#Petya.A Из-за масштабной вирусной атаки не работают банки, медиа, сервисы

[BlackVS 35]

Еще инфа для размышлений: Операторы NotPetya доказали свою способность восстанавливать зашифрованные файлы

Да вот не факт. Если бы на расшифровку выслали бы какой-то оригинальный файл, который не был до того публично выложен, то да.

https://motherboard.vice.com/en_us/article/evdxj4/notpetya-ransomware-hackers-decrypt-file

Тут же дали расшифровать известный/публичный файл (вот он, к примеру - https://github.com/tpn/pdfs/blob/master/Microsoft%20Portable%20Executable%20and%20Common%20Object%20File%20Format%20Specification%20-%20Revision%208.3%20(6th%20Feb%2C%202013).pdf)

, то есть этот файл можно также было "дешифровать" просто получив хеш всего или части файла и по хешу найти такой же файл. С очень большой вероятностью он и окажется исходным.

К тому же не сильно понятно, учитывая резонанс, зачем им дальше палиться. Скорее смахивает на увод в сторону.

Відредаговано 2017-07-06 13:43:56 BlackVS

[netstriker 19]

Кто читал http://cert.gov.ua/?p=2771что думаете?

[johny 56]

Кто читал http://cert.gov.ua/?p=2771что думаете?

 

Читал. Думаю, что это все херня, по сравнению с тем, что, гипотетически возможно, в "мир" могли улететь ЕЦП с паролями... также ЕЦП нотариусов их пароли доступа к реестрам, например недвижимости...

Відредаговано 2017-07-06 21:12:13 johny

[zaborovsky 359]

 

 

также ЕЦП нотариусов их пароли доступа к реестрам, например недвижимости...

 

там и без ЕЦП есть где развернуться

 

http://korrespondent.net/business/realestate/3725462-rasstrelnyi-reestr-volna-reiderstva-v-ukrayne

[rabbit-kms 5]

https://rabota.ua/company5436751/vacancy6796387?utm_source=jobalert&utm_medium=email&utm_campaign=jobalert_active_0_offer&sId=43399364&date=06.07.2017&user=de3fafca050a49578adc36e91776c188&al=1

https://rabota.ua/company3758078/vacancy6017749?utm_source=jobalert&utm_medium=email&utm_campaign=jobalert_active_0_offer&sId=144199221&date=06.07.2017&user=92454707012f4353bde7ee136c3b0e25&al=1

 

с таким подходом будет не один еще Петя и Вася))))

Відредаговано 2017-07-07 06:02:39 rabbit-kms

[dell 21]

Ты себе цену то уже сложил?

[rabbit-kms 5]

как и каждый 100500 мильенов фунтов стерлингов)

[a_n_h 590]

https://rabota.ua/company5436751/vacancy6796387?utm_source=jobalert&utm_medium=email&utm_campaign=jobalert_active_0_offer&sId=43399364&date=06.07.2017&user=de3fafca050a49578adc36e91776c188&al=1

https://rabota.ua/company3758078/vacancy6017749?utm_source=jobalert&utm_medium=email&utm_campaign=jobalert_active_0_offer&sId=144199221&date=06.07.2017&user=92454707012f4353bde7ee136c3b0e25&al=1

 

с таким подходом будет не один еще Петя и Вася))))

Старый принцип:

одни делают вид, что платят, другие делают вид, что работают!

[ingr 74]

Ті, що працюють, мабуть таки працюють - їх колеги буквально заставляють працювати. Але, працюють в створених умовах. Той хто платить мінімалку за складну роботу, скоріше за все, не потратить гроші навіть на зовнішній вінт для бекапів...

Знайомі, яких цього разу "пронесло" при всій детальності пояснень (в тому числі про банальний вихід з ладу вінчестера) лише покивали головою.

Укрпошта валяється до сьогодні...

[Sоrk 48]

Еще инфа для размышлений: Операторы NotPetya доказали свою способность восстанавливать зашифрованные файлы

 

Если загуглить "ESET Антон Черепанов ДНР" то можно предположить что сам Черепанов расшифрованный файл и передал обоим сторонам, так что просто увод в сторону от того что это была целенаправленная атака по прикрытием вирусной.

