Новая атака шифратора Shade нацелена на российских бизнес-пользователей

[fmj]

«Информация.js»

C:\ProgramData\Windows\

Т.е. в организациях тупо нет админов, которые бы настроили srp или AppLocker.
Или же используются какие-то уязвимости(но о них в статье ни слова)?

[Alexsandr_SE]

Во многих нет.

[amarao]

А почему windows исполняет javascript откуда попало?

Вот так вот выглядит попытка выполнить javascript в linux. Страшно, да?

[imanushin]

1. Для Linux будет sh скрипт, а потом что-нибудь из списка.
2. На обеих системах проблем не будет, если в пользовательской папке есть «запрет на запуск».

[amarao]

$ echo 'echo hello' >1.sh
$ ./1.sh
bash: ./1.sh: Permission denied

[ProgMiner]

NTFS умеет в права на исполнение файлов?

[fmj]

Умеет. Можно явно запретить, например, cscript и wscript, которые и являются по дефолту исполнителями .js.

[alex-khv]

Потому что это ru.wikipedia.org/wiki/JScript

[amarao]

А почему оно исполняется без выставления exec-флага?

[Xalium]

откуда в винде exec-флаг?

[amarao]

Из NTFS.

Traverse & execute звучит как обычный chmod +x для линуксоида.

[Xalium]

ну в таком случае скорее всего из-за того, что в винде js считается все-таки не исполняемым файлом, а просто файлом, открываемым другой исполняемой прогой, которая находится в системной папке.
По хорошему, в винде надо бы ввести какой-то ключ реестра, указывающий что файлы с такими-то расширениями являются исполняемыми (как раз для того, чтобы от этого Traverse & execute был толк). Но, насколько помню, пока такого нет.

[amarao]

В линуксах этот вопрос давно решён. Интерпретаторы могут исполнять только файлы, помеченные на исполнение. Можно запустить вручную (bash foo.sh), но ./foo.sh будет исполнен только если есть разрешение на запуск.

А главное: почему у винды ВСЕ файлы всегда исполняемые? Даже иконки и docx-файлы. Что за глупость?

[Xalium]

Интерпретаторы могут исполнять только файлы, помеченные на исполнение.

только для такого исполнения файлов в их начале нужно прописывать путь к интерпретатору.

А главное: почему у винды ВСЕ файлы всегда исполняемые? Даже иконки и docx-файлы. Что за глупость?

ну скорее не исполняемые, а обрабатываемые тем и так, что прописано в реестре и обработчике конкретного файлового менеджера.

[amarao]

1. Прописывать не обязательно, можно зарегистрировать в ядре тип и им обрабатывать (так, например, jar'ники можно делать прям исполняемыми).

2. Исполняемые. У них есть разрешение на запуск (execute) — проверьте сами в свойствах любого файла.

[Xalium]

Можно запустить вручную (bash foo.sh), но ./foo.sh будет исполнен только если есть разрешение на запуск.

а что-нибудь типа «openoffice ./file.odt» сработает? Если да, то в чем отличие от «bash ./foo.sh»? Во 2-м случае сам bash будет определять права на запуск или все-же система каким-то образом?

[amarao]

Сработает. Разница в том, что одно — аргумент командной строки другой программы, а другое — само себе «программа» у которой прописан интерпретатор.

Именно для решения такой глупости (как не-запуск каких попало файлов) оно отлично и подходит.

[Xalium]

а другое — само себе «программа» у которой прописан интерпретатор.

ну так а кто в случае bash будет определять права на запуск?
Т.е. или сам bash или система (т.е. кто из них будет отфутболивать в случае отсутствия прав на запуск).
Но в случае системы где-то должно быть прописано, что bash является интерпретатором и обламывать его запуск.

[Xalium]

и в случае «bash ./foo.sh» — это тоже аргумент командной строки другой программы.

[alexanster]

начинается с получения жертвой письма на русском языке с ZIP-архивом info.zip или inf.zip во вложении.
…
В ZIP-архиве находится JavaScript-файл под названием «Информация.js

Если точнее, то в архиве info.zip находится второй архив — info.zip или inf.zip, а вот уже в нём — Информация.js, и это первый встреченный мною случай, когда атакующие делают двойной архив, потому что уже все (ну разве что за исключением Яндекса), без разбора банят письма, содержащие исполняемые файлы или скрипты в явном виде или в архиве, а вот двойное вложение пока разбирать не научились. Вангую, что со временем все станут и их резать, и тогда появятся вирусы, трижды упакованные в архив.

[Alexsandr_SE]

Есть варианты. За последнее время получили несколько десятков этих писем. В иной день приходит около 20шт. Проверил часть, все проверенные из России. Видать боты.
Но есть вопросы. Откуда взялись адреса нашей небольшой конторы? Возможно чей-то ящик кому мы отправляем почту сломали, но это только вариант.
Есть варианты с вложением и названием архива и вложения. Есть архив, есть архив-архив и архив-архив-архив. Сегодня к примеру тема поменялась. Было "подробности заказа", стало "уточнение заказа" (если правильно вспомнил, ибо все удалил не глядя особо).
Сам js постоянно меняется. С утречка ночные версии почти не детектятся, Eset в т.ч. не видит. Только спустя несколько часов ловит. Знаю уже нескольких пострадавших :(
Можно ли расшифровать данные или они не поддаются расшифровке никем кроме автором вируса? И сколько автор хочет для расшифровки. Последнее просто интересно.

[fmj]

Сам js постоянно меняется. С утречка ночные версии почти не детектятся, Eset в т.ч. не видит.

Не проще ли запретить запуск всего не доверенного?

[Alexsandr_SE]

Бывает не проще. Пора работает запрет по вложениям, пару уровней архива видит.

[fmj]

Бывает не проще.

Много кривого софта?

[Alexsandr_SE]

Очень. кривой тупой и древний как мамонт замороженный.

[fmj]

По хешу можно в белый список добавить. Или своим сертификатом подписать и создать правило по сертификату.

[captd]

Думаю, есть смысл блокировать эту заразу по расширению *.js, на самом почтовом сервере.

[Alexsandr_SE]

Многие антивирусы/фильтры не проверяют дальше первого уровня вложения архивов.

[Andronas]

Наверное потому что вложенный архив может оказаться многократно вложенным и завалит сервер

[Alexsandr_SE]

Не завалит В конце концов могут быть настройки.

Сегодня новая модификация появилась. Вместо вложения идет ссылка на облачное хранилище. Думаю как это лочить :(

[fgmatrix]

Принудительное открытие .js .hta и .vbs блокнотом поможет от этой заразы?

[fmj]

Еще можно отобрать права на исполнение cscript и wcscript у пользователей(или создать свою группу, включив нужные учетки и выставить запрет группе).
Или настроить белый список при помощи SRP или AppLocker.

[fmj]

Дополню про .hta — его по дефолту выполняет mshta.

[Megeon]

А есть ли способ дешифровки этого шифровальщика?

[SnowSin]

Сегодня по другому начали высылать, офис 365 + office 365 threat protection пропускает.