Comments 19
А нет ли какой-нибудь информации в какой папке создается и откуда запускается самый первый файл DB349B97C37D22F5EA1D1841E3C89EB4? Особенно интересно в какой момент повышаются права. Если изначально файл создается где-нибудь в temp или appdata и уже оттуда запускается и начинается первый шаг это одно, а вот если сразу в папке windows, то это вообще засада…
Значит, нужно сделать это самому ;). Что будет, если создать папку в C:\Windows\ c именем mssesvc.exe, положить в неё что либо, убрать права? Дополнительно можно создать мьютексы-индикаторы заражения (утилита на гитхабе препятствует запуску шифровальщика). Кто умеет, может потом прикрутить мониторинг исчезновения файла в указанной занятой папке и возвещать любыми средствами об атаке. Судя по тексту, функционал червя не заботится о корректности работы, и, возможно уже занятое имя (имена) файлов будет препятствовать запуску.
Не видел информации — у зараженных какие-нибудь средства защиты стояли, кто-нибудь в курсе?
А то получается, что или пострадавшие организации экономят на защите или средства защиты не справились.
Какое-то странное молчание по этому вопросу.
А то получается, что или пострадавшие организации экономят на защите или средства защиты не справились.
Какое-то странное молчание по этому вопросу.
По целому ряду причин информация о том, какие средства защиты стояли, не разглашается.
Вариантов немного (возможно в сочетаниях): либо средства защиты не были обновлены, либо не был пропатчен Windows, либо текущие средства защиты не смогли предотвратить заражение.
Вариантов немного (возможно в сочетаниях): либо средства защиты не были обновлены, либо не был пропатчен Windows, либо текущие средства защиты не смогли предотвратить заражение.
Вот эта тишина и настораживает.
Особенно непонятно, почему домен для остановки атаки зарегил какой-то парень из Британии, а не тот же MS или другая компания, кто рапортует о наблюдении за атакой чуть ли не с утра 12 числа.
Люблю, когда логично. Понимаешь, что тебя разводят, но хотя бы не как дурака, а как уважаемого человека.
А тут все не логично и странно :)
Особенно непонятно, почему домен для остановки атаки зарегил какой-то парень из Британии, а не тот же MS или другая компания, кто рапортует о наблюдении за атакой чуть ли не с утра 12 числа.
Люблю, когда логично. Понимаешь, что тебя разводят, но хотя бы не как дурака, а как уважаемого человека.
А тут все не логично и странно :)
Вот эта тишина и настораживает.
Поэтому мы и пишем в своих статьях, что на самом деле еще очень много остается вопросов без ответов.
А потому опубликованный анализ пока предварительный.
Анализ всей ситуации продолжается и уже появляются новые интересные факты и угрозы, использующие эту же уязвимость, но несколько иначе. Так что видимо все еще впереди. Думаю, что мы в ближайшее время об этом напишем.
Интересно столько написано статей о WannaCry А как они получают информацию кто заплатил? Столько зараженных машин и надо контроль вести учета кого разблокировать. Скорее всего они каким то образом связываются с клиентом скажем так? Или в вирусе прописано с какого кошелька отправлено? Как происходит вся система оплаты?
Ткну «пальцем в небо». Может быть, не КНДР, а Германия? При поддержке Нидерландов…
18 мая в 14:00 (мск) состоится специальный вебинар, посвященный экспертному анализу шифровальщика WannaCry: что это такое, этапы заражения, средства восстановления. Анатомия этапов выполнения атаки и ее распространение.
Ведущий: Луис Корронс (Технический директор PandaLabs)
Вебинар будет проводиться на английском языке.
Подробности и регистрация на вебинар https://habrahabr.ru/company/panda/blog/328956/
Ведущий: Луис Корронс (Технический директор PandaLabs)
Вебинар будет проводиться на английском языке.
Подробности и регистрация на вебинар https://habrahabr.ru/company/panda/blog/328956/
«Почему АНБ не сообщило о данной критической уязвимости в Microsoft?»
1. Ответ на этот вопрос очевиден — чтобы иметь лазейку для себя.
2. Возможно и сообщили, но при этом «попросили» не затыкать пока факт наличия не вскроется.
1. Ответ на этот вопрос очевиден — чтобы иметь лазейку для себя.
2. Возможно и сообщили, но при этом «попросили» не затыкать пока факт наличия не вскроется.
Это все конечно мило… но блин, кто-нибуть может объяснить в чем такая крайняя необходимость сидеть 445тым портом наружу? Уже же были истории с Sasser и MSBlast, или типа время идет, и ничего не меняется? xD
Потому что это очень удобно и просто для использования, есть масса решений для совместной работы пользователей через расшаренную папку, например, в Revit. В Azure есть даже такая услуга, расшаренная папка нужного размера, очень удобно и недорого.
Наверное, особо важные данные лучше держать в linux-системах, например ubuntu. А сравнение с томагавками некорректно. Томагавки охраняются и доступ к ним только военным, да и и то не всем. А дыра в Windows свободна — лезь кто хочет. Сравнить надо с домом, где есть чёрный ход без замка, но прикрыт ветками, мусором и не приметный. Но кто угодно, если его найдёт (в том числе и случайно) попадёт к вам.
Хотите расшифровать файлы читайте здесь: Расшифровать файлы после WannaCry
Sign up to leave a comment.
Атака семейства шифровальщиков WannaCry: анализ ситуации и готовность к следующим атакам