News Krypto-Trojaner: Locky weiterhin auf dem Vormarsch

[Anmeldeblödsinn]

Nur wenn der User Adminrechte hat und die UAC abgeschalten oder bestätigt hat. Sonst wird "nur" das Profil verschlüsselt, Temp und halt All Users sowie halt die Netzlaufwerke auf die er Zugriff hat (gemountet oder nicht). Auch die Schattenkopien kann Locky nur löschen, wenn man die UAC bestätigt oder sie abgeschalten hat und mit Adminrechten arbeitet. Leider ist das halt fast überall Standard, da es sowohl vom Supportaufwand viel zu viel wäre und es leider richtig miese Software gibt, die eben noch immer nicht damit klarkommen das es nicht immer und überall auf alles zugreifen darf.

 

[Creati]

@Anmeldeblödsinn
Wieso ist es zuviel Supportaufwand mit eingeschränkten Rechten zuarbeiten? Worauf beziehst Du dich? Auf Firmen oder auf Privates Umfeld?
Ist doch in größeren Firmen Standard, dass nur mit eingeschränkten Rechten gearbeitet wird und der Supportaufwand wäre ggf. sogar höher, wenn alle User Adminrechte hätten. Dann könnten sie nämlich alles installieren und ggf. den Rechner "kaputt" spielen.

 

[waldpilzsuppe]

Mir ist Locky auch schon seit längerem bekannt.

Habe darüber mit Kollegen gesprochen und jeder fand diesen neuerlichen Trojaner eine heftige Sache.

Allerdings ist das ganze (zumindest wenn man sich bei der Thematik auskennt) eine logische Entwicklung und habe darüber schon vor 2-3 Jahren mal gehört, dass so etwas möglich ist.

Die Maßnahmen werden immer extremer und so kann man die Leute richtig dran bekommen.
Ich würde von den Diensten wie Bitdefender (wenn man dafür ordentlich zahlt) allerdings erwarten,
dass Zeitnah dagegen etwas unternommen wird, bzw. sogar Maßnahmen entwickelt werden, um jeweilige Trojaner auch nachträglich unschädlich zu machen.
Das ganze ist leider (wie immer) ein Katz und Maus Spiel...

Ich kann nur jedem Raten, sich im Netz vorsichtig zu bewegen und der Gefahren bewusst zu sein. Passieren kann einem aber(leider) immer was.

 

[pupsi11]

ich hab zwei backup platten (USB) welche nie dran hängen. aber ein windows backup hab i nicht. hab bisher mein win 7 auf dvd aber jetzt kein LW mehr müsst ich mal auf usb stick machen. oder win 10. von paragon usw. hab ih null ahnung.

hab drei platten im pc, win platte, programme, und games platte.

 

[purzelbär]

Auf jeden Fall gehört ein Backup von deinen 3 verbauten Festplatten auf eine USB Festplatte gemacht. Ob du jetzt ein Backup nur von der Systempartition C mit Windows machen willst oder ob die 2 anderen im PC verbauten Festplatten auch mitgesichert werden sollen, ist deine Sache

hab drei platten im pc, win platte, programme, und games platte.

Dann wäre mein Vorschlag: mach von jeder dieser Platten jeweils ein Backup und das aber regelmässig als Ziellaufwerk für die Backups nimmst du deine USB Festplatte und wenn du magst, lese dir mal die 2 Threads von mir durch:
http://www.pc-notfallklinik.de/viewtopic.php?f=7&t=727
http://www.trojaner-board.de/169116-systembackups-images-windows-bzw-festplatte.html

 

[Anmeldeblödsinn]

@Anmeldeblödsinn
Wieso ist es zuviel Supportaufwand mit eingeschränkten Rechten zuarbeiten? Worauf beziehst Du dich? Auf Firmen oder auf Privates Umfeld?
Ist doch in größeren Firmen Standard, dass nur mit eingeschränkten Rechten gearbeitet wird und der Supportaufwand wäre ggf. sogar höher, wenn alle User Adminrechte hätten. Dann könnten sie nämlich alles installieren und ggf. den Rechner "kaputt" spielen.

Firmenumfeld. Weil die User bei jeder Kleinigkeit anrufen müssen und man per Fernwartung ihnen das Kennwort eingeben muss (oder der Admin Vor-Ort macht das). Es gibt so viele Kleinigkeiten, die einem da das Leben schwer machen. zb Updates. Das Buchaltungsprogramm lädt beim Start die Updates, so weit so gut. Schaltet man halt %programdata% frei. Nun, manchmal tauscht er aber auch Schriften aus und die sind in Windows\Fonts. Musste auch mal draufkommen warum das Update abbricht. Dem User nun Vollzugriff auf die Fonts zu geben ist zwar möglich aber wie gesagt, halt immer ein Aufwand sowas "nachzuberechtigen".

