Newsgroup: it.comp.sicurezza.varie
Titolo: pc infettato da cryptolocker

buongiorno a tutti
un utente dell'ufficio si è infettato come da oggetto, ora appare la 
schermata del riscatto all'avvio del pc (win7 pro, mcafee aggiornato, 
collegato alla LAN dell'ufficio insieme ad altri 10 pc circa, tutti con 
questa stessa configurazione). di tutti gli utenti pare che 3 abbiano 
problemi ad accedere ad un software in particolare ma nient'altro.
attendono che arrivi il tecnico della swhouse per sistemare il tutto.
ora il pc infetto è spento e comunque scollegato dalla LAN. che voi 
sappiate esiste un sistema per ripulirlo in maniera sicura e recuperare 
i file per poi riconnetterlo alla LAN? oppure è tutto irrimediabilmente 
perso?
grazie per l'aiuto
antonio
 
 

 ha scritto nel messaggio 
news:mpq6od$17e$1...@speranza.aioe.org...

Senza ( purtroppo ) poter garantire il successo, si potrebbe tentare con 
:
 
https://noransom.kaspersky.com/
 
https://www.achab.it/achab.cfm/it/blog/achablog/esiste-la-soluzione-per-cryptolocker-cbt-locker-e-cryptowall
 
Ovviamente una preventiva copia di backup non deve mancare ;-)
 
+1
 

 ha scritto nel messaggio 
news:mpq6od$17e$1...@speranza.aioe.org...

Domenticavo :
 
https://www.achab.it/achab.cfm/it/blog/achablog/la-soluzione-per-cryptolocker+1
 

 ha scritto nel messaggio 
news:mpqdvo$5ps$1...@news.albasani.net...

Link corretto, scusate :
https://www.achab.it/achab.cfm/it/blog/achablog/la-soluzione-per-cryptolocker
 
 
+1
 

 
https://www.achab.it/achab.cfm/it/blog/achablog/la-soluzione-per-cryptolocker
 
 
I commenti sono più sconsolanti della vicenda in sé.
 
-- 
Andrea
 

 riconnetterlo alla LAN? oppure è tutto irrimediabilmente perso?
 
Si può sempre pagare, come ho dovuto far fare a due Clienti nell'ultimo 
mese; non garantisce nulla, ma un aspetto della furbata dei vari 
ransomware è la cifra abbordabile, che spesso è inferiore al valore dei 
dati da recuperare.
 
Cryptolocker rinomina i file criptati in .ENCRYPTED, così all'utente 
viene un colpo aprendo Explorer e paga. E' in giro anche CryptoWall 3.0 
che, a differenza di CryptoLocker, NON rinomina i file e pertanto un 
backup automatico è quasi inutile, poiché andrebbe a sovrascrivere le 
copie sane con i file criptati.
 
I ransomware inoltre non hanno le caratteristiche dei virus (non si 
replicano), per cui un antivirus può praticamente niente: NOD32 se ne 
accorge solo a frittata fatta, perché rileva i messaggi di richiesta 
del riscatto.
 
Ciao
Luca

 Luca
 
allora l'idea di pagare l'abbiamo scartata perchè al marito di una 
collega era successa la stessa cosa. la richiesta di 76 euro era molto 
inferiore al valore della rogna, quindi ha pagato, ma non ha ricevuto 
nessuna chiave.
Mbam ha rilevato ed eliminato il virus. un'altra passata con McAfee non 
ha trovato più nulla. rimane sempre la finestra con la richiesta di 
riscatto all'avvio del pc.
abbiamo inviato dei file campione qui:
www.decryptolocker.it
 
hanno risposto che in qualche ora dovremmo ricevere la chiave per la 
modica cifra di 70 euro, compresa una licenza di 12 mesi per Dr.Web
l'altro link di Achab postato in questo thread pare dica che hanno 
lasciato perdere visto il moltiplicarsi delle varianti
 
 

 riscatto.
 
