Jak się obronić przed WannaCry? (i jego odmianami)

[darkowal]

Malware rozprzestrzenia się poprzez błąd w protokole SMB (TCP:445 i TCP:139), który zidentyfikowano dzięki analizie hackerskich narzędzi wykradzionych prawie rok temu z NSA i opublikowanych miesiąc temu w internecie przez grupę Shadow Brokers (dokładnie chodzi o narzędzie ETERNALBLUE — exploit. Ale poza samodzielnym exploitowaniem hostów, jak informuje zespół bezpieczeństwa Cisco Talos, WANNACRY także wyszukuje te już zhackowane, z uruchomionym backdoorem DOUBLEPULSAR (przy okazji, narzędzie które go wykrywa [Zawartość widoczna tylko dla zalogowanych użytkowników] [Zawartość widoczna tylko dla zalogowanych użytkowników] Dobry opis działania WANNACRY znajduje się tutaj [Zawartość widoczna tylko dla zalogowanych użytkowników]

Wysłane z tuba

[adamkon]

WannaCry - to dopiero początek ... [Zawartość widoczna tylko dla zalogowanych użytkowników]

[razor1995]

ESET wydał narzędzie pozwalające sprawdzić, czy komputer jest podatny na WannaCry:

 

[Zawartość widoczna tylko dla zalogowanych użytkowników]

[Dziadek13]

Po zastosowaniu tego narzędzia jest coś takiego.

Checking your system for CVE-2017-0144 vulnerability.
Failed to get version of 'C:\Windows\system32\Drivers\srv.sys'.
We are unable to tell if your computer is vulnerable

Sprawdzenie usterki CVE-2017-0144 w systemie.
Nie udało się pobrać wersji 'C:\Windows\system32\Drivers\srv.sys'.
Nie jesteśmy w stanie stwierdzić, czy komputer jest podatny na zagrożenia

A jak wpisze winver to jest takie coś.



Czyli te narzędzie coś nie halo, system orginalny.

[razor1995]

@up, to jakiś niefart masz

 

 

[StMK]

Checking your system for CVE-2017-0144 vulnerability.

Failed to get version of 'C:\Windows\system32\Drivers\srv.sys'.

We are unable to tell if your computer is vulnerable

 

 

Ten komunikat dostaje po wyłączeniu funkcji SMB w:

 

[Zawartość widoczna tylko dla zalogowanych użytkowników]

[Dziadek13]

 

 

Ten komunikat dostaje po wyłączeniu funkcji SMB

Masz racje po włączeniu tej funkcji jest ok.

I teraz pytanie lepiej wyłączyć to SMB czy zostawić.

[razor1995]

Ja zostawiłem, mam wgrane poprawki, teoretycznie jestem bezpieczny

[annonying_anoni]

Windows update + Defender + Malwarebytes i firewall windows + firewall w routerze i jestem bezpieczny

W polsce neostrada blokuje te porty na poziomie centrali [Zawartość widoczna tylko dla zalogowanych użytkowników] o ile tego nie wyłączysz

stąd tak mało infekcji w Polsce

Ja mam tę blokadę włączoną więc jeatem bezpieczny

BTW [Zawartość widoczna tylko dla zalogowanych użytkowników]

[darkowal]

Windows 10 Ransomware Escalation Prevention Script 1.0 

 

Skrypt zapobiega eskalacji Ransomware w systemie Windows 10 i dalszej eskalacji tych, którzy nie mają funkcji Endpoint Protection. Zwykle Windows Defender może chronić większość, ale na pewno nie wszystkie zagrożenia, dzięki czemu ten skrypt został udostępniony dla tych, którzy są zaniepokojeni, ponieważ nie mają włączonej funkcji ochrony końcowej. Kliknij prawym przyciskiem myszy i wybierz "Uruchom z PowerShell" i to wszystko. W tym miejscu nie ma przełączników wiersza polecenia ani opcji. W związku z tym jest to dla administratorów serwerów i zalecamy otwarcie skryptu za pomocą Notatnika, aby zobaczyć, co będzie możliwe i jeśli zajdzie taka potrzeba.

[Zawartość widoczna tylko dla zalogowanych użytkowników]

Software Smart Fix (Windows 10) 

 

[Zawartość widoczna tylko dla zalogowanych użytkowników]

[annonying_anoni]

[Zawartość widoczna tylko dla zalogowanych użytkowników]

pclab.pl/news74202.html

[Zawartość widoczna tylko dla zalogowanych użytkowników]

[renatan]

a gdy już ktoś łapnie to...

