Хакерская атака, «Киевэнерго», «Ощадбанк», «Нова пошта» и «Укртелеком» Опции

[Суничка]

Petya Ransomware Попередній Аналіз CVE-2017-0199 + MS17-010

«Киевэнерго», «Ощадбанк», «Нова пошта» и «Укртелеком» подверглись хакерской атаке. Волна идет по всей Украине
Энергетические компании Украины подверглись массированной атаке вируса-шифровальщика – аналога WannaCry

Вирус называется очень просто и оригинально – Petya.
Подробнее про WannaCry:

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «

https://ru.wikipedia.org/wiki/WannaCry
Вредоносная программа сканирует в Интернете узлы в поисках компьютеров с открытым TCP-портом 445, который отвечает за обслуживание протокола SMBv1. Обнаружив такой компьютер, программа предпринимает несколько попыток проэксплуатировать на нём уязвимость EternalBlue и, в случае успеха, устанавливает бэкдор DoublePulsar[9], через который загружается и запускается исполняемый код программы WannaCry. При каждой попытке эксплуатации вредоносная программа проверяет наличие на целевом компьютере DoublePulsar, и в случае обнаружения загружается непосредственно через этот бэкдор.

Проверить, подвержены ли вы атаке: https://2ip.ru/check-port/?port=445
Порт должен быть закрыт.
Для прекращения распространения вируса нужно немедленно закрыть TCP-порты 1024–1035, 135 и 445.

Список павших:
Медиа: ATR, 24 канал, , УМХ (football.ua), Корреспондент, Радио "Люкс", Подробности, Тонис, edipresse.
Связь: Vodafone, Киевстар, Астелит (lifecell) – к-к-комбо; Датагруп (Воля), Укртелеком.
Коммерция: Эпицентр, Новая линия, Новус, Фоззи, Synevo, Укрпочта, Мист-Экспресс, Киевводоканал, Цитрус, Film.ua, СтарМедиа, ДТЭК (Метинвест).
Транспорт: а/п «Борисполь», WOG, KLO, Укрзалізниця, Антонов.
Государство: Кабинет Министров Украины, Министерство инфраструктуры Украины, Чернобыльская АЭС.
Нацбанк тоже зацепило. Список, судя по всему, будет пополняться.
Имхо, убытки будут на десятки миллионов.

Тем временем подзалетели не только мы:
Український вірус поширюється по світу - The Independent
На даний момент відомо про ураження систем судноплавної компанії Maersk і британської рекламної компанії WPP.

Возможное лечение:

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «

На компе запустился с загрузочной флешки и почистил Temp'ы, запустил DrWeb, определил как MbrLocker. Удалил угрозу и компьютер запустился. Возможно, это то же самое что проделать исправление загрузочной записи с командной строки. Файлы целые.

Сообщение отредактировал DemirelUA - Jun 28 2017, 12:26

[VladRus]

Как-то... сначала запретили 1С, а теперь на нее атаки пошли, хм...

[roleg]

Игры от Mail.Ru следующие по списку...
Crossout во время игры сканил диски, его выдала 100% загрузка ЦП.
Proccess Monitor показал массовый вызов FindNextFile.

[mak_v_]

Это печально (с)

Сообщение отредактировал mak_v_ - Nov 7 2017, 17:19

[Console]

Игры от Mail.Ru следующие по списку...
Crossout во время игры сканил диски, его выдала 100% загрузка ЦП.
Proccess Monitor показал массовый вызов FindNextFile.

Меил Ру, Амиго, яндекс бар....
Три всадника апокалипсиса...

[southman]

Меил Ру, Амиго, яндекс бар....
Три всадника апокалипсиса...

Кроме Я.бара и Я.браузер тот еще подарок, а им многие будут пользоваться, чтоб сидеть во вконтачике родимом. А еще есть такое УГ как Спутник (браузер), тоже редкий троян.

