Newsgroup: it.comp.hardware
Titolo: OT non troppo: regalo di Cryptoblocker :(

Vorrei mettere in guardia chi legge che questo bastardissimo trojan non 
entra solo tramite mail con allegati, almeno a me non � successo cos�.
Stavo copiando dei files video dalla scheda SD di un cliente, per questo non 
ho fatto troppo caso al rallentamento generale e al lavoro sul disco.
Quando mi sono accorto di cosa stava succedendo ho fermato tutto, ma era 
tardi: almeno 20 folder con files criptati a casaccio.
AVG aggiornato e attivo. Domanda: possibile che non ci sia modo di bloccare 
un programma che si mette a criptare files e eliminare gli originali? Non 
c'� modo di impedire questa operazione?
Cmq mi sono salvato, in parte perch� (per una volta) avevo un backup 
abbastanza a posto dei 3 HD, in parte grazie a testdisk.
Un mese fa l'FBI ha beccato questi criminali, e ha recuperato l'algoritmo, 
pre cui oggi basta inviare un file criptato e si riceve la chiave di 
decrittaazione. Purtroppo io ho beccato una variante recentissima, e non c'� 
chiave che tenga se non pagando 500 (!) euro a sti stronzi - prima o poi li 
beccheranno, ma l'appetito mi sa che � venuto mangiando... occhio a non 
beccarvelo perch� � distruttivo!!! 
 
 

 disco.
 
sicuro che non te le sei beccato prima e che non si sia solo attivato 
mentre copiavi i file ?

 mentre copiavi i file ?
 
non posso escluderlo, ovviamente. Per� allora avg avrebbe dovuto 
intercettarlo, credo. In effetti la cosa che mi fa pi� paura � proprio la 
facilit� con cui ha bypassato l'antivirus... mi sento in mutande :( 
 
 


 
 
Grazie per la segnalazione.
 
Io in aggiunta ad AVG ho installato ThreatFire e devo dire che ogni 
volta che qualche programma cerca di modificare qualcosa di vitale mi 
chiede cosa fare, non e' invasivo e consuma nulla.
 
http://www.threatfire.com/it/download/
 
 
 
 
 
 
-- 
Saluti da Drizzt


 
grazie, scaricato e installato. Vuoi un'istanza del trojan per provare se 
funziona? :D 
 
 


 
 
no grazie, sto giusto facendo una scansione... :-D
 
 
-- 
Saluti da Drizzt

 funziona? :D 
 
Ma hai individuato il file del trojan?
Hai provato a darlo in pasto a virustotal?
http://www.virustotal.com/
 
 
Se si puoi mandare il link con i risultati del riconoscimento degli
antivirus?
 
Sono curioso di capire se AVG (Licenza Free o Commerciale) non l'ha
identificato perchï¿œ recentissimo o perchï¿œ ï¿œ riuscito a bypassarlo in
qualche modo (es. hai un qualche software/plugin non aggiornato,
vulnerabile a qualche attacco ed ï¿œ stato sfruttato questo).
 
Oppure era semplicemente la scheda SD con l'Autorun.inf che ha fatto
partire il tutto?
 
 
 
-- 
Daniele Pinna  (leva oops. per rispondere)
Utente Skype: dapinna
Sito Web: 
http://www.dapinna.com
 
Il Docfa in Pillole:  
http://www.ildocfainpillole.it
 
DAPINNA.COM
 su Facebook: 
https://www.facebook.com/dapinnadotcom
 
Blog - Storie di un Laboratorio di Informatica:
http://storielaboratorioinformatica.wordpress.com
 
-----
*** Powered by Linux KUbuntu 14.04 LTS "Trusty Tahr" ***

 partire il tutto?
 
scrivo dopo formattazione. Non mi sono fidato... Cmq anch'io ho cercato di 
capire chi e perch� lo abbia lasciato passare e soprattutto lo abbia 
lasciato lavorare in pace, e il colpevole possibile � solo AVG, non c'� 
nessun altro antivirus a bordo. Il sospetto che fosse sulla schedina SD � 
pi� che tale. Cmq dopo aver usato un bel po' di tool e diverse scansioni on 
line, sembrava che tutto fosse ripulito. Ho formattato lo stesso, ma ho 
consevat qualche file criptato e ho i tre bellissimi files che il trojan 
lascia in ogni cartella dopo aver fatto il suo sporco lavoro: un file di 
testo, un file html e un link html alla propria pagina 'personale' con la 
richiesta delle chiavi. Se interessa posso mettere a disposizione questi 3 
files (che ripeto: sono in tutte le cartelle attaccate dal virus) tanto sono 
innocui. 
 
