News Locky: Mit Backups vor den Krypto-Trojanern schützen

[Little-Joe]

Mal eine Frage am Rande:
Wenn ich auf der NAS (Synology) Versionsverläufe und Papierkorb aktiviert habe, bin ich doch eigentlich auch bei Netzwerkshares auf der sicheren Seite oder?

 

[h00bi]

Dank externem Anbieter für Filterung mit mehreren Engines ist unsere Firma bisher verschont geblieben.
Angst habe ich mehr vor der drive-by download Variante oder Java / Flash Exploits. Leider braucht der ein oder andere User den Dreck noch.

 

[Xanta]

Weiß nicht genau wieviel Locky verlangt, jedoch variiert das zwischen 500€ und 2000€ Bitcoins.

 

[karamba]

Perfektes Beispiel dafür, dass Raid1 eben nicht mit einem Backup verwechselt werden darf. Raid Spiegelung dient der Verfügbarkeit und nicht als Backup.

 

[Sturmwind80]

Die aktuelle Version verlangt nur 0.5 bis 1 Bitcoin und das sind 190-380€. Ist also eine relativ geringe Summe die manche User und Firmen sicher bereit sind zu zahlen. Ich habe aber noch nichts davon gehört, dass die Daten danach wieder alle da sind und das mit dem Key funktioniert.

Außerdem kann man sich dann nie sicher sein, ob die Maleware selber auch weg ist.

 

[Creati]

Perfektes Beispiel dafür, dass Raid1 eben nicht mit einem Backup verwechselt werden darf. Raid Spiegelung dient der Verfügbarkeit und nicht als Backup.

Und auch ein perfektes Beispiel dafür, dass es als backup nicht reicht alles nur auf einem NAS zu haben, sondern noch auf einem "Offline-Medium" wie einer externen Festplatte. Idealerweise wird diese auch außerhalb des Hauses aufbewahrt, um Bränden, etc. zu entkommen.

 

[Inxession]

Das bleibt sicher verschlüsselt.

Wenn jemand wirklich ein Tool bekommen würde, welches den Trojaner aushebelt und die Daten wieder lesbar macht, dann würde derjenige das Tool doch sofort weiter geben und Locky wäre obsolet.

Eine andere Variante ist im Prinzip nicht möglich ... denn wenn es ein Online Service machen würde, wären ja die Täter sofort bekannt.

 

[Anmeldeblödsinn]

Das bleibt sicher verschlüsselt.

Wenn jemand wirklich ein Tool bekommen würde, welches den Trojaner aushebelt und die Daten wieder lesbar macht, dann würde derjenige das Tool doch sofort weiter geben und Locky wäre obsolet.

Eine andere Variante ist im Prinzip nicht möglich ... denn wenn es ein Online Service machen würde, wären ja die Täter sofort bekannt.

Naja, sag das nicht. Es kann schon sein das die Daten wiederherstellbar sind. Die Verschlüsselung ist ja jedes Mal eine Andere. Du kannst das Tool natürlich öffentlich machen, bringt nur nix, da es eben nur für deine Infektion funktioniert.

Zum Thema Makros. Also wir haben Exceldateien mit Makros bekommen wo der Locky drinnen war. Ganz Lustig, da gerade Makros in Excel was ganz alltägliches sind. Tja, der Absender war korrekt, nur eben der Anhang nicht.

Zum Thema Geschwindigkeit: ca 3 Minuten, 6000 Files (SAS Array), nicht witzig. VSS half jedoch und somit war das ganze dann wieder "rettbar".

Zum Thema Backup: Tja, ein Backup ist halt leider auch keine 100%ige Lösung aller Probleme. Der Locky schnappte sich einen Share für das Buchhaltungsprogramm. Nun hatte ich von vor 3 Stunden einen Snapshot, doch keiner wusste mehr so gaaanz genau was er denn heute schon gebucht hatte. Ende vom Lied, Backup der Nacht und den halben Tag als "is halt so" abgeschrieben. Nur weil man die Daten hat, heißt es noch lange nicht das sie brauchbar sind .

Zum Thema Jscript: Jscript hat NICHTS mit Java zu tun und Jscript hat NICHTS mit JAVASCRIPT zu tun. JScript ist "Windows Scripting Host"-Files https://de.wikipedia.org/wiki/JScript .

