és mindez még az aláírási adatbázis frissítése előtt történt.

5. Az ESET technológiák még a korábbi Windows XP, Windows 8 és Windows Server 2003 rendszerrel rendelkező eszközök számára is biztonságot nyújtanak ( javasoljuk, hogy hagyja abba az elavult rendszerek használatát). Az ezen operációs rendszerekkel kapcsolatos nagyon magas szintű fenyegetés miatt a Microsoft a frissítések kiadása mellett döntött. Töltse le őket.

6. A számítógépet érő károsodás veszélyének minimalizálása érdekében sürgősen frissítenie kell a Windows verziók 10: Start - Beállítások - Frissítés és biztonság - Frissítések keresése (más esetekben: Start - Minden program - Windows Update - Frissítések keresése - Letöltés és telepítés).

7. Telepítse a hivatalos javítást (MS17-010) a Microsofttól, amely kijavítja az SMB-kiszolgáló azon hibáját, amelyen keresztül a vírus behatolhat. Ez a szerver részt vett ebben a támadásban.

8. Ellenőrizze, hogy az összes elérhető biztonsági eszköz fut-e és működik-e a számítógépén.

9. Végezzen vírusellenőrzést a teljes rendszeren. Amikor egy rosszindulatú támadást nevezett MEM:Trojan.Win64.EquationDrug.gen, indítsa újra a rendszert.

És még egyszer azt javaslom, hogy ellenőrizze, hogy az MS17-010 javítások telepítve vannak-e.

Jelenleg a Kaspersky Lab, az ESET NOD32 és más vírusirtó termékek szakemberei aktívan dolgoznak egy fájlok visszafejtésére szolgáló program megírásán, amely segít a fertőzött számítógépek felhasználóinak visszaállítani a fájlokhoz való hozzáférést.

A hétvége fő informatikai híre a WannaCry titkosító (Wana Decrypt0r) lett. Kellő részletességgel olvashat róla és. Ebben a megjegyzésben csak a telepítendő Windows-frissítésekről és a szükséges észlelési intézkedésekről lesz információ.

Tehát a biztonsági rést megszüntető Windows-frissítések listája az operációs rendszer verziójától függően, valamint a hivatkozások:

Windows 10 1511-es verzió- KB4013198 (letöltés)

Windows 10 1607-es verzió és Windows Server 2016- KB4013429 (letöltés)

Windows 8.1 és Windows Server 2012 R2- KB4012213 (letöltés) vagy KB4012216 (letöltés)

Az első javítás csak biztonsági frissítések gyűjteménye, a második pedig teljes csomag havi javítások. A WannaCry által kihasznált sebezhetőség bármelyiket bezárja. Ugyanez vonatkozik az operációs rendszer más verzióira is, ahol két javítást jeleznek.

Windows Embedded 8 Standard és Windows Server 2012- KB4012214 (letöltés) vagy KB4012217 (letöltés)

Windows 7, Windows Embedded 7 Standard és Windows Server 2008 R2- KB4012212 (letöltés) vagy KB4012215 (letöltés)

Windows XP, Windows Vista, Windows 8, Windows Server 2003, Windows Server 2008, WES09 és POSReady 2009- KB4012598 (letöltés)

Amint látható, a Microsoft javításokat vezetett be a már nem támogatott régi rendszerekhez.

A víruskeresők már észlelik a Wana Decrypt0r-t, de a fájlok visszafejtésének kilátásai továbbra is csalódást keltőek. Idézet a Kaspersky Lab hivatalos webhelyéről:

Ha fájljai titkosítottak, szigorúan tilos az interneten kínált vagy beérkezett fájlokat felhasználni e-maileket visszafejtő eszközök. A fájlok titkosítása erős algoritmussal történik, nem lehet visszafejteni, a letöltött segédprogramok pedig még nagyobb károkat okozhatnak mind a számítógépben, mind a szervezeten belüli számítógépekben, mivel potenciálisan rosszindulatúak, és a járvány új hullámát célozzák.

Valószínűleg a fertőzések csúcsa már elmúlt, bár a jövőben valószínűleg megjelenik még egy-két módosított ransomware. Ezek azonban már nem lesznek olyan hírek, mint a WannaCry.

1. Május van, ismerkedj meg WannaCry-vel.
2. A Wanna egy ransomware vírus neve, amely 2017. május 12-én kezdte meg tevékenységét, és 90 országban fertőzte meg a felhasználók és cégek számítógépeit. A Microsoft hivatalosan kiadott javításokat a régebbi operációs rendszerekhez, amelyek már nem támogatottak és elavultak. Teljes listaés az összes link a cikk végén található.