 

 innocui.
 
Alcuni antivirus potrebbero riconoscerli come "infetti" solo perchï¿œ 
collegati al Virus, anche se del tutto innocui.
 
Quindi il trojan vero e proprio non lo hai "conservato"?
 
 
 
-- 
Daniele Pinna
DAPINNA.COM
 
(leva oops per rispondere)
-----
Utente Skype: dapinna
DAPINNA.COM
        :  
http://www.dapinna.com
 
Il Docfa in Pillole:  
http://www.ildocfainpillole.it
 - Sito Aggiornato!!!
DAPINNA.COM
 su Facebook: 
www.facebook.com/pages/Sassari-Italy/DAPINNACOM/110085322371199
 
 

 Hai usato anche combofix?
 
Oppure il classico Malwarebytes Antimalware...:-) 
 
 
 
-- 
 
 
 
 
----Android NewsGroup Reader----
http://www.piaohong.tk/newsgroup
 


 
 
se non ho capito male, il problema non e' eliminare il virus ma 
decriptare i files colpiti, se la chiave non e' presente nell'archivio 
confiscato dal FBI non c'e' possibilita' di recuperarli.
 
 
 
-- 
Saluti da Drizzt

 Oppure il classico Malwarebytes Antimalware...:-)
 
Giusto :-)


 ha
 scritto:

Beh certo...purtroppo da qui non si scappa.


 Beh certo...purtroppo da qui non si scappa.
 
esatto, � proprio qui l'inghippo.
Cmq s�, ho usato anche Combofix e pure l'altro... com'era pi�... Stinger 
ecco.
Confermo di aver recuperato tutto grazie a 2 backup (uno veramente non 
sapevo manco di averlo, l'ho trovato su un HD che ho acceso per fare spazio 
a testdisk, ehm... un po' di Q una volta nella vita ce l'ho avuto anch'io 
;)) 
 
 

 ha scritto nel messaggio 
news:lustrg$6rm$1...@speranza.aioe.org...

concludendo...:
ho trovato programmini gratis oppure a costo bassissimo (tipo Cryptoprevent) 
che dovrebbero bloccare questo maledetto trojan (usano il condizionale - 
might - anche loro stessi!
Per� io dico una cosa stupida: possibile che non si possano scrivere 2 righe 
di programma che blocchino l'operazione del crittografare? Forse no, 
altrimenti l'avrebbero gi� fatto, mi dico da solo... 
 
 

 piï¿œ che tale. Cmq dopo aver usato un bel po' di tool e diverse scansioni on 
 
Scusa una cosa, ma come mai non hai gli "autorun" disbilitati ?
Hai detto che stavi copiando una schedina SD di un cliente...
Non so cosa usi, ma almeno su XP si poteva...
 
 
--- news://
freenews.netfront.net/
 - complaints: 
ne...@netfront.net
 ---

 Non so cosa usi, ma almeno su XP si poteva...
 
l'autorun � disabilitato in effetti, da sempre :(.
Cmq notizia di oggi, a 3Km da qui, ufficio di un commercialista: 
un'impiegata ha aperto uno zip allegato e addio...  si sta diffondendo a 
bomba, massima attenzione! 
 
 

 ha scritto:

Na stragge!


 ha scritto nel messaggio 
news:luupc8$5qn$1...@speranza.aioe.org...

motli consigliano questo
https://www.foolishit.com/vb6-projects/cryptoprevent/
 
secondo te funziona? 
 
 

 ha scritto:

Non lo conosco...sulla carta sembra interessante. Si puo' sempre
 vedere come funziona utilizzando la versione free.


 altrimenti l'avrebbero già fatto, mi dico da solo...
 
imho se proprio non vuoi/puoi usare linux puoi comunque usare delle 
macchine virtuali (con accesso limitato alle cartelle del host) per 
collegarti a siti non sicuri o esaminare file sospetti
 
c'è anche la possibilità di bypassare la virtualizzazione, ma è più 
complicato e credo che ancora non esista un malware adatto
 
-- 
bye
!(!1|1)
 

 altrimenti l'avrebbero gi� fatto, mi dico da solo...
 
