Newsgroup: it.comp.sicurezza.varie
Titolo: Re: malware ma non ransomware?

 malware, visto che non c'è uno straccio di messaggio?
 
 
Probabilmente il messaggio loro non l'hanno visto, chissà perché.
 
Prima di tutto metterei al sicuro tutte le copie di backup precedenti. 
Poi, valuterei con i diagnostici e con uno strumento come un rescueCD 
( 
https://www.system-rescue.org/
 ) che non ci siano problemi hardware di 
un qualche genere.
 
Come prima cosa mi preparerei un disco auto-avviante dotato di un buon 
sistema antivirus "profondo". Io ho usato con successo "Norton power 
eraser", ma non è gratuito e potrebbe finire di cancellare i dati... se 
infetti.
 
Altrimenti.
 
Le operazioni sono sempre le solite.
a) compartimentare la rete. Cioé fermare tutte le macchine, staccare 
fisicamente le connessioni di rete e poi procedere, una macchina alla 
volta, partendo dal server, con:
b) caricare ex novo il bios, avendo avuto cura di scaricare l'ultima 
versione aggiornata dal sito del produttore del computer. NON usare il 
software tramite il sistema operativo, ma preparare una chiavetta con 
sistema di boot pulito, da una macchina "sicura".
c) ricaricare tutto il sistema operativo da zero, piallando via tutto dal 
disco fisso, partizioni comprese. Se è un pc di marca (HP, ACER, ecc.) ed 
ha un lettore DVD, meglio usare i suoi supporti fisici, anche se la cosa 
richiede tempo.
d) ricollegare il computer ad internet, ricaricare un buon antivirus 
(personalmente l'idea di un antivirus gratuito mi procura l'orticaria, ma 
magari sono malfidato io). Aggiornarlo e poi passare più volte lo 
strumento di scansione. Se non trova più nulla, aggiornare tutto il 
sistema operativo, ricaricare le applicazioni, quindi ripassare la 
scansione antivirus. A quel punto, si tratta di valutare se e quanti dati 
sono ancora presenti sui vari backup (ammesso ce ne siano...).
 
Fatto il server, lo spegni e ripeti la procedura su tutti i computer, fino 
ad avvenuto ripristino della situazione.
 
Se il cliente è un po' più strutturato, avrà anche sistemi di rete (es.: 
firewall) di cui valutare configurazione e situazione, ma andiamo un po' 
troppo nello specialistico.
 
Quanti giorni di ferie puoi investire, in questa operazione? Perché non è 
esattamente un lavoretto, eh? E chiarisci molto bene PRIMA che se non 
esistono backup sicuramente non infetti, i dati potrebbero essere andati 
persi definitivamente. :(
 
 
 
 
-- 
Ciao! Stefano

 di malware, visto che non c'è uno straccio di messaggio?
 
Hai voglia a controllare!
Dalla presenza di software crackato, alle permission degli utenti, alle 
eventuali condivisioni (e a loro volta con quali permission).
Le impostazioni di rete (firewall etc).
Nella catena della "sicurezza" l'antivirus è solo uno dei tanti anelli.
 
Intanto, prima prova da "cuggino", un giro con un SW apposito (uno dei 
tanti "undelete") per vedere se ci siano dati cancellati recuperabili.
Un "cuggino smart" staccherebbe i dischi fissi e se li attaccherebbe in 
sola lettura ad un altro piccio ...
 
Facci sapere come evolve.  :D
 
M.

 persi definitivamente. :(
 
Esatto ter.
Da aggiungere che poi facendo questo intervento automaticamente ci si fa 
carico di tutta (ripeto "tutta") la futura assistenza informatica del 
cliente.
 
My 2 cents.

 escluderlo, solo che ora sarà difficile verificarlo.
 
Come già scritto sopra, perdona la franchezza, solo un idiota può, una 
volta individuato l'origine dell'attacco, cancellare tutto!
 
Per legge quando c'è un attacco informatico devi informare la Polizia 
Postale e, se necessario, mettergli a disposizione tutte le prove in tuo 
possesso, per tutelare sia chi deteneva i dati sensibili sia i reali 
intestatari dei dati sensibili!
 
Saluti.
^Bart
 
P.S.
Nell'azienda dove lavoro hanno fatto intervenire una società parte di 
Engineering che si occupa di Cyber Security giusto per sapere chi sono i 
pochi che in Italia gestiscono con serietà l'argomento ovviamente anche 
la fattura è adeguata alla professionalità.

 e a quel PC lavora sempre una ragazza fidatissima.
 
Permetti una ipotesi balorda?
 
 
Hai scritto che il software è nuovo.
 
La cancellazione avveniva accedendo da uno specifico pc in dotazione ad una
ragazza dell'ufficio, se non ho capito male...
 
Non sarà mai che un comando che nel vecchio sw aveva una funzione normale, nel
nuovo sw invece...
 
O che un comando del sw nuovo è bacato?
 
Nell'azienda in cui lavoravo, quando passarono il gestionale dal server locale
al cloud, una decina di anni fa, ci furono un certo numero di casini
all'inizio...
 
-- 
Il Pascal e' un linguaggio giocattolo fatto per insegnare la
programmazione ai matematici.

 cloud dove gira tutto da remoto.
 
Sul cloud, se il sw è usato da altri, sarà personalizzato per ogni specifico
cliente, con 'maschere'[1] ottimizzate.
 
Non è detto poi che i singoli utenti di uno stesso cliente abbiano gli stessi
privilegi e le stesse autorizzazioni per accedere ai documenti, basti pensare
a chi gestisce la contabilità e all'addetto al magazzino (per esempio) di una
azienda, quindi 'maschere' diverse.
 
Perchè mi sembra strano, la cancellazione dei dati, senza uno scopo apparente.
 
Poi dalla stessa utenza...
 
Mi fa pensare più ad una 'cappella' piuttosto ad un malware.
 
 
 
[¹] per maschera intendo la videata con i campi per accedere alle varie
funzioni del sw.
 
-- 
Chi va con lo zoppo, impara a zoppicare.
Ma se lo zoppo va con uno sano, smette di zoppicare?

 fuori per fare quello che volevano.
 
Buono.
 
M.

 
 
[...]
 
La ragazza per caso inseriva delle sue chiavette USB in quel PC?

 La ragazza per caso inseriva delle sue chiavette USB in quel PC?
 
O anche il cellulare, per ricaricarlo ...
 
Ok, si, sono paranoico.  :D
 
M.