#Petya.A Из-за масштабной вирусной атаки не работают банки, медиа, сервисы

[Pit 35]

Кстати, в контексте сегодняшнего шухера. Остались ли еще операторы/провайдеры, которые и далее намерены закупать и использовать российское железо?

А что, в том железе что-то не работает?

Или оно стало дороже D-Link-a?

[zaborovsky 359]

 

 

Под шумок протянут DPI - 100%

 

его и безо всякого шума протянут

 

а это так, контрольный выстрел, типа, ну вы же видите, без ДПИ -- никак

 

и сейчас какой-нибудь "аналитик" типа Турчинова вырядится в камуфляж, запрыгнет в окоп и оттуда сделает авторитетное заявление про руку Кремля. 

[Pit 35]

 

Под шумок протянут DPI - 100%

 

его и безо всякого шума протянут

 

а это так, контрольный выстрел, типа, ну вы же видите, без ДПИ -- никак

 

и сейчас какой-нибудь "аналитик" типа Турчинова вырядится в камуфляж, запрыгнет в окоп и оттуда сделает авторитетное заявление про руку Кремля. 

 

Заражение вирусом Petya началось с Украины, заявили в ESET.

На втором месте среди пострадавших стран находится Италия,

на третьем - Израиль. В первую десятку также вошли Сербия,

Венгрия, Румыния, Польша, Аргентина, Чехия и Германия. Россия

в данном списке занимает лишь 14-е место.

Правда что ли?

[zaborovsky 359]

 

 

Под шумок протянут DPI - 100%

 

его и безо всякого шума протянут

 

а это так, контрольный выстрел, типа, ну вы же видите, без ДПИ -- никак

 

и сейчас какой-нибудь "аналитик" типа Турчинова вырядится в камуфляж, запрыгнет в окоп и оттуда сделает авторитетное заявление про руку Кремля.

 

Заражение вирусом Petya началось с Украины, заявили в ESET.

На втором месте среди пострадавших стран находится Италия,

на третьем - Израиль. В первую десятку также вошли Сербия,

Венгрия, Румыния, Польша, Аргентина, Чехия и Германия. Россия

в данном списке занимает лишь 14-е место.

Правда что ли?

 

 

 

а вот и подробности, я был прав насчет Медка, ибо я лично обновлял эту машину -- источник заразы у нас, с флешки, куда были записаны обновления для ХР и 2003

 

и, между прочим, отечественный антивирус Зилля это дело пропустил (при том, что он постоянно срабатывает на что угодно, что на деле вирусом не является)

 

Департамент кіберполіції Національної поліції України

4 ч · 

#ВАЖЛИВО:

На даний момент попередньо відомо, що вірусна атака на українські компанії виникла через програму "M.E.doc." (програмне забезпечення для звітності та документообігу)

Це програмне забезпечення має вбудовану функцію оновлення, яка періодично звертається до серверу: "upd.me-doc.com.ua" (92.60.184.55) за допомогою User Agent "medoc1001189".

Оновлення має хеш: dba9b41462c835a4c52f705e88ea0671f4c72761893ffad79b8348f57e84ba54.

Більшість легітимниг "пінгів" (звернень до серверу) дорівнює приблизно 300 байт.

Цього ранку, о 10.30, програму M.E.doc. було оновлено. Воно складало приблизно 333кб, та після його завантаження відбувались наступні дії:

- створено файл: rundll32.exe;

- звернення до локальних IP-адрес на порт 139 TCP та порт 445 TCP;

- створення файлу: perfc.bat;

- запуск cmd.exe з наступною командою: /c schtasks /RU "SYSTEM" /Create /SC once /TN "" /TR "C:\Windows\system32\shutdown.exe /r /f" /ST 14:35”;

- створення файлу: ac3.tmp (02ef73bd2458627ed7b397ec26ee2de2e92c71a0e7588f78734761d8edbdcd9f) та його подальший запуск;

- створення файлу: dllhost.dat.

В подальшому, шкідливе програмне забезпечення розповсюджувалось за допомогою вразливості у протоколі Samba (яка також використовувалась під час атак WannaCry).