Il problema alla base della mancata identificazione non ha nulla a che
fare con "non hanno le caratteristiche dei virus"; l'inefficacia degli
AV contro questo malware ricadono -purtroppo- nella generale inefficacia
che li contraddistingue da diversi anni a questa parte.
 
E che ha come ragione principale il fatto che da un lato la rapidità
delle comunicazioni (e quindi della diffusione dei vettori di infezione)
è oramai di ordini di grandezza superiore alla frequenza di
aggiornamento dei sigfile, e dall'altro il fatto che il "mercato del
malware" è oramai strutturato in maniera molto ramificata, con interi
"settori industriali" mirati solo ad aggirare gli AV stessi.
 
 
 
( Per chi fosse interessato a qualche approfondimento, ebbi modo di
scriverne alcuni anni fa in 
http://goo.gl/qbSl7Z
 di cui consiglio
vivamente il paper linkato: 
http://goo.gl/ENT85V
 )
 

 fare con "non hanno le caratteristiche dei virus";
 
Proprio *nulla a che fare* non direi: una delle caratteristiche degli 
AV più lontane nel tempo è l'identificazione di codice replicante, cosa 
che nel caso dei ransomware non esiste: di fatto si scarica da una URL 
un eseguibile che apre in write dei file, cioè fa tutto quello che 
fanno software perfettamente leciti.
 
Del resto mi aspettavo un comportamento come quello di CryptoWall 3.0, 
che manda a ramengo i backup con i quali tanti utenti sono corsi ai 
ripari per il primo tipo di ransomware.
 
Attualmente, rimedi contro l'intrusione di questi agenti non ce ne 
sono; si può semmai intervenire con una modalità di backup in grado di 
mantenere i file in un ambiente sicuro e di eseguire analisi specifiche 
prima di avviare la copia, evitando di affidarsi a programmi di backup 
che risiedono sulle medesime macchine-vittima e che hanno diritti di 
scrittura proprio sulle copie di sicurezza.
 
Una soluzione che abbiamo predisposto vede una macchina linux che 
analizza i file dei client e decide se sia opportuno o meno iniziare la 
copia, trattando le postazioni da salvare come dischi di rete "inerti", 
quindi restando immune a tentativi di scrittura.
 
Un po' macchinoso, ma i primi esemplari si stanno comportando bene.
 
Ciao
Luca

 perdere visto il moltiplicarsi delle varianti
 
Di fatto non è una soluzione.
 
Ciao
Luca

 Attualmente, rimedi contro l'intrusione di questi agenti non ce ne sono;
 
No. In realtà, non ce ne sono mai stati, nemmeno all'epoca dei worm "old
style". Ma il fatto sostanziale è che affidarsi solamente all'uso di AV
è efficace quanto andare in trincea protetti dal profilattico...
 

 è efficace quanto andare in trincea protetti dal profilattico...
 
Il che stimola la domanda: cosa affiancare al metaforico profilattico?

 primo tipo di ransomware.
 
[cut]
 
Se hai un backup continuo che non cancella i file vecchi, direi che può aiutare.
Ad es. CrashPlan oppure quello di Netgear, ma credo anche la soluzione in cloud 
di Acronis.
Per "backup continuo" intendo ad es. ogni 15 minuti senza cancellare i file 
vecchi se non dopo N mesi (a tua scelta).
Un po' tipo TimeMachine di OS X per capirsi.
 
Certo è che se le persone continuano a scaricare di tutto ed aprire ogni tipo 
di allegato, nonostante di sti ransomware ne parlino perfino i telegiornali, 
allora io dò ragione a Darwin.
 
ciao :)
Gabriele
 

 Il che stimola la domanda: cosa affiancare al metaforico profilattico?
 
Qualcosa c'è (vedi il primo link: era appunto il primo di una serie di
articoli al riguardo). Quel che c'è da mettersi in testa, cmq, è che non
esiste un silver bullet al riguardo: la protezione deve essere operata
al più alto numero di livelli possibile al fine di diminuire al minimo
l'esposizione...
 

 allora io dò ragione a Darwin.
 