[Zawartość widoczna tylko dla zalogowanych użytkowników]

[darkowal]

 

[Zawartość widoczna tylko dla zalogowanych użytkowników]

 

[wiktorynek]

A nie prościej odpalić WU? - ta poprawka jest krytyczna, więc wyskoczy każdemu w każdej sytuacji. Jeśli poprawnie się nie zainstaluje, to WU ją ponowi. Jakoś nie ufam takim narzędziom firm trzecich, które skanują komputer. Co one robią w systemie?

A swoją drogą jak czytałem o 97% infekcji na Win 7, to zastanawiam się jak to możliwe?

Rozumiem zgodnie z ideą portali, że wiele jest pirackich systemów na świecie(ale nie 97%), a i one otrzymują aktualizacje.

Rozumiem, że część użytkowników nawet legalnych systemów ma wyłączone WU całkowicie(ale daleko do 97%).

Rozumiem, że część użytkowników posiada modyfikowane systemy, gdzie aktualizacje nie przechodzą(sami sobie winni, ale i tak bardzo daleko do 97%).

Wiemy, że najwięcej infekcji było na komputerach dużych firm i administracji(co robili ich administratorzy przez 3 miesiące skoro pominęli aktualizacje zbiorcze z marca, kwietnia i maja?)

[annonying_anoni]

Pisałem to wcześniej

[darkowal]

WannaCry można było uniknąć, ale nikt nie słuchał ostrzeżeń. Eksperci: w czerwcu grozi nam cyfrowa wojna - Windowsclubowcy strzeżcie i Brońcie przed ciemną stroną mocy

[wiktorynek]

MS dowiedział się o kradzieży tego exploita i nie zareagował w pełnej rozciągłości - miał poprawki przygotowane dla wszystkich systemów, ale wydał tylko te do których był zobligowany przymusowo. Jak to nazwać? - ja mam na to odpowiednie słowo, ale jest niepubliczne.

 

P.S. Dla tego jestem za pełną dezintegracją sieci i komputerów na całym świecie będących online w chwili kolejnego ataku. Oby był skuteczniejszy. Czekam na tą chwilę.

[kitaro]

Zauważyłem wczoraj, że KB4012598, to paczuszka 45 plików, w tym ta poprawka jest z 11 lutego.

Trzymali i czekali na oklaski.

Jeśli MS twierdził, że to zabezpieczenie weszło a kwietniowymi poprawkami do windows 7 - to 98% zainfekowanych komputerów z tym systemem, to nie najlepiej świadczy o intencjach MSoftu. Miało być globalne wyginięcie dinozaurów windows 7, albo jakoś tak.
[Zawartość widoczna tylko dla zalogowanych użytkowników]

[wiktorynek]

Do Win 7 weszło z poprawką KB4012215 z marca.

Do Win 8.1 weszło z poprawką KB4012216 z marca.

Do Visty weszło z poprawką KB4012598 z marca.

Do Win 10 weszło z poprawką KB4013429 z marca.

Do POSReady 2009 weszło z poprawką KB4012598 z marca.

Do wspieranych Serverów analogicznie.

Olali tylko XP i Win 8 oraz niewspierane już Servery, ale przygotowali te poprawki, tylko nie wiem na co liczyli - chyba na cud, albo test na żywym organizmie.

 

Winę za infekcję wspieranych systemów ponoszą tylko ich właściciele i administratorzy. Nie aktualizowali systemów. Nie żałuję za grosz.

Winę za infekcję niewspieranych oficjalnie systemów ponosi MS. Mam nadzieję, że zapłaci za to kiedyś najwyższą cenę.

[razor1995]

A swoją drogą jak czytałem o 97% infekcji na Win 7, to zastanawiam się jak to możliwe?

 

 

Jadyne, czego nie wziąłeś pod uwagę - na "rynku" jest po prostu więcej maszyn z Windows 7 na pokładzie niż z innymi systemami - o to tutaj też może chodzić, w końcu Windows 10 to wciąż nisza.

 

 

Winę za infekcję niewspieranych oficjalnie systemów ponosi MS. Mam nadzieję, że zapłaci za to kiedyś najwyższą cenę.

 

Cóż, może liczyli na to, ze nakłonią posiadaczy starszych maszyn na przesiadkę. Tego nie zgadniemy, ale po raz kolejny się potwierdza, że warto instalować poprawki z POSReady na XP  

[wiktorynek]

 

 

Jadyne, czego nie wziąłeś pod uwagę - na "rynku" jest po prostu więcej maszyn z Windows 7 na pokładzie niż z innymi systemami

Wziąłem, tak jak portale, ale to nie tłumaczy 97-98% - to jest po prostu niemożliwe. Popularność i udział na rynku, to jedno, ale nikt mi nie powie, że praktycznie prawie nikt nie aktualizuje systemu.