Klar kann der User so auch viel Kaputtinstallieren aber das hängt dann eh dem User selbst an und der Chef gibt dann den Rüffel. Lokale Kisten sind so eh nicht wirklich das Problem, die Netzlaufwerke sinds. Gut, hier haben mir die Snapshots schon geholfen, witzig ist die Verschlüsselungssache dennoch nicht.

 

[pupsi11]

naja ich hab ja 2 usb platten auf denen die wichtigen daten von den drei internen platten jede woche drauf kommen. games liegen ja bei steam und co. da muss ich dann halt neu ziehen.

 

[DiamondDog]

Das ist nur bei der jeweils neuesten Version von Locky so. Wobei ich es mir kaum vorstellen kann, wie die Verschlüsselung sämtlicher Daten ohne Entdeckung durch die Verhaltenserkennung funktionieren kann... Ich meine, dass kann doch nicht so schwer sein, diesen Vorgang zu erkennen...

wenn ich mir die Karte ebzüglich der Verbreitung des Trojaners ansehe, denn wundert mich das nicht. Die Länder in denen der Trojaner am stärksten verbreitet ist, können nicht gerade mit hoher Intelligenz trumpfen!

 

[Phantom2k]

AntiVirenprogramme sind einfach machtlos.

Ein Schutz der zb sicher wäre ist Sandboxie. Die paar Euro zu investieren lohnt mehr als ein kauf von AntiVirenprogrammen, scheinen wohl nur wenige zu wissen. In Sandboxie einfach alle Mailprogramme (Outlook,Thunderbird,...) und Browser (Firefox, Chrome, ...) ausführen und schon ist man sicher.

 

[Simpson474]

Allerdings ist das ganze (zumindest wenn man sich bei der Thematik auskennt) eine logische Entwicklung und habe darüber schon vor 2-3 Jahren mal gehört, dass so etwas möglich ist.

Wir können nur froh sein, dass vor 2-3 Jahren die Qualität der Verschlüsselungstrojaner noch so mies war und diese meist geknackt werden konnten - denn genau in dieser Zeit waren die meisten Rechner dank Java offen wie ein Scheunentor. Dank drastischer Schritte der Browserhersteller (von den Großen unterstützt nur noch Mozilla NPAPI-Plugins und auch dort ist es nur noch eine Frage der Zeit), spielt die Verbreitung über Drive-by-Download heute keine so große Rolle mehr.

Ich würde von den Diensten wie Bitdefender (wenn man dafür ordentlich zahlt) allerdings erwarten,
dass Zeitnah dagegen etwas unternommen wird, bzw. sogar Maßnahmen entwickelt werden, um jeweilige Trojaner auch nachträglich unschädlich zu machen.

Das ist das traurige, die Hersteller von Security-Lösungen interessiert das Problem mal wieder so gut wie gar nicht - einzig Malwarebytes scheint wirklich an einer generischen Erkennung zu arbeiten. Die anderen Hersteller haben die letzten Jahre genau das gemacht, was sie am besten können: AV-Test gesponsert, die Prägnanz der Texte für die Uninstall-Fenster verfeinert und OEM-Hersteller überzeugt/geschmiert, so dass die Testversion der eigenen Security-Lösung auf den Rechnern landet.

Ist doch in größeren Firmen Standard, dass nur mit eingeschränkten Rechten gearbeitet wird und der Supportaufwand wäre ggf. sogar höher, wenn alle User Adminrechte hätten. Dann könnten sie nämlich alles installieren und ggf. den Rechner "kaputt" spielen.

Leider gibt es tatsächlich heute noch Programme, welche ohne Adminrechte nicht funktionsfähig sind - bei uns betrifft das z.B. proprietäre Entwicklungsumgebungen für Embedded Prozessoren.

 

[mrieglhofer]

Anmeldeblödsinn: in einer halbwegs nach IT Regeln (ITIL) arbeitenden Firma hat man für Updates eine Softwareverteilung. Kann ja nicht einfach jeder ein Update undokumentiert einspielen. Da hast ja nie einen einheitlichen Stand und damit ist ein Support praktisch nicht mehr möglich.
Und "miese" Software kannst, wenn die IT das zuerst überprüft, entweder die Zugriffe korrigieren, ev. notwendige Verzeichnisse freischalten oder besser, die App virtualisieren.

 

[Anmeldeblödsinn]

Anmeldeblödsinn: in einer halbwegs nach IT Regeln (ITIL) arbeitenden Firma hat man für Updates eine Softwareverteilung. Kann ja nicht einfach jeder ein Update undokumentiert einspielen. Da hast ja nie einen einheitlichen Stand und damit ist ein Support praktisch nicht mehr möglich.
Und "miese" Software kannst, wenn die IT das zuerst überprüft, entweder die Zugriffe korrigieren, ev. notwendige Verzeichnisse freischalten oder besser, die App virtualisieren.

