#Petya.A Из-за масштабной вирусной атаки не работают банки, медиа, сервисы

[johny 56]

http://internetua.com/u-adminov-atacovannyh-kompanii-ne-bilo-shansov-zametit-anomaliua

[ttttt 195]

http://internetua.com/u-adminov-atacovannyh-kompanii-ne-bilo-shansov-zametit-anomaliua

Он тут даже на форуме был, когда в CERT-UA работал.

[johny 56]

очень извиняюсь за офтоп, но тема читаема пользователями медка, логично спросить тут..

 

рукожопые медковцы то рекомендуют сменить ключи, то сейчас рекомендуют сменить е-майл, то рекомендуют пользовать версию 188, хотя, как утверждают, версия 190 на "рассмотрении". Сами не знают еще чего написать, что бы народ от них не сваливал.

 

с ключами понятно и логично. единственное не брать у "приближенной" к ним конторы ацск Украина.

зачем конвертить базы со 189 версии на 188, если ожидаем безвирусную 190 версию. Абы ото без дела народу не сидеть..

самое, для меня непонятное, о чем и спрашиваю. смена е-майл. Для отчетов похер с какого е-майла они отправлены, на тот же е-майл и придут повидомлення и квитанции. А вот для документообигу - хм., откуда их сервер знает мой -"рабочий" для медка емайл ? Или я что то недопонял, или при смене е-майл, документообиг работать не будет по е-майл, но по идее должен работь при прямом соединении..

 

Подскажи пож-та.

 

p.s. Единственное пожелание, добавить кнопку в интерфейс программы, при нажатии которой, в очередной раз контора ИС посылается на#рен... 

Відредаговано 2017-07-11 15:30:01 johny

[zaborovsky 359]

 

 

зачем конвертить базы со 189 версии на 188, если ожидаем безвирусную 190 версию. Абы ото без дела народу не сидеть..

 

в 189-м релизе содержится бэкдор и сейчас антивирусы его распознают и блокируют

 

поэтому и откатываются на 188-й релиз, где бэкдора якобы нет 

[johny 56]

 

 

поэтому и откатываются на 188-й релиз, где бэкдора якобы нет

 

не проще заменить файл, взять его с 188 версии ?

 

Я имею ввиду это: https://local.com.ua/forum/uploads/monthly_07_2017/beab346_1499281314.jpg

[zaborovsky 359]

 

поэтому и откатываются на 188-й релиз, где бэкдора якобы нет

 

не проще заменить файл, взять его с 188 версии ?

 

Я имею ввиду это: https://local.com.ua/forum/uploads/monthly_07_2017/beab346_1499281314.jpg

 

 

заменить-то можно, но х.з. чем это черевато?

 

как вариант -- в 188-й версии dll-библиотеки может не быть каких-то функций, которые имеются в 189-м релизе (потому что, например, 188-я версия "не понимает" резервных копий, созданных 189-й версией)

 

проще откатиться штатными средствами

Відредаговано 2017-07-11 16:05:53 zaborovsky

[AleksHr 2]

Ні, тому що новий медок зі старим файлом не працює.

 

Наразі всі сидять під свій старх на 188 базі. Я думаю це наразі безпечно, так як керуючі сервера медка забрали, теоретично бекдору не буде ким командувати.

 

---

 

А чо сидять? Як можна не  сидіти коли бухгалтер по 10-20 накладних вдень штампує через нього... а штрафи податкова не відмінить.

 

Всі шукають альтернативи, але поки їх щось не дуже і видно. Одиниці перейшли на щось інше.

[johny 56]

бухгалтер по 10-20 накладних вдень штампує через нього...

 

Вы пробовали менять е-майл в медке ? документообіг работает после этого ? 

 

>Наразі всі сидять під свій старх на 188 базі.

Я наверное садомазо. сижу на 189. таки жду 190 ;-)

Відредаговано 2017-07-11 16:16:42 johny

[zaborovsky 359]

Я думаю це наразі безпечно, так як керуючі сервера медка забрали, теоретично бекдору не буде ким командувати.

 

так не бэкдор командует сервером, а с сервера приходят управляющие директивы на клиент с бэкдором, нет?

Відредаговано 2017-07-11 16:59:41 zaborovsky

[zaborovsky 359]

 

 

Вы пробовали менять е-майл в медке ? документообіг работает после этого ? 