НО, я все жду когда всех юзеров-аникейшиков ломанут через Тимвьювер
признайтесь, как часто вы слышали "классная программка, так удобно и быстро можно друг другу помогать с настройкой - все одмины ее ставят, суперррр"

[roleg]

Игры от Mail.Ru следующие по списку...
Crossout во время игры сканил диски, его выдала 100% загрузка ЦП.
Proccess Monitor показал массовый вызов FindNextFile.

Теперь та же игра начала кортану юзать для сбора сведений с компа.

09:14:43,9248394    Crossout-D3D9.exe    3748    QueryNameInformationFile    C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\SearchUI.exe    SUCCESS    Name: \Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\SearchUI.exe
09:14:43,9249532    Crossout-D3D9.exe    3748    CreateFile    C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\SearchUI.exe    SUCCESS    Desired Access: Generic Read, Disposition: Open, Options: Synchronous IO Non-Alert, Non-Directory File, Attributes: R, ShareMode: Read, AllocationSize: n/a, OpenResult: Opened
09:14:43,9250612    Crossout-D3D9.exe    3748    QueryStandardInformationFile    C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\SearchUI.exe    SUCCESS    AllocationSize: 4 313 088, EndOfFile: 9 372 512, NumberOfLinks: 2, DeletePending: False, Directory: False

я такой наглости еще не видел

пришлось ставить хуки на все шпионские вызовы
посмотрим что она ищет

Сообщение отредактировал roleg - Nov 8 2017, 9:45

[Tiger]

НО, я все жду когда всех юзеров-аникейшиков ломанут через Тимвьювер
признайтесь, как часто вы слышали "классная программка, так удобно и быстро можно друг другу помогать с настройкой - все одмины ее ставят, суперррр"

А чем тебя TW не устроил? Стоит на не критичных машинах и в DMZ. 2х факторная аутентификация везде стоит и не вижу проблем для беспокойства.
Критичные системы ясно что только по VPN и с Password Privileges Management имеют доступ.

[roleg]

НО, я все жду когда всех юзеров-аникейшиков ломанут через Тимвьювер

10:37:25,5471374    Crossout-D3D9.exe    5612    ReadFile    C:\Program Files (x86)\TeamViewer\TeamViewer.exe    SUCCESS    Offset: 0, Length: 42 012 312, Priority: Normal

уже не смешно

P.S. может это античит у них такой, только нафига ему екзешник тимвьювера читать то?

да, походу античит по процессам пробежался, хэш сумы получил и сверил по базе

Сообщение отредактировал roleg - Nov 8 2017, 11:20

[roleg]

WikiLeaks: ЦРУ через «Улей» замаскировалась под «Лабораторию Касперского»
https://journalist.today/wikileaks-cru-cher...sperskogo-foto/

то-есть ЦРУ подделала сертификаты!!! безопасности выданные Касперскому, создала вирус который маскируется под Касперского и взломала базы АНБ отправив информацию на поддельные сервера Касперского и сама выложила эти данные на викиликс ?

ЦРУ, ты сошла с ума?

мое мнение: Каспера взяли за жопу причем на горячую и он выкручивается используя викиликс

Сообщение отредактировал roleg - Nov 10 2017, 15:05

[Console]

Ребята... тут такое дело, для инфо.
Набрала Мама( работает в небольшом госучереждении), у всех сотрудников одновременно нод выдал меседж про блокировку атаки...
Увы это все что успели заметить...

Сообщение отредактировал Console - Nov 23 2017, 10:02

[BANDIT(filmmaniac)]

Киберполиция предупреждает о массовом распространении вируса-шифровальщика Scarab

Департамент Киберполици Национальной полиции Украины сообщил о начале массового распространения вируса-шифровальщика Scarab. Он впервые был обнаружен специалистами по кибербезопасности в июне 2017 года, а 24 ноября было зафиксировано его распространения с помощью крупнейшей спам-ботнет сети Necurs.

