Каскадный режим | Линейный режим

norrest · 27-06-2017 19:42

Опять бомбят!
Проверить, подвержены ли вы атаке: https://2ip.ru/check-port/?port=445
Порт должен быть закрыт.

Код:

Вредоносная программа сканирует в Интернете узлы в поисках компьютеров с открытым TCP-портом 445, который отвечает за обслуживание протокола SMBv1. Обнаружив такой компьютер, программа предпринимает несколько попыток проэксплуатировать на нём уязвимость EternalBlue и, в случае успеха, устанавливает бэкдор DoublePulsar[9], через который загружается и запускается исполняемый код программы WannaCry. При каждой попытке эксплуатации вредоносная программа проверяет наличие на целевом компьютере DoublePulsar, и в случае обнаружения загружается непосредственно через этот бэкдор.

korrespondent.net/
3pв *;C®Ђ±!вf2O§AњЋґ:«лО%л rz;ЄЈц!gm“зфћщП+gж¦Ё›ћ) яWФ KЇЂ–yУЛtЫЮpЛЖ…ХБwҐ –№:=эІВ„D®ЋuЗq-|lбые ZаLН`J P?B©™ ѓ V#Ј'Qм 2 $Ие5t тё.

Цитата:Жертвами хакерської атаки стали Кабінет міністрів, Міністерство інфраструктури, Ощадбанк, Укргазбанк, Укрсоцбанк, OTP банк, Укрпошта, Нова пошта, Аеропорт Бориспіль, WOG, KLO, мережа гіпермаркетів Епіцентр, Чорнобильська АЕС, 24 канал.

После перезагрузки Petya запускает программу, маскирующуюся под утилиту CHKDSK. На самом деле она не проверяет жесткий диск на предмет ошибок, а шифрует его, причем, как установили исследователи из Malwarebytes Labs, не целиком, а лишь частично. В «Лаборатории Касперского» в конце марта 2016 года утверждали, что метод шифрования, применяемый в Petya, позволяет с помощью специалистов восстановить все данные.

После завершения шифрования компьютер показывает красный экран с сообщением «Вы стали жертвой вируса-вымогателя Petya» и предложением заплатить 300 долларов в биткоинах. Подробная инструкция, как купить необходимую сумму в биткоинах и как ее перечислить, содержалась на сайте в «дарквебе».

ЗЫ. В ПриватБанке тоже завелся вирус, только видимо наркотический Happy0196

:

_https://blockchain.info/address/1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX?sort=0 кол-во транзакций-пополнений счёта мошенника!

Для тех, кто использует бухгалтерскую программу MED-OC - после обновления она грубо говоря "ложится", но на сайте выложена подробная инструкция по этому поводу Happy0196

_http://www.me-doc.com.ua/vnimaniyu-polzovateley

KAKAO · 27-06-2017 19:55

Ой, а мы и не заметили!
Честно говоря, все эти «вымогатели», как-то уже скучновато...

Fisher · 27-06-2017 20:03

Пришло сегодня сообщение со ссылкой на петю)
Лень победила, не стал смотреть))

Gizer · 27-06-2017 20:03

нову пошту уложили сцуки.
сорвалась посылка.

norrest · 27-06-2017 20:08

Если после злополучной фейковой проверки диска на ошибки видите как на этом экране, то вы стали жертвой

alex0665 · 27-06-2017 20:11

(27-06-2017 20:03)Gizer писал(а): нову пошту уложили сцуки.
сорвалась посылка.

Да работает она. Мой товарищ пол часа назад вернулся с посылкой и две отправил.

doom · 27-06-2017 20:11

название вируса надо поменять-вирус вальцмана.. Happy0158

norrest · 27-06-2017 20:12

(27-06-2017 20:11)alex0665 писал(а): Да работает она. Мой товарищ пол часа назад вернулся с посылкой и две отправил.

Уже да.

Bayer007 · 27-06-2017 20:12

"
В «Лаборатории Касперского» в конце марта 2016 года утверждали, что метод шифрования, применяемый в Petya, позволяет с помощью специалистов восстановить все данные.
"

Это понятно, кто написал вирус, тот и может восстановить Happy0158

BorisIvanovich · 27-06-2017 20:14

и не читайте Петю -
Я плакаль...
На службе/в банке/на почте/ работнику приходит "мыло" с вложение" под именем "Петя.apx", и несколько сот тысяч тупых е_аньков открывают это вложение?
Накуй, увольнять с работы/службы за такую куйню.
Это обойдется дешевле, чем восстанавливать систему и компенсировать убытки

norrest · 27-06-2017 20:16

https://virustotal.com/en/file/027cc450e.../analysis/
вот результат проверки, те что снизу - "проиграли"

ZVA72 · 27-06-2017 20:51

(27-06-2017 20:11)alex0665 писал(а): Да работает она. Мой товарищ пол часа назад вернулся с посылкой и две отправил.