Der Locky hat übrigens auch Shares erwischt, die nicht über ein Netzlaufwerk verbunden waren. Man sollte also mit "net share" ganz genau mal nachsehen, welche Shares denn der Server so wirklich hat und dann halt, soweit es geht, einschränken. VSS einschalten und MEHRERE Versionsstände haben. Es gab schon Gerüchte das es eine schlummernde Verision des Locky geben soll, die erst zeitverzögert zuschlägt.

 

[Acrylium]

Erkennen Virenscanner diesen Locky eigentlich gar nicht?

 

[h00bi]

Das Problem ist, dass Locky nicht im Word Dokument steckt sondern dass Locky über das Makro nachgeladen wird.
Erst DANN kann eine AV Software Locky erst erkennen. Mittlerweile sollte jeder AV Software passende Signaturen haben, aber vor 4-5 Tagen war das eben noch nicht der Fall.

 

[IRON67]

Bis ihn alle AVs in allen seinen bis dahin existierenden Varianten zuverlässig erkennen, vergehen Wochen bis Monate. Bis dahin ist er flächendeckend erfolgreich verteilt und selbst dann gibts noch Leute, die eher bereit sind, ihren Virenscanner abzuschalten, wenn in einer Mail steht, dass sie das tun sollen, um einen Anhang zu öffnen, als dass sie mal nachdenken.

 

[Creati]

Das bleibt sicher verschlüsselt.

Wenn jemand wirklich ein Tool bekommen würde, welches den Trojaner aushebelt und die Daten wieder lesbar macht, dann würde derjenige das Tool doch sofort weiter geben und Locky wäre obsolet.

Eine andere Variante ist im Prinzip nicht möglich ... denn wenn es ein Online Service machen würde, wären ja die Täter sofort bekannt.

Es gab mehrere Berichte über Ransomsoftware, wo nach erfolgter Zahlung die Daten wieder erfolgreich entschlüsselt werden konnte. Das Tool zur Entschlüsselung ist ja sozusagen einzigartig, da zur Entschlüsselung bei jedem Opfer ein anderer Schlüssel verwendet wird. Dank Tor und Bitcoin kann das gesamte Vorgehen (Kommunikation mit dem Opfer und Zahlung des Opfers) relativ anonym abgewickelt werden. Würde sich rumsprechen, dass das Entschlüsseln nicht geht, würde auch keiner mehr zahlen.

 

[Ilsan]

Und auch ein perfektes Beispiel dafür, dass es als backup nicht reicht alles nur auf einem NAS zu haben, sondern noch auf einem "Offline-Medium" wie einer externen Festplatte. Idealerweise wird diese auch außerhalb des Hauses aufbewahrt, um Bränden, etc. zu entkommen.

Ach da kann ich ganz entspannt sein. Benutze ein ZFS Mirror (Raid1). Dank Snapshots kann da nicht viel passieren, denn diese sind von der Workstation aus eh nur Readonly und damit schreibgeschützt, sowohl für meinen Useraccount in Windows als auch für jede Art von Virus auf meinem Windows Rechner. Und bei täglichen Snapshots wäre der Schaden dann doch eher minimal.

Spricht auch dafür dass man virtualisieren sollte und Aufgaben klar trennen. Ne Storage VM kümmert sich dann ausschließlich um Storage ohne dass man da irgendwelche andere Software noch groß installiert die man aus irgendwelchen tiefen des Internet irgendwo her gedownloaded hat. Bei meinem NAS ist wirklich nur quasi das OS drauf. Irgendwelche "Downloadtools" oder ähnliches laufen in einer eigenen VM wo sie keinen Schaden anrichten können falls dort mal irgendein Virus sich einschleichen sollte.

 

[Inxession]

Es gab mehrere Berichte über Ransomsoftware, wo nach erfolgter Zahlung die Daten wieder erfolgreich entschlüsselt werden konnte. Das Tool zur Entschlüsselung ist ja sozusagen einzigartig, da zur Entschlüsselung bei jedem Opfer ein anderer Schlüssel verwendet wird. Dank Tor und Bitcoin kann das gesamte Vorgehen (Kommunikation mit dem Opfer und Zahlung des Opfers) relativ anonym abgewickelt werden. Würde sich rumsprechen, dass das Entschlüsseln nicht geht, würde auch keiner mehr zahlen.

Wird wohl so sein.
Ich lese wenig darüber ...