Hogyan jelenik meg a Wanna?

3. Mint minden vírust, a ransomware-t is nehéz észrevenni a titkosítási folyamat során, ha nem véletlenül látta, hogy a fájlok megváltoznak, és más kiterjesztésűek lesznek. Például ennél a vírusnál a titkosított fájlok így fognak kinézni: filename.png.WNCRY
4. Az alábbiakban az országok vírusfertőzésének térképe látható a fertőzés és terjedés első óráiban, a Sumantec térképe.
5. Továbbá, amint a vírus a fájlok titkosítása után mutatja, a felhasználónak megjelenik egy üzenet, és kiválaszthatja a megfelelő nyelvet. Amelyik azt jelenti, hogy a fájlok fertőzöttek, és lépjen a fizetési lépésekre, mondjuk így.
6. A második ablakban látható, hogy mennyit és hogyan kell fizetni, átutalni 300 bitcoint. Valamint egy visszaszámláló.
7. Az asztal háttere és más háttérképek a következő üzenetet jelenítik meg:
8. A titkosított fájlok kettős kiterjesztéssel rendelkeznek, például: fájlnév.doc.WNCRY. Alább látható, hogy néz ki:
9. Minden mappában van egy végrehajtható fájl @ [e-mail védett] a váltságdíj utáni visszafejtéshez (esetleg, de aligha), valamint Szöveges dokumentum @[e-mail védett] amiben van mit olvasni a felhasználónak (szintén lehetséges, de aligha).

A vírus a következő kiterjesztésű fájlokat titkosítja:

10. Szeretném megjegyezni, hogy a WannaCry által titkosított bővítmények között nincs Oroszországban használt 1C bővítmény.
11. Kérem továbbá, hogy a fertőzés utáni fájlok visszaállítása során figyeljen a legfontosabbra. Ez akkor lehetséges, ha engedélyezve van a rendszervédelem, azaz a kötet árnyékmásolása, és működik az uac felhasználói fiók vezérlő rendszer, és valószínűleg akkor működik, ha nem tiltottad le. Ekkor a vírus felajánlja a rendszervédelem letiltását, hogy ne lehessen visszaállítani a titkosított fájlokat, vagyis azokat, amelyeket a titkosítás után töröltek. Természetesen ebben az esetben nem lehet egyet nem érteni a szétkapcsolással. így néz ki:

A Bitcoin pénztárcák csalók.

12. A legérdekesebb itt az, hogyan növekszik a csalók pénztárcáján lévő összeg. bitcoin pénztárca:
17. nézze meg naponta legalább egyszer, hogy mennyivel nőtt a csalók profitja, és meg fog lepődni, hidd el! Ez egy szokásos Wallet Bitcoin szolgáltatás, amelyben bárki regisztrálhat magának pénztárcát, nincs ok az aggodalomra, ha megnézi a pénztárca feltöltési statisztikát.
18. A WannaCry 1.0-t spameken és webhelyeken keresztül terjesztették. A 2.0-s verzió megegyezik az első verzióval, de egy féreg került bele, amely magától elterjedt, és egy protokollon keresztül jutott el az áldozat számítógépeire.

A Microsoft a Wanna elleni harcban:

19. A Microsoft szervizcsomagok telepítését javasolja a régebbi operációs rendszerek felhasználóinak:

Windows Server 2003 SP2 x64

Windows Server 2003 SP2 x86

Windows XP SP2 x64

Windows XP SP3 x86

Windows XP Embedded SP3 x86

Windows 8 x86

Windows 8 x64

Nyissa meg a hivatalos blogs.technet.microsoft webhelyet

Mit mond a Kaspersky?

20. A hivatalos Kaspersky blogon részletesebben le van írva a folyamat, és számos kiegészítést is meg lehet tanulni, bár angolul.

biztonságos lista.

21. A Kaspersky 2017. május 15-i támogatási cikkével kiegészítve:

.

22. Megtekintheti a kiberfenyegetések interaktív térképét is, és valós időben megtudhatja a vírus terjedését:

Intel malwaretech kártya WannaCry 2.0 vírushoz:

23. Egy másik térkép, de kifejezetten a WannaCry2.0 vírushoz, a vírus valós idejű terjedése (ha az átállás után nem működött a térkép, frissítse az oldalt):

Comodo Firewall 10 vs WannaCry Ransomware videó a védelmi technológiáról:

hivatalos oldal.