Отмечается, что специалисты по кибербезопасности установили факт рассылки через Necurs более чем 12,5 млн электронных писем, в которых содержались файлы с новой версией вируса-вымогателя Scarab. Вредоносное ПО было замаскировано под архивы с отсканированными изображениями. Пользователи при получении электронных писем видели, что к нему якобы были прикреплены файлы с изображениями отсканированных документов, например, «Отсканировано от Lexmark», «Отсканировано от HP», «Отсканировано от Canon», «Отсканировано от Epson». Эти письма содержали внутри архив 7Zip, с заархивированным Visual Basic скриптом. После его срабатывания на компьютер пользователя загружается и запускается EXE-файл вируса-вымогателя Scarab.

После успешного шифрования файлов пользователя вирус создает на рабочем столе и автоматически открывает текстовый файл с названием «ЕСЛИ ВЫ ХОТИТЕ ПОЛУЧИТЬ ВСЕ ВАШИ ФАЙЛЫ ОБРАТНО, ПОЖАЛУЙСТА, ПРОЧТИТЕ ЭТО.TXT»). Сумма выкупа в сообщении не указывается. Однако злоумышленники обращают внимание жертвы на то, что сумма выкупа будет увеличиваться со временем, пока пострадавший не свяжется с авторами Scarab по электронной почте или BitMessage.

Для уменьшения риска заражения техники вирусом Scarab, специалисты киберполиции рекомендуют пользователям тщательно и внимательно относиться ко всей электронной корреспонденции. Не стоит открывать такие приложения, даже если они поступили из надежного источника. Предварительно рекомендуется получать подтверждение передачи файлов от адресата другими доступными каналами связи (телефон, СМС, мессенджеры).

[Ахwell]

Will Ukraine Be Hit by Yet Another Holiday Power-Grid Hack?
https://www.theatlantic.com/technology/arch...tm_source=atltw

[drone]

Will Ukraine Be Hit by Yet Another Holiday Power-Grid Hack?
https://www.theatlantic.com/technology/arch...tm_source=atltw

Плач Ярославны, такой плач. США за 100 лет не сподобились создать единую энергетическую систему из-за чего сейчас вылазят проблемы. В США который год инфраструктура получает 2+ после оценки инженерным сообществом, а они все списывают на злобных хакеров­™. О чем они вообще плачутся в статье? Например об этом

For example, one high-value target in the United States would be large transformers, which enable the bulk of transmission of electricity. “They weigh hundreds of tons, cost millions of dollars, take months to build,” Lin says. A cyberattack on such transformers could result in power losses lasting for weeks or months if backup transformers were not in place—and they often aren’t.

О том что на критически важных площадках нет резервирования мощностей. Ну реально ж дебилы. Сначала они отменяют злачынные таталитарные госрегуляции, а потом удивляются с чего это вдруг все держится на авось в условиях когда корпорации выдавливают каждый центр профита? Да и у нас точно такая же картина учитывая что уровень инвестиций в основные фонды в годы незаможности никогда не превышал уровня крызысного 90-го года при злачынном таталитарном режиме. При этом "не превышал" - это еще мягко сказано учитывая что много лет он составлял 20-30% от 90-го года.
Воистину если бы Путина не существовало его нужно было бы придумать

Сообщение отредактировал drone - Dec 19 2017, 1:44

[roleg]

http://www.er.gov.ua/ нету уже час

[Greys]

http://www.er.gov.ua

открывается

[roleg]

открывается

уже да, и факсограмма пришла ТЕРМІНОВА про резервный канал с 2-мя ошибками, в дате и адресе почты

наверное IT-шники проспали

Сообщение отредактировал roleg - Dec 19 2017, 9:34

[Koka-ftp]

шо там? всё тихо у вас ?

[Tiger]

шо там? всё тихо у вас ?

Ммм? Есть новости?

[smartpc]

шо там? всё тихо у вас ?

Копим бабки на биткоины, чтобы расшифровать коллекцию порнухи на 2 Тб

[Koka-ftp]

Ммм? Есть новости?

да...один из банков был "атакован"....антивирь Trend Micro пропустил)