Ja, die schöne Theorie und ihre hässliche Schwester Realität...

Nein, die Programme haben meist Autoupdate, das kann man teilweise nicht mal mehr abschalten. Das mit der Verteilung ist zwar nett, aber meist leider nicht machbar wenn man viele kleinere Progrämmchen nutzt.

Virtualisieren ist zweckes Kosten kein Thema (KMU), also bleibt nur Terminalserver/RemoteAPP und auch das ist meist durch Lizenzkosten eingeschränkt.

Ich hab hier zB NTCS von BMD, das spielt beim Start zB neue SQL-NativeClients, .Net-Updates, oder SSO ein. Ja, sollte es nicht, machts aber trotzdem. Sie empfehlen das Programm generell als Admin laufen zu lassen. Tja, dann braucht der User eh wieder das Adminkennwort, oder man schaltet eh wieder alles frei.

Wie gesagt, mag in einem Fortune 500 - Unternehmen anders aussehen mit Richtlinien usw. aber im KMU - Umfeld mit 10-100 MA ist das leider alles Utopie. Zahlt einem ja keiner.

 

[mrieglhofer]

Bei großen Firmen ist es klar, weil sonst niemand eine Zertifizierung kriegt, der nicht nach ITIL arbeitet.
Autoupdate sollte bei einem locked PC kein Problem sei , wie soll der Updaten? Ich habe bei allen PCs die Systemplatte mit RebootRestoreRX oder Deepfreeze eingefroren. Funktioniert astrein, ist halt ein wenig Tricky.

Virtualisieren ist z.B. bei Cameyo bei weniger als 50 Nutzer kostenfrei. Die Apps liegen in einem zentralen Repository und der es braucht, kriegt einen Link drauf. Die Änderungen kann man hinschreiben, wo man will. Muss man halt davor überlegen. Arbeitsaufwand ist VM starten, Programm einmal installieren, Postscan und Fertig. Und dann halt noch die Package Parameter, wie und wo das Ding seine Daten speichern soll. Ich habe da praktisch alle kleinen Tools so vorliegen, naja ein paar sind Thinapp, aber das ist wirklich teuer.

Eine Software Distribution der einfachsten Art (wenn man nicht MSI über AD verteilt) kannst mit PDQ Deploy um 250$ pro Jahr machen. Also auch für einen Kleinbetrieb nicht existenzbedrohend. Wenn man nur die Kernfeatures braucht, ist es sogar kostenlos.

Und für den Locky ist derweilen Sandboxie überall installiert. Ist nicht ideal, da das Handling doch ein wenig Gefühl voraussetzt, aber mit Verschlüsseln ist da halt nichts mehr.

Es ist auch bei Kleinbetrieben ohne Probleme machbar. Nur will man halt in kleinen Betrieben nicht gerne dokumentiert und nachvollziehbar arbeiten. Nur wenn ich mir dann die PCs dort ansehen, dann kannst sie eigentlich blind neu aufsetzen, weil du nicht sicher sein kannst, ob das nicht schon kompromittiert ist.

 

[SteamOS]

Irgendwie finde ich solche Viren etc. gut, da sie 1) Sicherheitslücken und Gefahren aufzeigen und 2) hoffentlich das Verhalten der Internetnutze langfristig ändern.

 

[mrieglhofer]

Naja, mit dieser Argumentation finde ich auch Verkehrsunfälle toll, weil man da auch draufkommt, was man besser machen kann. Bei Operationen funktioniert das auch recht gut ;-)

 

[IRON67]

Viren sind nicht mit Unfällen zu vergleichen. Sie dienen einem konkreten Zweck wie jede andere Software auch. Wenn du sie schon mit irgend etwas vergleichen willst, vergleiche sie mit Waffen.

 

[Anmeldeblödsinn]

Richtig, allein die Zertifizierungen. Bei den Maschinensteuerungsrechnern ist ALLES abgedreht, auch die Windowsupdates, sonst ist das nicht mehr Zertifiziert. Schräg aber bitte.

Das mit dem Einfrieren kannst du (oder konntest, da nur bis XP lauffähig) auch mit SteadyState von Microsoft machen. Bei jedem Reboot spielt es quasi das Image wieder zurück. Blöd ist nur das die meisten neuen Programme bei einem fehlerhaften Update einfach GAR nicht mehr starten. Klar, kann man das mit Image lösen, aber jeden Tag mal mehrere Minuten bis zur halben Stunde warten bis alles up-to-date ist, naja.