596 WannaCry változat

24. Egy független laboratórium 596 WannaCrypt mintát fedezett fel. Az SHA256 hashek listája:

A szerzőtől:

25. Hozzáteszem magamtól, mivel Comodo elleni védelmet használok 10 és ezen felül, de a legjobb vírusirtó te magad vagy. Ahogy mondani szokták, Isten óvja a széfet, és van ilyen védelmem, mert munka közben különféle feladatokat kell ellátnom, amelyekben van helye a vírustámadásoknak, nevezzük így.
26. Tiltsa le egy időre az SMB1 protokollt, amíg nem telepíti a biztonsági frissítéseket, vagy ha egyáltalán nincs rá szüksége a parancssor használatával, futtassa a cmd parancsot rendszergazdaként, és tiltsa le a protokollt a dism, parancs segítségével:

dism /online /norestart /funkció letiltása /featurename:SMB1 Protocol

27. Valamint az SMBv1,2,3 protokoll engedélyezésének és letiltásának egyéb módszerei a Microsoft hivatalos webhelyén.
28. A protokoll letiltására szolgáló grafikus felületen ezt teheti meg: Vezérlőpult> Programok hozzáadása vagy törlése (Program eltávolítása vagy módosítása)> Engedélyezés vagy letiltása Windows összetevők> több kép lent.

Jó napot, kedves olvasók és a blog vendégei, mint emlékeztek, 2017 májusában nagyarányú számítógép-fertőzési hullám indult. Windows rendszer, a WannaCry nevű új zsarolóvírus, melynek eredményeként több mint 500 000 számítógép adatait tudta megfertőzni és titkosítani, gondoljunk csak erre a számra. A legrosszabb az ezt a fajtát vírusokat, gyakorlatilag nem kapják el a modern vírusirtó megoldások, ami még fenyegetőbbé teszi, az alábbiakban bemutatok egy módszert, hogyan védheti meg adatait a befolyásától, ill. hogyan védekezhet a ransomware ellen egy percre szerintem érdekelni fog.

Mi az a kódoló vírus

A titkosító vírus egy olyan trójai program, amelynek feladata a felhasználó munkaállomásának megfertőzése, a rajta lévő kívánt formátumú fájlok (például fényképek, hangfelvételek, videofájlok) azonosítása, majd a fájltípus megváltoztatásával titkosítása, pl. Ennek eredményeként a felhasználó többé nem tudja megnyitni őket anélkül speciális program dekóder. Ez így néz ki.

Titkosított fájlformátumok

A titkosítás után a leggyakoribb fájlformátumok:

• nincs_több_váltságdíj
• boltozat

A ransomware vírus következményei

Leírom a leggyakoribb esetet, amelyben a kódoló vírus érintett. Képzeljünk el egy hétköznapi felhasználót bármilyen absztrakt szervezetben, az esetek 90 százalékában a felhasználó munkahelye mögött ott van az internet, hiszen ennek segítségével hasznot hoz a cégnek, szörföl az internetes térben. Az ember nem robot, és elterelheti a figyelmét a munkáról, ha olyan oldalakat böngész, amelyek érdekesek a számára, vagy olyan oldalakat, amelyeket a barátja tanácsolt neki. Ennek a tevékenységnek az eredményeként megfertőzheti számítógépét egy fájltitkosítóval anélkül, hogy tudná, és akkor tud róla, ha már túl késő. a vírus elvégezte a dolgát.

A vírus a munkája idején megpróbálja feldolgozni az összes fájlt, amelyhez hozzáfér, és itt kezdődik, hogy a részleg mappájában lévő fontos dokumentumok, amelyekhez a felhasználó hozzáfér, hirtelen digitális szemétté, helyi fájllá és sok más dologgá alakul. . Egyértelmű, hogy léteznie kell biztonsági mentések fájllabdák, de mi a helyzet a helyi fájlokkal, amelyek az ember minden munkáját ki tudják tenni, ennek következtében a cég pénzt veszít az egyszerű munkáért, a rendszergazda pedig kilép a komfortzónájából, és fájlok visszafejtésével tölti az idejét.

Ugyanez megtörténhet egy hétköznapi emberrel is, de a következmények itt helyi jellegűek, és személyesen vonatkoznak rá és a családjára, nagyon szomorú látni olyan eseteket, amikor egy vírus titkosította az összes fájlt, beleértve a családi fotóarchívumokat is, és az embereknek nem volt biztonsági másolatuk , nos, hétköznapi emberektől nem szokás.

