Хакерская атака, «Киевэнерго», «Ощадбанк», «Нова пошта» и «Укртелеком» Опции

[Суничка]

Petya Ransomware Попередній Аналіз CVE-2017-0199 + MS17-010

«Киевэнерго», «Ощадбанк», «Нова пошта» и «Укртелеком» подверглись хакерской атаке. Волна идет по всей Украине
Энергетические компании Украины подверглись массированной атаке вируса-шифровальщика – аналога WannaCry

Вирус называется очень просто и оригинально – Petya.
Подробнее про WannaCry:

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «

https://ru.wikipedia.org/wiki/WannaCry
Вредоносная программа сканирует в Интернете узлы в поисках компьютеров с открытым TCP-портом 445, который отвечает за обслуживание протокола SMBv1. Обнаружив такой компьютер, программа предпринимает несколько попыток проэксплуатировать на нём уязвимость EternalBlue и, в случае успеха, устанавливает бэкдор DoublePulsar[9], через который загружается и запускается исполняемый код программы WannaCry. При каждой попытке эксплуатации вредоносная программа проверяет наличие на целевом компьютере DoublePulsar, и в случае обнаружения загружается непосредственно через этот бэкдор.

Проверить, подвержены ли вы атаке: https://2ip.ru/check-port/?port=445
Порт должен быть закрыт.
Для прекращения распространения вируса нужно немедленно закрыть TCP-порты 1024–1035, 135 и 445.

Список павших:
Медиа: ATR, 24 канал, , УМХ (football.ua), Корреспондент, Радио "Люкс", Подробности, Тонис, edipresse.
Связь: Vodafone, Киевстар, Астелит (lifecell) – к-к-комбо; Датагруп (Воля), Укртелеком.
Коммерция: Эпицентр, Новая линия, Новус, Фоззи, Synevo, Укрпочта, Мист-Экспресс, Киевводоканал, Цитрус, Film.ua, СтарМедиа, ДТЭК (Метинвест).
Транспорт: а/п «Борисполь», WOG, KLO, Укрзалізниця, Антонов.
Государство: Кабинет Министров Украины, Министерство инфраструктуры Украины, Чернобыльская АЭС.
Нацбанк тоже зацепило. Список, судя по всему, будет пополняться.
Имхо, убытки будут на десятки миллионов.

Тем временем подзалетели не только мы:
Український вірус поширюється по світу - The Independent
На даний момент відомо про ураження систем судноплавної компанії Maersk і британської рекламної компанії WPP.

Возможное лечение:

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «

На компе запустился с загрузочной флешки и почистил Temp'ы, запустил DrWeb, определил как MbrLocker. Удалил угрозу и компьютер запустился. Возможно, это то же самое что проделать исправление загрузочной записи с командной строки. Файлы целые.

Сообщение отредактировал DemirelUA - Jun 28 2017, 12:26

[roleg]

Те у кого ключи с АЦСК Украина те сдают через медок. У меня буху пришлось виртуалку поднимать под медок, что б сдали всю отчетность.
Принимают на ура.
После 15го будем брать новые ключи у налоговой и искать альтернативу, пока смотрю в сторону e-doc-а, или Таксера.

а у меня главбух сам вызвался чтобы на его тачилку поставили, мол: "давайте, мне уже терять нечего"
а под сервер медка сделали 10-ку с локальной учеткой без инета, дадим его как нужно будет

Сообщение отредактировал roleg - Jul 8 2017, 6:09

[placebo]

ребятки, а где можно скачать...Петю, а то скучно ?

ну в смысле, есть он где-то в пробирке, чтобы затестить видит его антивирь или нет? И так чтобы если не видит, то не было яой. И чтобы кофе в конце приготовил.

Сорри за нубство, есличо. Тут дядьки хотят подобрать антивирь по самому тупому критерию - пропустит Петю или нет. Убеждения, что это лишь частный случай и не говорит о надежности антивируса...и что антивирус это только 10% защищенности от подобного вида угрозы, не работают. Мне просто дядек заткнуть, чтобы отмотались)

[roleg]

placebo, завтра тебе постараюсь петю скинуть, он у меня на одной виртуалке снапшотнулся в процессе работы, я его с памятью забэкапил )

[-13-]

ребятки, а где можно скачать...Петю, а то скучно ?
ну в смысле, есть он где-то в пробирке, чтобы затестить видит его антивирь или нет? И так чтобы если не видит, то не было яой. И чтобы кофе в конце приготовил.

https://gist.github.com/vulnersCom/65fe44d2...e4c176baba45759

[tedder]

Насколько безопасно использовать VirtualBox для тестирования вирусов?
Был ли опыт заражения основной системы из виртуальной (напрямую, через общую папку, по сети)?