[razor1995]

Co fakt, to fakt. Możliwe że te szacunki są kolejną próbą wicskania Windows 10 Pomijając fakt że Windows 7 z EMET jest równie bezpieczny jak dycha.

 

 

Wysłane z iPhone za pomocą Tapatalk

[wiktorynek]

 

 

po raz kolejny się potwierdza, że warto instalować poprawki z POSReady na XP

Oczywiście - są w pełni kompatybilne i zastępowalne - przykłady:

 

 

[darkowal]

Trojan Ztorg to złośliwe oprogramowanie, które zaatakowało już setki tysięcy urządzeń mobilnych z systemem Android, tworząc w ten sposób wyrafinowany botnet reklamowy - donoszą analitycy Kaspersky Lab. Niebezpieczny wirus rozprzestrzenia się głównie za pośrednictwem popularnych sieci reklamowych, w których przestępcy wykupują kampanię, by promować specjalnie przygotowane, zainfekowane aplikacje. 

 

Innym sposobem dystrybucji jest wykorzystywanie istniejących już aplikacji, które płacą użytkownikom za instalowanie innych programów ze Sklepu Play - nieświadome ofiary w zamian za znikome wynagrodzenie (4 - 5 centów za zainstalowaną aplikację) infekują własne urządzenia - podaje onet.pl.

 

Natychmiast po instalacji trojan łączy się z serwerem przestępców i przesyła informacje o zainfekowanym urządzeniu, łącznie z państwem, językiem, modelem oraz wersją systemu operacyjnego. Dzięki temu kolejny moduł złośliwego oprogramowania, potrafi zdobyć jak największą nad nim kontrolę. Wyświetlanie niechcianych reklam, ukradkowe instalowanie aplikacji, a nawet wykonywanie w nich transakcji na koszt ofiary to ostateczny cel, służący wzbogaceniu się przestępców.

 

Najpewniejszym sposobem pozbycia się złośliwego oprogramowania jest - po wykonaniu kopii zapasowej ważnych danych - przywrócenie urządzenia do stanu fabrycznego. Poza tym warto zachować ostrożność nawet instalując aplikację z oficjalnych sklepów, takich jak Google Play - przestępcy wciąż dość skutecznie potrafią obchodzić zabezpieczenia nawet takich gigantów jak Google.

 

Żródło: onet.pl

 

 

 

Wysłane z mojego SM-J510FN przy użyciu Tapatalka

[Windows 10]

Ja na swoim serwerze domowym z Windows Server 2016 miałem wystawioną sambę cały czas na świat (Publiczne stałe IP, otwarte wszystkie porty) i nie zostałem zainfekowany. Która łatka jest do Windows Server 2016? Nie mam żadnych nowych aktualizacji.

 

 

Wysłane z iPhone za pomocą Tapatalk

[wiktorynek]

Infekcja przebiegała przez otwarte hot-spoty. 

[razor1995]

 

 

Oczywiście - są w pełni kompatybilne i zastępowalne

Z tym, że (przynajmniej u mnie) mają lekkie problemy z integracją przez nLite - nie wiem, czy wybierać konkretne poprawki, bo gdy integruję sobie wszystkie z POSReady - system nie bootuje, wyrzuca brak niektórych plików .sys. Spróbuję jeszcze HFSLIP'em. 

[wiktorynek]

W nLite wyłącz SFC, a najlepiej integrować to w nLite przez Update Packi metodą @OnePiece.

[darkowal]

Kolejna aktualizacja XP-10?

 

[Zawartość widoczna tylko dla zalogowanych użytkowników]

 

Eksperci z firmy ESET przygotowali specjalne bezpłatne narzędzie, o nazwie EthernalBlue Vulnerability Checker. Znajdziemy go na stronie ESET

 

[Zawartość widoczna tylko dla zalogowanych użytkowników]

 

 

Kolejna porcja newsów o nowym rodzaju wirusa który infekuje i atakuje przez filmy kodowane z napisem

 

[Zawartość widoczna tylko dla zalogowanych użytkowników]

 

Wysłane z mojego SM-J510FN przy użyciu Tapatalka

[szuwarek102]

Witam od niedawna przeglądając neta klikam i wyskakuje mi taki komunikat czy to ma coś wspólnego z tym jak w temacie.