 
In una delle pagine che sono state linkate da plus_one ho letto alcune 
testimonianze di utenti colpiti. Uno dice di esserselo beccato SENZA
aprire l'email ma solo "sbirciandola", credo intenda in preview.
 
"Roberto 17 dicembre 2014 ore 17:41"
 
"Vittima anche io di questa estorsione internazionale. Virus beccato per una 
finta mail GLS, che ho solo sbirciato e non aperto. Computer bloccato, con 
tutto il lavoro di una vita, più foto, ecc criptati. ..." 
 
 
Comunque, sarei curioso di sapere se tutti quelli che hanno preso 
CryptoLocker usano Windows con l'account da amministratore, perché
già quello...

 backup.
 
basterebbe semplicemente utilizzare un set di credenziali specifico per
accedere all'unità di backup; non solo, ma si potrebbe anche valutare
l'idea di emettere un alert se il backup coinvolge più di "n" files,
ossia se più di "n" files sono stati modificati
 

 l'esposizione...
 
Quale consigli, come FW per Win, con integrazione di "intelligence" tipo 
Spamhouse?
 

 aprire l'email ma solo "sbirciandola", credo intenda in preview.
[cut]
 
Avrà caricato contenuto esterno, o visualizzato nel browser un contenuto in 
Flash o PDF infetto. Altrimenti mi pare strano.
Succedeva già 10 anni fa.
 
Gabriele

 Spamhouse?
 
Spiacente, ma qui sei fuori dal mio ambito: sono soluzioni che sono
pensate per l'integrazione a livello di routing (anche di un intero AS)
e/o di DNS resolver.
 
Se uno proprio vuole, son certo che uno può anche eseguire routing
daemon e resolver RPZ-enabled anche direttamente su Win, ma non la vedo
come una soluzione per le masse...
 

 ossia se più di "n" files sono stati modificati
 
Esatto: questo è uno dei controlli che esegue la nostra soluzione.
 
Ciao
Luca

 ha
scritto:

Basterebbe usare un HIPS (host-based intrusion prevention) come Comodo Defense+
per capire se succede qualcosa di strano.
 
Vedi qui  (purtroppo it.comp.sicurezza.virus non si trova + su google groups e
bisogna usare quello che si trova)
 
http://sicurezza-virus.gruppionline.org/2015/2/cryptolocker/391692/
 
 
il post di Cristiano il 04/02/2015 09:31
 
descrive il Cryptolocker passo passo, è un post di febbraio ma credo che il
virus non sia molto cambiato, almeno come modalità di azione,
 
 
-- 
ciao
  Stefano

 schermata del riscatto all'avvio del pc (win7 pro, mcafee aggiornato,
...snip...
 
 
Per la cronaca, anche HitmanPro propone una sua soluzione
http://www.surfright.nl/en/kickstart
 

 "settori industriali" mirati solo ad aggirare gli AV stessi.
 
Basta guardare questi grafici (e dati) per rendersi conto degli interessi in gioco
https://www.av-test.org/en/statistics/malware/
 


Aggiungo una segnalazione sul fronte della prevenzione, CryptoPrevent,
che se ben capisco impedisce l'esecuzione da %appdata% dove va a 
annidarsi la bestiola.
https://www.foolishit.com/cryptoprevent-malware-prevention/technical-information/
 

 Comodo Defense+ per capire se succede qualcosa di strano.
 
un normale HIPS in questi casi è il classico "canary in a coalmine";
aiuta, ma non è sufficiente
 


Hai letto il post che ho linkato?
 
Dice che il Cryptolocker ha chiesto il permesso ogni volta all' HIPS, sia per
modificare i certificati che per scaricare il virus di criptazione.
 
Poi se ultimamente hanno fatto versioni che sfuggono a un HIPS non lo so, ma
tendo a non crederci.
 
 
-- 
ciao
  Stefano