Рекомендація:

- тимчасово не застосовувати оновлення, які пропонує програмне забезпечення "M.E.doc." при запуску;

Інформація оновлюється!

https://www.facebook.com/cyberpoliceua/posts/536947343096100

 

 

немедленно вычистить все российское ПО!

 

долой 1С, даешь отечественный продукт!

 

так победим!

Відредаговано 2017-06-27 22:49:07 zaborovsky

[vppkn 102]

 

Под шумок протянут DPI - 100%

 

его и безо всякого шума протянут

 

а это так, контрольный выстрел, типа, ну вы же видите, без ДПИ -- никак

 

и сейчас какой-нибудь "аналитик" типа Турчинова вырядится в камуфляж, запрыгнет в окоп и оттуда сделает авторитетное заявление про руку Кремля. 

 

 

Да запросто, если захотят. Причем, пройдет это все под полный всенародный одобрямс пересічних и всенародные благодарности истосковавшихся по твердой руке с просьбами подзатянуть гаечки потуже и добавить еще больше треша, угара и содомии в целях борьбы с вездесущими агентами Кремля.

[ttttt 195]

 

На даний момент попередньо відомо, що вірусна атака на українські компанії виникла через програму "M.E.doc."

Ну т.е. проникли в медок и подложили вирус в апдейт, с чего все и началось.

[zaborovsky 359]

 

 

На даний момент попередньо відомо, що вірусна атака на українські компанії виникла через програму "M.E.doc."

Ну т.е. проникли в медок и подложили вирус в апдейт, с чего все и началось.

 

 

 

дотянулся, проклятый... (с)

[zaborovsky 359]

 

 

Кстати, в контексте сегодняшнего шухера.

 

какая связь?

 

уже известно, что приехало оно, как я и говорил, с обновлениями от Медка

 

каким боком тут какое-либо железо? 

[ttttt 195]

(не завидую я ИТ-департаменту Медка.....)

Откуда у них ИТ департамент, они же разработчик. Им сейчас нужно имя вернуть, пригласить западных аудиторов и реально пофиксить проблемы безопасности. Не так:

 

http://www.me-doc.com.ua/vnimaniyu-polzovateley

Внимание!

 

На наши сервера осуществляется вирусная атака.

 

Просим прощения за временные неудобства!

каким боком тут какое-либо железо?

Никаким, можно хоть у ФСБ покупать, на ситуацию с безопасностью это никак не повлияет. Відредаговано 2017-06-27 23:40:47 ttttt

[zaborovsky 359]

ну, понеслась!
 
СНБО на линии

Подавляющее большинство заражений операционных систем происходило через открытие вредоносных приложений (документов Word, PDF-файлов), которые были направлены на электронные адреса многих коммерческих и государственных структур.

Кровавый Пастор не отстает

 

 

По его словам, все государственные учреждения, которые выполняли рекомендации Национального координационного центра кибербезопасности и были включены в защищенный контур (защищенный узел интернет-доступа) не пострадали.

 

Кровавый Пастор и Купол Грома защищенный контур

[zaborovsky 359]

http://www.me-doc.co...yu-polzovateleyЦитата Внимание! На наши сервера осуществляется вирусная атака. Просим прощения за временные неудобства!

 

 

для пущего эффекта надо еще прибавить неизменное "благодарим за понимание" (с)

 

 

 

Откуда у них ИТ департамент, они же разработчик.

 

 

они и продажник вполне себе тоже -- оно денег стоит и немалых (сетевая версия особенно)

Відредаговано 2017-06-27 23:53:17 zaborovsky

[Zend 6]

У нас помер только сервак с 1С и медком.

Вернее, остановили его на 0%. Другие серверы на винде, да и рабочие машины тоже, хоть и в одной сети, не пострадали.

Но клиентов, чьи сервера размещены в ДЦ, приехало много. Эти не успели :-)

Офисный админ говорит что обновы медка не ставил на этой неделе. Значит, наверное, как-то раньше пришло.

Смотрели диск с R-Studio, сразу ушли папки Program Files (и x86), Windows, ProgramData. Остальное, видать, не успело.