A felhőszolgáltatásoknál nem ilyen egyszerű minden, ha mindent ott tárolsz és nem használsz vastag klienst a Windows operációs rendszeredben, az egy dolog, ott 99%-ban nincs veszélyben, de ha pl. "Yandex disk" vagy "mail Cloud" szinkronizálja a fájlokat a számítógépéről, majd megfertőződik, és megkapja, hogy minden fájl titkosítva van, a program egyenesen a felhőbe küldi őket, és Ön mindent elveszít.

Ennek eredményeként egy ehhez hasonló képet lát, ahol azt mondják, hogy minden fájl titkosítva van, és pénzt kell küldenie, most ez bitcoinban történik, hogy ne találja ki a támadókat. Fizetés után állítólag dekódert kellene küldeni és mindent visszaállítasz.

Soha ne küldjön pénzt csalóknak

Ne feledje, hogy jelenleg egyetlen modern vírusirtó sem tud Windows védelmet nyújtani a ransomware ellen, egyetlen egyszerű okból kifolyólag, hogy ez a trójai nem csinál semmi gyanúsat a maga szempontjából, lényegében felhasználóként viselkedik, fájlokat olvas, ír, a vírusokkal ellentétben nem. próbálja megváltoztatni a rendszerfájlokat vagy hozzáadni a rendszerleíró kulcsokat, ezért olyan nehéz az észlelése, hogy nincs olyan vonal, amely megkülönbözteti a felhasználótól

A zsarolóprogramok trójai forrásai

Próbáljuk meg azonosítani a kódoló számítógépbe való behatolásának fő forrásait.

1. E-mail > nagyon gyakran kapnak emberek furcsa vagy hamis e-maileket linkekkel vagy fertőzött mellékletekkel, amelyekre kattintva az áldozat egy álmatlan éjszakát kezd rendezni. Elmondtam, hogyan védheti meg az e-maileket, azt tanácsolom, hogy olvassa el.
2. Keresztül szoftver- ismeretlen forrásból vagy hamis oldalról töltött le egy programot, amely kódoló vírust tartalmaz, és a szoftver telepítésekor beírja operációs rendszer.
3. Flash meghajtókon keresztül - az emberek még mindig nagyon gyakran mennek egymáshoz, és egy csomó vírust hordoznak a flash meghajtókon keresztül, azt tanácsolom, hogy olvassa el a "Flash meghajtók védelme a vírusoktól" című részt.
4. Internet-hozzáféréssel rendelkező IP-kamerákon és hálózati eszközökön keresztül – nagyon gyakran a helyi hálózathoz csatlakoztatott útválasztó vagy IP-kamera elferdített beállításai miatt – a hackerek megfertőzik az ugyanazon a hálózaton lévő számítógépeket.

Hogyan védheti meg számítógépét a ransomware vírusoktól

A számítógép megfelelő használata védelmet nyújt a zsarolóvírusok ellen, nevezetesen:

• Ne nyisson meg olyan levelet, amelyet nem ismer, és ne kövessen érthetetlen hivatkozásokat, függetlenül attól, hogy hogyan jutnak el hozzád, legyen az levél vagy valamelyik hírnök
• A Windows vagy Linux operációs rendszer frissítéseit a lehető leggyorsabban telepítse, nem olyan gyakran adják ki, körülbelül havonta egyszer. Ha a Microsoftról beszélünk, akkor ez minden hónap második keddje, de a fájltitkosítók esetében előfordulhat, hogy a frissítések rendellenesek.
• Ne csatlakoztasson ismeretlen flash meghajtókat a számítógépéhez, kérje meg barátait, hogy küldjenek jobb hivatkozást a felhőre.
• Győződjön meg arról, hogy ha a számítógépének nem kell elérhetőnek lennie helyi hálózat más számítógépekhez, majd kapcsolja ki a hozzáférést.
• A fájlok és mappák hozzáférési jogainak korlátozása
• Víruskereső megoldás telepítése
• Ne telepítsen olyan érthetetlen programokat, amelyeket ismeretlen személy feltört

Az első három ponttal minden világos, de a maradék kettőnél még részletesebben kitérek.

Tiltsa le a számítógép hálózati hozzáférését

Amikor az emberek azt kérdezik, hogyan van megszervezve a zsarolóvírusok elleni védelem a Windows rendszerben, először azt javaslom, hogy kapcsolják ki a "Microsoft Networks fájl- és nyomtatómegosztó szolgáltatást", amely lehetővé teszi más számítógépek számára az erőforrásokhoz való hozzáférést. ez a számítógép Microsoft hálózatok használatával. A kíváncsiak részéről éppoly releváns rendszergazdák amelyek együttműködnek az internetszolgáltatóval.