 

Криптовымогатели не будут:

- форматировать диски серверов из-под IP KVM

- затирать флешки на коммутаторах из-под взломанных аккаунтов администраторов

- взламывать линкус-сервера систем мониторинга

- ставить кейлоггеры на терминальных серверах

 

[vppkn 102]

https://rabota.ua/company5436751/vacancy6796387?utm_source=jobalert&utm_medium=email&utm_campaign=jobalert_active_0_offer&sId=43399364&date=06.07.2017&user=de3fafca050a49578adc36e91776c188&al=1

https://rabota.ua/company3758078/vacancy6017749?utm_source=jobalert&utm_medium=email&utm_campaign=jobalert_active_0_offer&sId=144199221&date=06.07.2017&user=92454707012f4353bde7ee136c3b0e25&al=1

 

с таким подходом будет не один еще Петя и Вася))))

 

 Чоткая специальность: "компьютерщик".

[johny 56]

Чоткая специальность: "компьютерщик".

 

улыбнуло

 

в 1991 (вроде) году, меня принимали на работу на должность "Техник-компьютерщик" . Обслуживал "мега" компьютеры тех лет Атари 65 ХЕ, и игровые автоматы.

 

Прошло 25 лет, специальность не меняется в умах людей) 

Відредаговано 2017-07-07 13:49:04 johny

[zaborovsky 359]

может кому надо...

 

вот здесь http://kyivstar-inet.com/threads/petya-a-nu-chto-pa-sluchaetsja-kogo-shifrovalschik-nakryl.4607/page-12#post-83344 лежит скрипт и инструкция по конвертации БД из 189-го релиза Медка в 188-й, ибо доступный на сегодня 188-й релиз (в котором бэкдора якобы нет) не воспринимает резервные копии, созданные в следующей по счету, 189-й версии и не может из них восстановить базу из сохраненной резервной копии (из-за чего приходится восстанавливать сильно давние резервные копии, если они есть, созданные еще прежним релизом Медка.

их может и не быть, если в настройках Медка включена опция "сохранять не более N последних копий", где обычно N=3 )

 

т.е. этим методом резервная копия сперва понижается с 189-й до 188-й, а потом ее можно использовать совместно с 188-м релизом

 

такая вот эквилибристика...

Відредаговано 2017-07-07 15:13:32 zaborovsky

[ttttt 195]

по сравнению с тем, что, гипотетически возможно, в "мир" могли улететь ЕЦП с паролями... также ЕЦП нотариусов их пароли доступа к реестрам, например недвижимости...

Да не парьтесь, раньше же было то же самое и никого не волновало, что там могло улететь. От чего-то больше, чем случайных нецелевых атак вирусами практически никакие коммерческие организации не могут защититься. Нет даже специалистов толком, они же приватному сектору особо не нужны и если государство не выращивает их, то и взяться им негде.

[S_ergey 21]

 

 

может кому надо...

 

Делал сегодня по "Инструкция(Версия 1)"

http://cit.ks.ua/medok-cat/rekomendacii-dlya-otkata-na-versiyu-10-01-188-medok.html 

[BlackVS 35]

Вот сегодня прочитал в фейсбуке такое вот мнение:

 

"В наших реалиях уже никаких локальных админов нет, т.к. чего ему платить когда всё и так работает. А когда перестает работать, то на этот счет есть контракт с какой нить лавкой managed services, где нанят десяток админов обслуживающих сотню контор. "

 

Тут всё %) Потому "маємо те що маємо".

[ValRevan 38]

Вот сегодня прочитал в фейсбуке такое вот мнение:

 

"В наших реалиях уже никаких локальных админов нет, т.к. чего ему платить когда всё и так работает. А когда перестает работать, то на этот счет есть контракт с какой нить лавкой managed services, где нанят десяток админов обслуживающих сотню контор. "

 

Тут всё %) Потому "маємо те що маємо".