Nell'improbabile ipotesi che il malware utilizzi le funzioni di sistema 
per cifrare, allora la cifratura pu� essere bloccata; ma nell'ipotesi 
(quasi certa) che il malware usi il suo codice per cifrare, allora il 
blocco della cifratura � quasi da fantascienza.
Ma ammesso di rilevare un programma che sta cifrando qualcosa, per quale 
motivo bisognerebbe bloccarlo? Potrebbe farlo anche in modo legittimo.
 
L'unico sistema efficace per evitare il problema � quello di avere un 
antivirus che abbia la firma per il malware cifratore, senza bisogno di 
aspettare che combini danni (che comunque non verrebbero, giustamente, 
ritenuti tali).
Il punto di forza di questo tipo di malware � che non fa operazioni 
sospette, per cui l'unica protezione consiste nell'identificazione certa 
del malware (database con le firme).
Ogni nuova variante far� molti pi� danni di quanto non possa fare un 
malware che compie operazioni "sospette" (rilevabili dall'euristica o 
dagli HIPS).
 
Cristiano

 diffondendo a bomba, massima attenzione!
 
Tutto dipende da quanto si � paranoici coi propri dati:
io conservo tutto in un filesystem ZFS e, anche dovesse crittografare
tutto, in 1 minuto recupero uno dei 3 snapshot giornalieri e sono a
posto.
 
ciao
 
 


 
 
puoi spiegare meglio come funziona sta cosa?
 
 
 
-- 
Saluti da Drizzt

 
"Cristiano" <cris...@NSgmail.com> ha scritto nel messaggio 
news:luv7lj$s7t$1...@dont-email.me...

spiegazione chiarissima, grazie. Deduco che AVG, bench� aggiornato, non 
avesse la firma della versione in cui sono incappato.
Aggiungo una cosa, non so se � gi� stata detta: siccome i files 'sani' 
vengono eliminati dopo aver prodotto quelli criptati, testdisk ha un buon 
successo di recupero, con tutte le complicazioni che comporta (gerarchie e 
nomi dei files che spariscono). Forse - non ho provato - programmi come 
Easyrecovery porterebbero risultati ancora migliori, a patto ovviamente di 
non lavorare sui dischi interessati al problema. 
 
 

 non lavorare sui dischi interessati al problema. 
 
Prova anche GetDataBack della Runtime: 
www.runtime.org
 
 
 
 
 
-- 
Daniele Pinna  (leva oops. per rispondere)
Utente Skype: dapinna
Sito Web: 
http://www.dapinna.com
 
Il Docfa in Pillole:  
http://www.ildocfainpillole.it
 


 bomba, massima attenzione! 
 
Anche a me arrivano a volte degli allegati o anche come link da
scaricare... normalmente dei file .ZIP
 
Ogni tanto provo ad aprirli, sapendo che sono virus, quindi senza
eseguirli, ma il mio antivirus (NOD32) fa il suo dovere e li blocca.
 
Quindi pendo che chi si prende questi antivirus, o non ho un buon
antivirus... o non ha un buon antivirus.


 Na stragge!
 
 
In effetti potrebbe esserci cmq una "stragge".
 
Oggi molti hanno capito che devono fare il BackUp.
Molti hanno spesso il disco USB per questi BackUp sempre collegato.
 
Se usano un NAS ovviamente accedono alla cartelle di BackUp condivisa da
ciascun utente che deve poter fare il BackUp.
Ad esempio il mio account su Windows ï¿œ "daniele", con password del PC
"Xyz1234" e sul NAS ho un account per "daniele" con password "Xyz1234".
 
Per cui dal mio PC entro sulle cartelle condivise del NAS senza dover
fare il login. Tutto perfetto e comodissimo.
 
Se dovessi prendermi Cryptoblocker questo potrebbe anche criptare senza
problemi le cartelle di BackUp del NAS.
 