Tiltsa le ezt a szolgáltatást és megvédheti magát a zsarolóvírusoktól helyi vagy szolgáltatói hálózatban, az alábbiak szerint. Nyomja meg a WIN + R billentyűkombinációt, és a megnyíló ablakban hajtsa végre, írja be a parancsot ncpa.cpl. Ezt a Windows 10 Creators Update operációs rendszert futtató tesztszámítógépemen fogom megmutatni.

Válassza ki a megfelelőt hálózati felületés kattintson rá jobb gombbal, helyi menü válassza a "Tulajdonságok" lehetőséget

Megtaláljuk a „Fájl- és nyomtatómegosztás Microsoft hálózatokhoz” elemet, és töröljük a jelölést, majd mentsük el, mindez segít megvédeni a számítógépet a ransomware vírustól a helyi hálózaton, a munkaállomás egyszerűen nem lesz elérhető.

A hozzáférési jogok korlátozása

A ransomware vírus elleni védelmet a windowsban ilyen érdekes módon lehet megvalósítani, elmesélem, hogyan csináltam magamnak. Tehát a zsarolóvírusok elleni küzdelem fő problémája az, hogy az antivírusok egyszerűen nem tudnak valós időben felvenni a harcot ellenük, nos, jelenleg nem tudnak megvédeni, szóval legyünk okosabbak. Ha a titkosító vírus nem rendelkezik írási jogosultsággal, akkor nem tud semmit kezdeni az Ön adataival. Példának okáért, van egy fotómappám, ez helyben van a számítógépen tárolva, plusz két biztonsági másolat is van különböző merevlemezeken. A helyi számítógépemen írásvédett jogokat tettem rá, ezért fiókot ami alatt a számítógéphez ülök. Ha a vírus odakerült, akkor egyszerűen nem lenne elég joga, mint látható, minden egyszerű.

Hogyan valósítsuk meg mindezt annak érdekében, hogy megvédjük magunkat a fájltitkosítóktól és mindent elmentsünk, a következőket tesszük.

• Válassza ki a szükséges mappákat. Próbálj meg pontosan mappákat használni, könnyebb velük jogokat rendelni. És ideális esetben hozzon létre egy csak olvasható mappát, és máris tegye bele az összes szükséges fájlt és mappát. Ami még jó, ha a legfelső mappához adunk jogokat, azok automatikusan átkerülnek a többi mappába is. Miután mindent átmásol szükséges fájlokatés a benne lévő mappákat, lépjen a következő bekezdésre
• Kattintson a jobb gombbal a mappára, és válassza a "Tulajdonságok" menüpontot a menüből

• Lépjen a "Biztonság" fülre, és kattintson a "Szerkesztés" gombra

• Hozzáférési csoportokat próbálunk törölni, ha megjelenik egy ablak a következő figyelmeztetéssel: "Nem lehet törölni egy csoportot, mert az objektum a szülőtől örökli a jogosultságokat", akkor zárja be.

• Kattintson a "Speciális" gombra. A megnyíló elemben kattintson az "öröklés letiltása" gombra.

• Amikor megkérdezi, hogy "Mit szeretne csinálni a jelenlegi örökölt engedélyekkel" válassza az "Összes örökölt engedély eltávolítása erről az objektumról" lehetőséget.

• Ennek eredményeként az "Engedélyek" mezőben minden törlődik.

• Mentjük a változtatásokat. Vegye figyelembe, hogy mostantól csak a mappa tulajdonosa módosíthatja az engedélyeket.

• Most a Biztonság lapon kattintson a Szerkesztés gombra

• Ezután kattintson a "Hozzáadás - Speciális" gombra

• Hozzá kell adnunk a "Mindenki" csoportot, ehhez kattintson a "Keresés" gombra, és válassza ki a kívánt csoportot.

• A Windows ransomware elleni védelméhez be kell állítania az „Everyone” csoporthoz tartozó engedélyeket, ahogy a képen is látható.

• Ennyi, egyetlen kódoló vírus sem fenyegeti Önt ebben a könyvtárban lévő fájljai miatt.

Remélem, hogy a Microsoft és más vírusirtó megoldások képesek lesznek javítani termékeiket, és megvédeni a számítógépeket a zsarolóprogramoktól a rosszindulatú munkájukig, de amíg ez nem történik meg, kövesse az általam leírt szabályokat, és mindig készítsen biztonsági másolatot a fontos adatokról.