News Kaspersky Lab: Verschlüsselungstrojaner CryptXXX ist geknackt

[Unnu]

Zudem wurde der Chefin bei Todesstrafe verboten, weiterhin jeden unbekannten Mailanhang zu öffnen .....

.... und ja, prof. Virenscanner ist vorhanden

Und? Lebt sie noch?

 

[OneShot]

Wie schaut es beim Thema "Locky" Crypt aus?

 

[zittrig]

@Unnu ... ja, dafür darf ich mich jetzt z.T. mehrmals täglich auf ihren Rechner schalten, um ihr beim Filtern zu helfen.
Aber zumindest die gefakten Paypal- und Amazon- und Kreditkartenmails hat sie mittlerweile im Griff ....

@weiteroben: Wir sind ein Pflegeheim. Eine IT-Abteilung gibts bei uns nicht. Einer intern (ich, neben anderen Aufgabenbereichen), einer extern (Profi für komplexere Systeminternas auf Abruf).

Von wegen verdächtige Mails umleiten und analysieren ....

 

[Unnu]

@zittrig: Na immerhin. Zum lernen ist es nie zu spät.
... komisch, bei mir kommen die alle irgendwie gar nicht erst durch den SPAM Filter. Ab und an schlägt mal ein PayPal-Fake bei meinem Frauchen auf, aber das war's danns schon.

Sortiert ihr selbst, ist euer Provider eher schlampig, oder wollt ihr soviel wie möglich sehen und dann selbst entscheiden?
Das ist dann natürlich ein wenig riskant, wenn klickaroos ihrem Namen alle ehre machen und auf alles klicken was nicht bei 2 auf den Bäumen ist.

 

[TrueAzrael]

Der Befehl erstellt eine "leer" datei beliebiger größe ;-)

fsutil file createnew <dateiname> <Dateigröße in byte>

Daran musste ich auch denken als ich die News las.

 

[zittrig]

Ich glaub, da ist kein Spamfilter aktiv. Als das vor Jahren mal ein Thema war, war die Gefahr noch zu groß, dass auch Nicht-Spam gefiltert. Irgendwie so war das.

Daher sortieren wir (noch) selber.

Ist mir pers. auch echt lieber. Zumindest mir reicht der Junk-Filter von Thunderbird. Da hab ich den Müll bei Bedarf zumindest noch ohne Aufwand im Blick.

 

[Sun_set_1]

Bei uns wurd es gelöst in dem die CC Server identifiziert und über nen Netzwerk-Proxy / Gateway geblockt wurden.

So hat man sich zwar den VBA-Code eingefangen - der konnte aber keine Verbindung zum nachladen der Tools aufbauen

 

[TrevorPhillipps]

[...]
Bei solchen Schulungen gibt es mehrere Personengruppen:

- Die Gruppe, die sich zu Tode langweilt, weil es für sie Basiswissen ist.
- Die Gruppe, die total paranoid wird und in Zukunft für ALLES die Admins totnervt.
- Die Ein-Ohr-rein-das-andere-raus-Gruppe.

Die Zeit von Gruppe1 wird verschwendet, bei Gruppe3 ist es auch Zeitverschwendung und Gruppe2 setzt es zwar um, sorgt aber für Mehrarbeit.

Sorry für OT, aber exakt so siehts aus... wenn ich das auf unsere Firma übertrage, ist Gruppe 2 &3 der 1 komplett überlegen...

mmd

 

[Fehlermeldung]

Für Unternehmen ist das aber leider zu spät. Bei uns im Unternehmen hat locky schon 2 mal zugeschlagen und der halbe Tag der da verloren geht ist schon immer ein ziemlicher Akt. Ohne tägliche backups geht nichts mehr.

Zumal in beiden Fällen ein kommerzieller Spamfilter und 2 kostenpflichtige Virenschutzprogramme versagt haben.

 

[Klonky]

Mails Scannen, und viel mehr, Spam unterbinden mit SPF, RDNS, RBLS

Das federt schon genug weg.

Rest Scannen mit Virenscanner auf Gateways (Fortinet, sophos etc.)


Hab aktuell gute Erfahrung mit Hitman Pro bekommen

Geniales Programm, erkennt Viren anhand Ihres Verhalten und kann sogar alle Verschlüsslungstrojaner erkennen. Das ist der Vorteil, wenn man nicht mit Sample Databases arbeitet

 

[flaax]

Für Unternehmen ist das aber leider zu spät. Bei uns im Unternehmen hat locky schon 2 mal zugeschlagen und der halbe Tag der da verloren geht ist schon immer ein ziemlicher Akt. Ohne tägliche backups geht nichts mehr.

Zumal in beiden Fällen ein kommerzieller Spamfilter und 2 kostenpflichtige Virenschutzprogramme versagt haben.

Tut mir leid das zu hören, allerdings wird der kommerzielle Spamfilter und AV-Anwendungen auf den Mailservern nicht viel helfen, wenn man nicht regelmäßig nachjustiert und pflegt. Die von dir genannten Schutzmaßnahmen sollten der i-Punkt und nicht die Säulen sein auf die man sich verlässt. Dass es keinen perfekten Schutz gibt, ist eh klar.
Es müssen definitiv erstmal interne Regelungen her und dazu unterstützend Spamfilter und Virenschutz.