Відредаговано 2017-06-28 03:56:56 Zend

[sanyadnepr 305]

UPD 6 :

Для идентификации шифровальщика файлов необходимо завершить все локальные задачи и проверить наличие следующего файла:

C: \ Windows \ perfc.dat

UPD10:

Специалисты Positive Technologies нашли локальный “kill switch” для Petya, остановить шифровальщика можно создав файл «C:\Windows\perfc (perfc — файл без расширения)

Так же есть и хорошие новости: если вы увидели перезагрузку компьютера и начало процесса „проверки диска“, в этот момент нужно сразу же выключить компьютер, и файлы останутся незашифрованными.

Загрузка с LiveCD или USB-диска даст доступ к файлам

 

Слито с https://habrahabr.ru/post/331762/

[Zend 6]

 

 

Загрузка с LiveCD или USB-диска даст доступ к файлам

 \

Если процесс пошел, то уже не даст)

[zaborovsky 359]

 

 

Офисный админ говорит что обновы медка не ставил на этой неделе. Значит, наверное, как-то раньше пришло.

 

у нас машина с медком -- это просто клиентская машина с софтверным raid1, обновления на ней ставятся то ли автоматом, то ли девочка, ответственная за медок, согласилась с предложениями обновления автоматом (там, если не обновляться. бывают проблемы, что налоговые не отправляются, т.к. формы поменялись и т.д. -- поэтому наши всегда обновляются по команде) 

[Dellok 0]

Похоже криптуется не диск, а отдельные файлы, потому доступ будет к информации, что не успела зашифроваться, будет.

Кстати я правильно понимаю, что первый запуск на первом зараженном компьютере в сети должен быть с правами админа как минимум локального?

[zulu_Radist 856]

Абоны звонят - "А нам можно уже включать компьютер?" 

[zaborovsky 359]

 

 

Кстати я правильно понимаю, что первый запуск на первом зараженном компьютере в сети должен быть с правами админа как минимум локального?

 

если судить по тому, что написала киберполиция про Медок -- то да

 

но это ж не спасет, потому как Медок спрашивает, мол, доступны обновления -- обновить?

 

и налоговый бухгалтер (тот, кто отвечает за отправку налоговых накладных в налоговую) отвечает "да"

 

и иначе и быть не может, потому что отказ от обновления Медка череват тем, что могут быть не приняты налоговые (если форма изменилась, а она меняется часто, поэтому все всегда соглашаются)

[Zend 6]

На всякий случай, мож кому пригодится. Софтинка, сканит на предмет уязвимости к WannaCry.

https://github.com/ptresearch/Pentest-Detections/tree/master/WannaCry_Petya_FastDetect

 

Нашлись несколько машин, в т.ч., с хр, но, как ни странно, никаких проблем с ними

[mixeysan 23]

Дампы с HDD после заражения машины 

 

У кого есть зараженные компы - плиз сделайте бэкапчики первые 0-63 сектора диска или , лучше , первые 1-4 мб данных 

hdd_0-100sector.zip

hdd_0-4096.zip

Відредаговано 2017-06-28 08:12:12 mixeysan

[Zend 6]

Дампы с HDD после заражения машины 

 

У кого есть зараженные компы - плиз сделайте бэкапчики первые 0-63 сектора диска или , лучше , первые 1-4 мб данных 

А толку. Дядьки из PT его уже ковыряли.

Все ж одинаковое будет.

[masterzep 9]

На ваши дампы секторов HDD успешно реагирует Microsoft Security Essentials ...

 

 

Відредаговано 2017-06-28 08:41:35 masterzep

[mixeysan 23]

На ваши дампы секторов HDD успешно реагирует Microsoft Security Essentials ...

Уже реагирует?    Почему раньше не было никакой реакции? 

[strellson 280]

Сегодня Uber пополнился большим количеством премиум машин с водителями, начинающими свой рассказ с фразы "а раньше я был IT директором в одной крупной конторе"...

[John_Doe 301]

 

 

немедленно вычистить все российское ПО! долой 1С, даешь отечественный продукт! так победим!

Память у вас как у рыбки,вспомните сколько каспер своими обновами машин положил

Тут же положил не сам медок,его скомпрометировали и ипользовали как транспорт, разнесли заразу с его обновлениями,причем заявляют что это не единственный путь попадания Petya на машину

Сомневаюсь что в других странах пострадавших от пети медок вообще используется