Per questo motivo ï¿œ opportuno creare una cartella del NAS, in cui fare i
BackUp e dare dei privilegi differenti (Es "BackUpUser"). Ovviamente
questi privilegi si inseriscono nel software di BackUp.
 
 
Per i dischi di BackUP USB, formattati NTFS, si potrebbe fare qualcosa
di simile, ma non sono sicuro al 100% che possa funzionare...


 puoi spiegare meglio come funziona sta cosa?
 
Per farla breve: ZFS permette di fare degli snapshot istantanei di ogni
file system (in pratica marca ogni singolo blocco come appartenente
allo snapshot - quindi � molto veloce e non usa spazio).
Quando modifichi un file, semplicemente il file 'nuovo' viene creato
in una nuova zona dell'hd e il vecchio resta nascosto e legato agli
snapshot (questo avviene a livello di blocchi, non di file).
 
Quindi anche se i file dovessero essere distrutti/criptati/cancellati,
basta recuperare uno snapshot vecchio con le copie giuste.
 
L'unico limite (se di limite si tratta) � dover usare Solaris/FreeBSD,
ma ormai molti hanno dei NAS e farne uno con ZFS+Samba � un
lavoro di mezz'ora (ultimamente mi stuzzica l'idea di virtualizzare il
NAS, devo per� fare qualche mesetto di prove per vedere quale
soluzione sia migliore per le mie esigenze: ESXi o un semplice
Virtualbox/VMware Player)
 
Se ti interessano informazioni su ZFS ti consiglio di leggere 'Oracle
Solaris Administration: ZFS File Systems'
 
ciao
 
 


 
 
azz, cosi' a prima lettura e' troppo complicato per me ;-)
comunque grazie per dettagliata risposta.
 
 
 
-- 
Saluti da Drizzt

 comunque grazie per dettagliata risposta.
 
Magari e' complicata la teoria, ma la pratica e' banale:
basta 1 comando: 'zfs snapshot nome/filesystem@data_di_creazione'
e hai creato in un paio di secondi uno snapshot di quel filesystem.
Puoi naturalmente automatizzare il tutto e farli fare al computer
quando vuoi via cron/crontab.
 
ciao 
 
 

in una nuova zona dell'hd e il vecchio resta nascosto 
 
C'� anche su Windows 7, col nome "versioni precedenti".
Vengono create insieme ai punti di ripristino.
 
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 Vengono create insieme ai punti di ripristino.
 
confermo, � uno dei metodi di recupero dei files possibili. Io ero in m***a 
perch� mi ha colpito su XP 
 
 

perch� mi ha colpito su XP 
 
A livello di server c'era gi� su 2003, ma era attivabile solo sulle
condivisioni di rete.


 Vengono create insieme ai punti di ripristino.
 
Peccato che ufficialmente l'abbiano tolto con Win8.1...anche se ci
 sono dei workaround che servono a ripristinarne la
 funzionalita':
 
http://tinyurl.com/k25dkwu
 



 
 
quindi, man mano che i vari files si modificano aumenta lo spazio occupato?
 
 
 
-- 
Saluti da Drizzt

 occupato?
 
Si, comunque parliamo di blocchi non di file.
Semplificando molto, se modifichi un file da 4GB e ne cambi 20KB,
avrai 20KB in piu' (in pratica solo i blocchi modificati).
 
ciao 
 
 

 Vengono create insieme ai punti di ripristino.
 
Ni.
La funzione � simile, ma in realt� molto diversa.
Windows7 fa una copia vera di ogni file, in pratica ti copia i
file vecchi da un'altra parte e poi sovrascrive il file.
ZFS agisce a livello di blocchi del filesystem e tiene traccia
solo dei blocchi modificati.
 
Oltre ad essere piu' efficente, questo permette di:
1-agire a livello di filesystem, quindi senza intervento del SO
2-risparmiare spazio
3-essere istantaneo (non occorre alcuna riscrittura sul HD)
4-poter clonare e/o ripristinare un filesystem cosa che non
� possibile su Seven
 
Tutto questo mantenendo le altre caratteristiche di ZFS che
lo rendono superiore a NTFS (COW,checksum...) e agli altri
filesystem con journaling
 
ciao
 
 
 

Peccato che ufficialmente l'abbiano tolto con Win8.1...
 
L'ho visto proprio oggi... non gli bastava togliere il menu start.