Ich mute mir nicht an dich zu belehren, also nicht falsch verstehen, aber es hört sich so an als ob du / ihr den Spamfilter und den Virenschutz habt und das wars dann.

Es gibt äußerst vieles, was man machen kann & sollte. Generell z.B. ein paar kleine Tipps:

1. Sollte das Unternehmen Paypal Konten nutzen, oder sich in div. Shops wie Amazon etc. oder beim XY-Lieferanten registrieren, so werden dafür E-Mail-Adressen angelegt. Ob Verteiler oder als eigenes Postfach.
Eine paypay08@domaene.de, amazon35@domaene.de, usw. (möglichst wenige bzw. nur eine akzeptierte Domäne für diese Postfächer/Verteiler). - Alle "Paypal" und "Amazon" o.Ä. Mails die nicht auf diese Postfächer eingehen entweder mit einer Regel markieren (z.B. im Betreff ein "SPAM: " davor setzen), oder komplett blockieren / ins Spampostfach schicken.
MA haben Ihre privates Zeug nicht auf E-Mail-Adressen des Unternehmens zu registrieren.

Ich habe sehr oft, bei sehr vielen Firmen gesehen, dass alles auf die Info@ Adresse, bzw. bestimmte Verteiler von Abteilungen registriert wird. Das ist etwas was ich nicht verstehe. Da helfen auch keine Regeln mehr, wenn täglich ein Haufen Mist da drin landet und die Nutzer nicht wissen, ist ob das nun eine echte DHL-Mail ist, oder nicht.

2. Dateianhänge: PDF. Word, Excel, Zip & Co. werden von extern Blockiert oder in ein Spampostfach verschoben und nur intern zugelassen. Dazu ein höfflicher Autoresponse als Einzeiler. Bei Bedarf eine Ausnahme - mit bestimmten Inhalt im betreff durchlassen. "P-T: Präsentation XY" o.Ä.
Ich sehe bis heute noch regelmäßig Bewerbungen als .doc / .docx u.Ä. - oder andere Daten die jeder mit zwei Klicks in ein PDF Umwandeln könnte.

3. Strickte policies wie TLS only, SPF Hard- & Softfails blockieren. SCL korrekt nutzen und für die eigenen Empfänger/User eindeutig als (potentiellen) Spam markieren. BLP aufs Mail GW ist sowieso Pflicht. DKIM ist keine asiatische Speiche und mit dmarc ist nicht die alte Währung gemeint.

4. Den nicht IT-MA oder Kunden regelmäßig mit Info-Mails / Hinweisen "angst" machen, um der Unvorsichtigkeit/Bequemlichkeit gegenzuwirken. "Neue Verbreitungsmethode von Locky" bla bla 1-2 Beispiele. Quasi eine Kurzfassung von gewissen Nachrichten.

Es gibt seit einem Jahrzehnt zahlreiche Seiten mit guten Tipps um Spam möglichst stark einzuschränken. Gemeinsam in der Firma das passende raussuchen und einheitlich umsetzen. Die Mail- & Webserver regelmäßig prüfen. Weitere serverseitige Regeln auch fürs Spampostfach um den zuständigen Admins das Leben / die Übersicht zu erleichtern.
- Auch wenn man einen externen IT-Dienstleister hat, sollte man sich nicht davor scheuen den eigenen Mailserver ein paar mal im Jahr mit mxtoolbox & co. anzuschauen, oder die Homepage mal bei SSLLabs durchzujagen und anschließend das Gespräch suchen.

 

[Alphanerd]

Holzauge sei wachsam, hatte letztens eine fast echt aussehende Paypal Mail, nur die Adresszeile hatte eine andere Schriftart, was man fast nicht merkt, und natürlich der obligatorische Link der im original nicht vorkommt, Rechtschreibfehler gibts auch keine mehr.

Die hatte ich auch. Hätte Gmail die nicht in den Spam gepackt, häTTe ich die wohl geöffnet. Obwohl: das System ist immer noch :"schlimme Sachen sind passiert, bestätigen sie ihre logindaten bei diesem Link"
Bei mir wurden angeblich Beträge von einem Sportwettenanbieter und der Klassiker Pr0n abgegangen und diese seien verdächtigt. Mail wie du sagtest täuschend echt. Najo, über die HP von PP auf mein Konto und siehe da: nix.
Da hilft auch kein Virenscanner, sondern nur ein Update der Brain.exe.

 

[errut]

Auf einem alten PC habe ich ebenfalls Dateien mit der Endung crypt und ein Overlay auf dem Desktop, das die bekannten Forderungen stellt. Wie erkenne ich , ob eine Teslacrypt oder Locky etc vorliegt?

 

[purzelbär]

Wie erkenne ich , ob eine Teslacrypt oder Locky etc vorliegt?

Google mal, da gibt es seit geraumer Zeit eine Seite von Bleeping Cmputer wo du eine verschlüssele Datei hochladen kannst und dann ermitteln die dort um was für eine Verschlüsselung es sich handelt um ob es dafür schon Tools gibt oder nicht. Gut wäre es auch wenn du Dokumente von den Erpressern hast die du mit hochladen kannst.