Нихрена не работает!!
Саша, у меня Наложку сегодня вечером не оформили из Киева,изза этой фигни.... Sad

жду что завтра будет

norrest · 27-06-2017 21:00

(27-06-2017 20:14)BorisIvanovich писал(а): и не читайте Петю -
Я плакаль...
На службе/в банке/на почте/ работнику приходит "мыло" с вложение" под именем "Петя.apx", и несколько сот тысяч тупых е_аньков открывают это вложение?
Накуй, увольнять с работы/службы за такую куйню.
Это обойдется дешевле, чем восстанавливать систему и компенсировать убытки

А если бы прочитали, то не стали бы писать глупости и винить ни в чём виновных сотрудников! Pohval

Код:

Вредоносная программа сканирует в Интернете узлы в поисках компьютеров с открытым TCP-портом 445, который отвечает за обслуживание протокола SMBv1. Обнаружив такой компьютер, программа предпринимает несколько попыток проэксплуатировать на нём уязвимость EternalBlue и, в случае успеха, устанавливает бэкдор DoublePulsar[9], через который загружается и запускается исполняемый код программы WannaCry. При каждой попытке эксплуатации вредоносная программа проверяет наличие на целевом компьютере DoublePulsar, и в случае обнаружения загружается непосредственно через этот бэкдор.

Так же известно, что вирус пролазил через ПО с последними обновлениями лицензионного Windows, настроенным файрволом, порезанными правами для юзеров и антифишинг фильтрами для почтовиков.

ЗЫ. Еще админы пишут про вирус, после автообновления медка! Это жесть! Love0030

А вообще, даже если что-то и пролезло, то в таких крупных корпорациях виноваты не бабушки бухгалтера, которые в электронике нихрена не понимают, а сис. админы, которые должны все эти порты после недавнего случая блокировать, настраивать антиспам и правила корпоративной почты!

adsh · 27-06-2017 22:07

(27-06-2017 19:42)norrest писал(а): Проверить, подвержены ли вы атаке: https://2ip.ru/check-port/?port=445
Порт должен быть закрыт.

В любой нормальной винде он - открыт. В сервисе должна быть непропатченная уязвимость для работы вируса. С другой стороны, мало кто подключает шары через интернет, по этому порт можно прикрыть файерволлом.

norrest, с одной стороны пишут, что вирус использует недавнюю уязвимость в виндовой реализации SMB сервиса, с другой - народ для его активации запускал присланные файлы. Где правда - пока не понятно.

norrest · 27-06-2017 22:26

Вот же дерьмо!

Код:

Согласно информации из фейсбука Киберполиции Украины (так же подтверждено из комментариев к статье), одним из векторов атаки на бизнес структуры Украины стало распространение вируса через программу M.E.doc (ПО для электронной отчетности и документооборота)

ПО имеет в себе функцию установки обновлений с сайта upd.me-doc.com.ua.

После такого «замененного обновления» у пользователей создался файл «rundll32.exe» который начал обращаться к локальным IP адресам запрашивая 139 и 445 порты, после чего создавался файл perfc.bat

Далее следовал запуск cmd.exe с командой: /c schtasks /RU «SYSTEM» /Create /SC once /TN "" /TR «C:\Windows\system32\shutdown.exe /r /f» /ST

После этого создавался и запускался файл вида ac3.tmp (02ef73bd2458627ed7b397ec26ee2de2e92c71a0e7588f78734761d8edbdcd9f)

Далее создание файла: dllhost.dat

Скорее всего разработчики M.E.doc так же были взломаны и данное обновление было загружено злоумышленниками.

Кто не в курсе, «M.E.Doc» - это одна из самых распространенных ПО в Украине для сдачи отчетности в налоговую!

arcam · 27-06-2017 22:42

А вопрос по сути всего один: Кто у нас в стране реально несёт ответственность за безопасность государственных объектов от этой и подобных этой вирусных атак? Huh

Завтра начнут рапортовать о многомиллиардных убытках, причиненных данной атакой.
Кто ответит?

norrest · 27-06-2017 22:55

Никто не ответит! Максимум, что могут сделать, это выделить очередную сумму из бюджета, для создания структуры для противодействиям хакерских атак!
Кстати сайт киберполиции сегодня тоже лежал! Biggrin

Comandante · 27-06-2017 23:23

(27-06-2017 22:07)adsh писал(а): В любой нормальной винде он - открыт.

Это не нормально. Он закрыт.
Если приходит пакет обновлений, винда (настроенная) сообщает об этом. И далее, принимаем/не принимаем.

КФ · 27-06-2017 23:38

(27-06-2017 22:42)arcam писал(а): Завтра начнут рапортовать о многомиллиардных убытках, причиненных данной атакой.
Кто ответит?

Да мы с вами и ответим, своим кошельком. Как всегда.

Вадимыч · 27-06-2017 23:44

Комп'ютерний вірус-вимагач Petya.А: як захиститись?

Пишуть: дати грошей! Петя любить гроші!....

Або, купити мізки... собі.