В наших реалиях вижу что при глобальном кризисе когда резко все обрушилось у многих фирм админ на оутсорсе не помог тк там нет столько сотрудников чтобы мгновенно отреагировать и восстановить такое кол-во клиентов на коротком промежутке времени

[zaborovsky 359]

 

 

"В наших реалиях уже никаких локальных админов нет, т.к. чего ему платить когда всё и так работает. А когда перестает работать, то на этот счет есть контракт с какой нить лавкой managed services, где нанят десяток админов обслуживающих сотню контор. "

 

да, именно так

 

про это я и говорил несколько страниц назад

 

и сервисные конторы рекламу крутят -- зачем платить админу, вызывайте нас 

[zaborovsky 359]

 

 

В наших реалиях вижу что при глобальном кризисе когда резко все обрушилось у многих фирм админ на оутсорсе не помог тк там нет столько сотрудников чтобы мгновенно отреагировать и восстановить такое кол-во клиентов на коротком промежутке времени

 

ну да и фиг с ним -- налоговая вон обещала всем, просрочившим подачу налоговых, послабление

 

делов-то...

 

это для заводов больших, где все встало -- там да, проблемы 

 

а в средних и мелких купи-продайках -- им по большому счету пофиг (знаю конторы, у которых все документы в гугле, там же и почта, а компы -- в роли локальных терминалов)

[Tolyan 13]

для заводов больших, где все встало -- там да, проблемы

... потому что админ не управляет предприятием а просто делает что говорят. Представте себе зоопарк 350+ ПК  с ОС от WIN XP до WIN 10 где нельзя просто так взять и вырубить SMBv1. Со временем восстановлят но дыры всеравно останутся и даже админ с ЗП ххх баксов не спасет от новых вирусов таких как петя(Petya.A, Petya.C, PetrWrap или PetyaCry)

[Prime 51]

Представте себе зоопарк 350+ ПК  с ОС от WIN XP до WIN 10 где нельзя просто так взять и вырубить SMBv1

 

значит плохой софт или построенный процесс, в котором все на smbv1 работают.

это архаизм уже стал

[Tolyan 13]

 

 

значит плохой софт или построенный процесс

дело даже не в плохом софте а том что нет нет поддержки, цены в промышленности чуток отличаются и не всегда есть альтернатива.

 

P.S. А по сути кто такой "Petya.х" ? Это просто криптор;. сам процесс запуска был с привилегиями админа, сегодня он по сети "пошел" по SMBv1 "завтра" по другой дыре пролезет и mbr filter не поможет, потому как файло шифрует до перезагрузки, после перезагрузки  "ломает"  MBR и MFT.

[BlackVS 35]

https://xakep.ru/2017/07/07/medoc-is-back/

http://blog.talosintelligence.com/2017/07/the-medoc-connection.html

Ok. Выпустят они 190-й апдейт. И... всё останется по-прежнему? Вентилятор, дующий на стойку, бумажки (с паролями?) втыкнутые в сервера, остутствие банального https на сайтах медка и АЦСК Украина (про то, что ftp для распространения обновлений вчерашний день)...

Как именно они увели админский пароль?

Відредаговано 2017-07-08 03:43:36 BlackVS

[BlackVS 35]

 

 

ну да и фиг с ним -- налоговая вон обещала всем, просрочившим подачу налоговых, послабление   делов-то...

 

http://sfs.gov.ua/media-tsentr/novini/301993.html

Но для этого этот законопроект должен быть принят.

А депутаты уже все намылились на отдых кто куда.

И тут я его не вижу -

http://w1.c1.rada.gov.ua/pls/zweb2/webproc555

То есть походу законопрект из Уряду до Ради так еще и не дошел...

[graysilver 143]

 

для заводов больших, где все встало -- там да, проблемы

... потому что админ не управляет предприятием а просто делает что говорят. Представте себе зоопарк 350+ ПК  с ОС от WIN XP до WIN 10 где нельзя просто так взять и вырубить SMBv1. Со временем восстановлят но дыры всеравно останутся и даже админ с ЗП ххх баксов не спасет от новых вирусов таких как петя(Petya.A, Petya.C, PetrWrap или PetyaCry)

 

Админ не должен управлять и планировать стратегию. Это задачи CIO.