Cool, das Programm kannte ich noch nicht. Hatte nur mal mit ThinApp zu tun aber das ist ja leider wirklich sehr teuer. Blöd ist meist nur die Möglichkeit Daten auszutauschen. NTCS zB holt sich Daten vom Exchange/Outlook, macht Auswertungen über Excel, oder importiert PDFs für das Archivierungssystem, dh es braucht eigentlich auf alles Zugriff wo nur geht.

Programme machten wir mal testhalber über MSI mit den GPOs, ist aber alles nicht so das Wahre. NetInstaller war mal toll, die alte Version aber man musste halt immer wieder was anpassen. PDQ muss ich mir mal anschauen.

Wie ist das mit Sandboxie wenn man zb Files herunterlädt? Man kommt ja nicht mehr aus dem "Käfig" raus, oder? Für kleine Programme sicher brauchbar.

Hauptproblem ist halt "das zahlt der Kunde nicht, das soll nur funktionieren". Da hast du bei 10 Rechnern keinen Einzigen Gleichen Rechner, oder bei 100 vielleicht 10-15 verschiedene Systeme, alle haben andere Programme drauf und da ist von W2K, XP bis 10 alles mal dabei. Da wirds halt gruslig.

 

[mrieglhofer]

Naja, ich mache das ja nur mehr hobbymässig. Aber alle PCs kommen von einem Golden Image und werden in dokumentierten Schritte weiterentwickelt und jeweils dazwischen eingefroren. Wem das nicht passt, der darf gerne zu jemanden Anderen gehen. Sonderwünsche mache ich dann nur virtualisiert. Ein Fall, da hat jemand noch eine Publisher 98 Lizenz und will den Nutzen. Der installiert das Clipboard in c:\ und braucht dort Schreibrechte ;-). Unter Cameyo kann er hinschreiben wo er will und in Wirklichkeit landet das dann in einem von mir definierten Verzeichnis.

Wenn du nur Userrechten hast, machen die Programme normal keine Updates, weil sie ja nichts schreiben können. RebootRestoreRX oder Deepfreeze machen das einfacher, die schreiben die Daten quasi wie ein Snapshot eines NAS und werfen den dann weg. Daher dauert das bei Hochfahren ein paar Sekunden. Installationen oder Updates hängen vom Produkt ab, entweder einfach als Admin installieren und dann eine neue Baseline schreiben oder aufgetaut starten, verändern und eingefroren starten. Enterprise Versionen sind eleganter.

Bei App Virtualisierung kannst ja festlegen, ob isoliert, beschränkter Zugriff oder Vollzugriff. Ebenso gibt es natürlich einen Austausch und du kannst eh ein anderes Programm starten, das dann im virtualisierten Kontext läuft. Oder man virtualisiert die ganze notwendige Kette. Ich verwende es eher für die 1000 kleinen Tools, die das System sonst zumüllen.

MSI verteilen ist halt leider dadurch aufwändig, da oft keine funktionierende Silent Installer existieren und man daher die selbst machen muss. Das ist dann bei 5 PC sinnlos. Da greife ich dann auch in der Nacht in die Tasten und installiere per RDP.

Sandboxie: ideal für Browser oder E-Mail. Bei den E-Progs kann man da schon Verzeichnis angeben, wo die Mails landen sollen. Das kann aber dann natürlich auch zerstört werden. File in bestimmten Verzeichnissen werden beim Schließen oder nach Ende des Downloads angeboten, dass man sie wirklich speichern kann. Oder über die Zwischenablage von einem Sandboxie Explorer zu einem offenen Explorer. Das meinte ich mit Gefûhl ;-) Aber das muss man sich halt davor überlegen und zwingen kann man nur mit der Kaufversion.

 

[Anmeldeblödsinn]

Coole Ansätze. Werd ich mir mal näher anschauen. Vielleicht haben die ganzen Verschlüsselungstrojaner doch noch etwas Gutes, und sei es nur um ein paar Ressourcen in Richtung Sandbox/Virtualisierung zu schieben .

 

[ceVoIX]

Verstehe immer noch nicht wieso Leute E-Mail Anhänge aus unbekannten Quellen öffnen. Ich meine die Verbreitung von Viren über E-Mails ist nicht neu, davon sollte jeder der Online unterwegs ist schon einmal von gehört haben. Und das in Deutschland und Frankreich so viele betroffen sind, zeigt mir, das dort die meisten nicht nachdenken, verlassen sich einfach blind auf ihre Internetsecruity und AV Scanner. Vielleicht sollte man den Online Zugang erst frei schalten, wenn die Leute einen Internet-Führerschein erfolgreich absolviert haben, wo auch sowas behandelt wird.