Сообщение отредактировал tedder - Jul 8 2017, 22:44

[Console]

Насколько безопасно использовать VirtualBox для тестирования вирусов?
Был ли опыт заражения основной системы из виртуальной (напрямую, через общую папку, по сети)?

Про виртуалбокс не скажу, а вот VMware да..

[roleg]

Насколько безопасно использовать VirtualBox для тестирования вирусов?
Был ли опыт заражения основной системы из виртуальной (напрямую, через общую папку, по сети)?

у меня на Xen виртуалки, вирь поднялся до админа и psexec везде отработал где были шары

[God_Of_war]

Так налоговая вроде писали, что закрыли доступ медку и через него уже ничего не принимают.

Тут смотри какая ситуация , до лета 2015го налоговая есв принимали вообще через сам медок. Вот слиб тогда Пети запустили, ото б была Баста. Налоговая и пенсионный легли б нафиг полностью.
Но в 15м есв у нас перевели в податковый блок, в пенсионном тоже своя программа.
Медок у нас стоит на компе для плательщиков. Т.е. ты мож прийти с ключами к нам, и отправить. Но как понимаешь смысла нет, ибо проще это сделать из дома.
Раньше делали в медке чтобы на флешку скинуть, но я всех на фризвит пересадил.
Удобней и проще.
А то что сейчас не проходило через медок, так понятно. У них сервера тю,тю.
У нас 1день не работал фтп и внутренняя старая почта.

После 15го будем брать новые ключи у налоговой и искать альтернативу, пока смотрю в сторону e-doc-а, или Таксера.

Сонату можешь глянуть.
А так то вообще есть бесплатные, но немного геморные. В одной создаешь отчет, через другую отправляешь.

[oleh800]

Те у кого ключи с АЦСК Украина те сдают через медок. У меня буху пришлось виртуалку поднимать под медок, что б сдали всю отчетность.
Принимают на ура.
После 15го будем брать новые ключи у налоговой и искать альтернативу, пока смотрю в сторону e-doc-а, или Таксера.

Таксер для ЧП удобная штука, для остальных вопрос.

[God_Of_war]

Для ЧП с головой хватит бесплатного фризвита

[Gothic_man]

кто-то пробовал расшифровать?

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «

Расшифровка файлов

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «

Первоисточник

Сообщение отредактировал Gothic_man - Jul 10 2017, 10:48

[volucer]

Сегодня опять пошла почтовая рассылка со зловредом. Рассылается архив, внутри файл JAR подписанный валидным сертификатом. Однозначно детектит только mcafee, подозревают 5:
https://www.virustotal.com/ru/file/a3cb29ae...97eef/analysis/
В виртуалке с последней Java, под пользователем с уак запускается на ура, никаких окон и предупреждений.
Помагает только запрет на открытие в политиках...

Сообщение отредактировал volucer - Jul 10 2017, 11:25

[baldxd]

Сегодня опять пошла почтовая рассылка со зловредом

От кого рассылка? мб лично вам?

[Freelancer_mac]

Лечимся от Petya A

[southman]

кто-то пробовал расшифровать?

эти писаки даже не удосужились разобраться, откуда инфа и про какой вирус (подсказка: не под текущий) идет речь и что можно расшифровать..

[volucer]

От кого рассылка? мб лично вам?

Такие письма сразу удаляю, точно не скажу, но рассылка из серии "вам перечислили миллион"
На момент, когда письмо пришло детектил только макафии, теперь смотрю уже 25 / 60

[everest64]

ДФС: Платники податків самостійно обирають програмне забезпечення для формування та подання електронної звітності
https://cyberpolice.gov.ua/news/dfs-platnyk...zvitnosti-1793/
Сотрудник компании Imperva Элад Эрез (Elad Erez) разработал простой инструмент, который поможет пользователям определить, уязвим ли их компьютер перед ETERNALBLUE
http://omerez.com/eternalblues/

Сообщение отредактировал everest64 - Jul 11 2017, 12:48

[mak_v_]

Вирус атаковал кассовые терминалы и похитил данные банковских карт россиян

«Лаборатория Касперского» обнаружила нетипичную модификацию трояна Neutrino, заражающую POS-терминалы, через которые можно расплачиваться на кассах. Вирус крадет данные банковских карт. Об этом говорится в поступившем в «Ленту.ру» сообщении компании.

https://securelist.ru/neutrino-modification...erminals/30950/

Сообщение отредактировал mak_v_ - Jul 11 2017, 13:04

[mak_v_]

А вот ещё немного зрады

http://korrespondent.net/lifestyle/gadgets...-vyrusa-shpyona

Вирус под названием SpyDealer является троянской программой, которая распространяется через GoogleService и GoogleUpdate, а кроме того - через небезопасные Wi-Fi-соединения в публичных местах.

[A___L___E___X]

а у кого то вот такая штука на 10 выскакивала?

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «