Вирусы-вымогатели
- Автор теми Howl
- Дата створення
Якщо немає доступу в інет, то цим ніхто не переймається.
Ну то тепер мо почнуть..
Як він туди потрапить? Хіба що на флешці, в обхід Відділу інформаційної безпеки. А це такий зальот, ще гірший, ніж ядрьона бомба. Це як мінімум стаття за несанкціонований доступ.
https://geektimes.ru/post/290525/#comment_10157391
Похоже вот основная причина заражения даже там, где вроде как следят.
Своим юзершам я флешки давно строго-настрого запретил. Медком у нас в районе перестали пользоваться с 1 апреля. Теоретически мог бы по корпоративной сети из другого района или из Одессы перейти, но вроде везде всё чисто - думаю, проявился бы вирь, если бы была зараза.
Re: Вирус-вымогатель @WanaDecriptor атаковал ПК. А как вы защищаете свои данные?
Сименс.Я сижу на вандервар , вчера только на внутреннюю сеть для plc оптику провели . Стремно - вдруг прокралось и ждет своего времени . И вопрос не по теме - Вы асутпшник?)
Сименс.Я сижу на вандервар , вчера только на внутреннюю сеть для plc оптику провели . Стремно - вдруг прокралось и ждет своего времени . И вопрос не по теме - Вы асутпшник?)
Вот и подтверждения насчет M.E.Doc... это просто пипа..
Источник
UPD9: Согласно информации из фейсбука Киберполиции Украины (так же подтверждено из комментариев к статье), одним из векторов атаки на бизнес структуры Украины стало распространение вируса через программу M.E.doc (ПО для электронной отчетности и документооборота)
ПО имеет в себе функцию установки обновлений с сайта upd.me-doc.com.ua.
После такого «замененного обновления» у пользователей создался файл «rundll32.exe» который начал обращаться к локальным IP адресам запрашивая 139 и 445 порты, после чего создавался файл perfc.bat
Далее следовал запуск cmd.exe с командой: /c schtasks /RU «SYSTEM» /Create /SC once /TN "" /TR «C:\Windows\system32\shutdown.exe /r /f» /ST
После этого создавался и запускался файл вида ac3.tmp (02ef73bd2458627ed7b397ec26ee2de2e92c71a0e7588f78734761d8edbdcd9f)
Далее создание файла: dllhost.dat
Скорее всего разработчики M.E.doc так же были взломаны и данное обновление было загружено злоумышленниками.
ПО имеет в себе функцию установки обновлений с сайта upd.me-doc.com.ua.
После такого «замененного обновления» у пользователей создался файл «rundll32.exe» который начал обращаться к локальным IP адресам запрашивая 139 и 445 порты, после чего создавался файл perfc.bat
Далее следовал запуск cmd.exe с командой: /c schtasks /RU «SYSTEM» /Create /SC once /TN "" /TR «C:\Windows\system32\shutdown.exe /r /f» /ST
После этого создавался и запускался файл вида ac3.tmp (02ef73bd2458627ed7b397ec26ee2de2e92c71a0e7588f78734761d8edbdcd9f)
Далее создание файла: dllhost.dat
Скорее всего разработчики M.E.doc так же были взломаны и данное обновление было загружено злоумышленниками.
Источник
vlad_g
Старший ухилянт
Re: Вирус-вымогатель @WanaDecriptor атаковал ПК. А как вы защищаете свои данные?
ну да, а что?
зы.мож в личку?
ну да, а что?
зы.мож в личку?
wolf2606
Познающий
Это серьезный залет
Офигеть, а МЕдком ой как много организаций пользуется...
Выходит, что сетевые компы обновления Вин7 все же спасли. Вирус попал только на комп бухгалтерши. Значит не врала, что сегодня ничего не открывала))
Так что выходит, даже вручную заблоченные порты тоже не спасли бы, ведь сам МЕдок все и сделал. Пипец репутации программы.
А кто-то лечился от WannaCry v2? Комп выключил, на стадии, пока видимых шифрованых файлов не было. Что теперь дальше? Вытягивать через безопасный режим или загрузочную флеху данные + чистить анти-вирусами? Зашифрованные файлы можно забыть?
wolf2606
Познающий
Медок отмазывается
https://www.facebook.com/medoc.ua/posts/1904044929883085
https://www.facebook.com/medoc.ua/posts/1904044929883085
Подтверждаю, что "М.Е.Док" стал виновником заражения (возможно, главным из многих).
Все последние обновления безопасности не спасли.
Из ~150 компов в АД пока зараза обнаружена только на серваке с М.Е.Док
На нём никто "вживую" не работает, почту не открывает и файлы тоже.
Так что гонят по поводу распространения через электропочту.
Все последние обновления безопасности не спасли.
Из ~150 компов в АД пока зараза обнаружена только на серваке с М.Е.Док
На нём никто "вживую" не работает, почту не открывает и файлы тоже.
Так что гонят по поводу распространения через электропочту.