Nur das der Programmierer sich die Arbeit macht, jegliches Entschlüsselungstool einzigartig zu machen, kommt mir doch etwas hochgegriffen vor. Es muss ein bestimmter Algorhythmus dahinter liegen, sonst wäre der Aufwand doch viel zu groß

 

[crvn075]

Hallo,

ich würd ihn mit DBAN shreddern und dann Windows neu aufsetzen.

Nach drei mal 0/1 kann kein Trojaner mehr überleben.

Das ist übertrieben. Es sollte klar sein, dass einmal überschreiben völlig ausreichend ist, auch hier überlebt kein Trojaner mehr.
Es würde theoretisch sogar ausreichen, den Schädling physikalisch auf der Platte zu lassen und nur das MBR zu schreddern (erstens, um Partitionen unbrauchbar zu machen, zweitens um Malware loszuwerden, die sich im MBR eingenistet haben könnte). Aber einmal überschreiben ist natürlich besser, könnte ja sonst jemand auf die Idee kommen, mit Recovery Tools rumzuhantieren.

 

[hrafnagaldr]

Es gab schon Gerüchte das es eine schlummernde Verision des Locky geben soll, die erst zeitverzögert zuschlägt.

Das war die Version, die Montag letzter Woche zugeschlagen hat. Die war teilweise schon über eine Woche auf den Rechnern, Locky wurde generell aber erst an diesem Montag scharf geschaltet.

Der Locky hat übrigens auch Shares erwischt, die nicht über ein Netzlaufwerk verbunden waren.

Hab ich auch schon geschrieben. Netzlaufwerke müssen nicht verbunden sein, die Zugriffsrechte genügen, er findet die Shares von alleine.

 

[Ilsan]

Es muss ein bestimmter Algorhythmus dahinter liegen, sonst wäre der Aufwand doch viel zu groß

Nein, einfach pro befallenen PC ein eigener Key und fertig ist.

 

[strex]

Nur das der Programmierer sich die Arbeit macht, jegliches Entschlüsselungstool einzigartig zu machen, kommt mir doch etwas hochgegriffen vor. Es muss ein bestimmter Algorhythmus dahinter liegen, sonst wäre der Aufwand doch viel zu groß

Was soll denn das aufwendig sein. Locky infiziert Rechner, fragt einzigartigen RSA Schlüssel vom Server der für diesen Rechner erzeugt wird. Dann wird per AES 128 verschlüsselt. Wenn man bezahlt, wird das vorher geschriebene Programm zur Entschlüsselung mit dem Schlüssel aus der DB für diesen Rechner bestückt und versendet. Einmal geschrieben hat das 0 Aufwand und erfolgt vollständig automatisch. Auch die Bezahlung, Verifikation und Versand geht voll automatisch.

 

[Lars_SHG]

Würde sich rumsprechen, dass das Entschlüsseln nicht geht, würde auch keiner mehr zahlen.

wer zahlt, dem ist schlicht nicht mehr zu helfen!
Gerade wenn jemand zahlt, ist doch für die Betreiber dieser kriminellen Techniken ein Anreiz gleich den zweiten "Locky" auf den Rechner zu setzen - oder aber den ersten aktiv zu lassen, der erst in einer weiteren Woche / Monat wieder aktiv wird!

 

[Creati]

@Lars_SHG
Wenn ich vor der Wahl stehe, ob ich meine Familienfotos der letzten 15 Jahre für 200€ wiederbekomme oder gar nicht, dann investiere ich die 200€. In dem Moment ist es mir herzlich egal, ob durch dieses Treiben dann die Virenautoren weiter motiviert werden. Der einzelne opfert sich halt nicht für die Gesellschaft sozusagen. Anwender, welche gezahlt haben, haben das Risiko kennen gelernt und lassen sich dann denke ich mal beraten zu dem Thema Datensicherung. Nach solch einem Virenbefall sollte der Rechner sowieso einmal platt gemacht werden, um genau sowas auszuschließen (Zweitinfizierung, etc.).

Ich stelle Dir einmal die Frage: deine sämtlichen digitalen Daten sind verschlüsselt, Backups gibt es auch keine. Würdest Du nun das Geld zur Entschlüsselung zahlen oder auf alle deine digitalen Daten verzichten, um den Virenautoren keinen Anreiz mehr für ihr Treiben zu geben? Wärst Du sozial dein digitales Hab und Gut für das Allgemeinwohl zu opfern?