 

там есть прямое соединение с серверами медка и есть получение квитанций по почте

 

второе работало, пврвое -- нет

 

но это, я так понимаю, потому что сервера забрали 

[johny 56]

там есть прямое соединение с серверами медка и есть получение квитанций по почте

 

это мне понятно. Я про погодження податковой накладной с контрагентом, перед регистрацией. 

Відредаговано 2017-07-11 17:02:27 johny

[Alex_K 0]

Эта.. насчёт смены ящика. Выкладывали же уже.. https://www.welivesecurity.com/2017/07/04/analysis-of-telebots-cunning-backdoor/

Ещё в апрельской версии жил модуль который соб(и)рал из медка все ящики с паролями, с привязкой к ЄДРПОУ  организаций. Все ваши отчёты которые проходили через старые ящики мог(ли/ут) читаться третьми лицами. Даже если не пошифровало. Оно Вам надо?

Мы своим сразу рекомендовали всем не только сменить эти ящики с паролями, а и если тот же пароль или очень похожий пользовали где то ещё - сменить везде. Желательно так же зайти в ящик старый и очистить/удалить его если что там есть.

 

Параллельно переучиваться пользоваться другой программой. Договора с ДФС заключаются на ЕЦП, не на ПО - например можно теми же ключами (которые вы тоже сменили недавно если не хотите чтобы старыми ключами кто то что то подписал за Вас) зарегистрироваться в уже упомянутой тут ifin и пользоваться паралелльно, в идеале - из линкуса/макос.

Відредаговано 2017-07-12 16:06:15 Alex_K

[BlackVS 35]

Может ошибаюсь. Но не все так просто. При авторизации в том же электронном кабинете проверяется валидность ключа через запрос того же АЦСК. Поэтому нельзя было зайти на кабинет плательщика используя ключи АЦСК Украина когда лежал их сайт. Получая новый ключ нужно анулировать старый. Аннулирует тот, кто выдал? Если предположить, что у АЦСК Украина рыльце в пушку, то нужно было немедленно на госуровне блокировать ВСЕ выданные им ключи путём их непризнания, а не просить каждого клиента сменить ключ. Ибо никто не гарантирует, что старый ключ в самом деле будет анулирован. По хорошему в комплекте нужно менять сразу все - ключи, логины, пароли, почту. С установкой на чистую систему. Но с другой стороны настораживает - вроде как собирались данные, но нигде не засветились пока... как так? Ведь можно было с помощью собранных данных навести шорох на порядок больше. Не складывается как-то.

[johny 56]

медок обновился до 190

https://www.medoc.ua/uk/news/shanovn-klnti-vijshlo-onovlennja-1001190

 

читая нижний абзац, можно предполагать что с обновлением 191 ИС будет бабу предлагать. бесплатно.

 

 

 

то нужно было немедленно на госуровне блокировать ВСЕ выданные им ключи

 

 

гм. на каком основании ? (Наказ ,закон ,постанова)

 

 

 

а не просить каждого клиента сменить ключ

 

 

территориально нахожусь в Луганской области. Ключи получали в Киеве в гол офисе ИС. Вы представляете "во сколько" обойдется (времени, денех) смена ключей ?

Відредаговано 2017-07-12 19:25:45 johny

[Prime 51]

 

а говорили, что обновления без подписи 

[zaborovsky 359]

Все ваши отчёты которые проходили через старые ящики мог(ли/ут) читаться третьми лицами.

 

почта (отчеты о доставке и квитанции) из ящика забирается практически постоянно, POP'ом

 

ситуация, при которой в ящике что-то лежит незабранное, практически исключена 

 

отправляет оно вообще вроде как напрямую (smtp же...)

 

 

 

зарегистрироваться в уже упомянутой тут ifin и пользоваться паралелльно, в идеале - из линкуса/макос.

 

а если главбух уперся в медок как баран в новые ворота?

 

а как линукс с седьмой 1С интегрировать? или xml'ками обмениваться через smb-шару? (нет, я интегрировал когда-то, и даже не с линуксом, а вообще с бсд, но файловую версию и там были проблемы с 1С'ными файловыми блокировками, которыми оно оперирует как семафорами, не давая другим юзерам повторно открывать уже кем-то открытые документы -- так вот, в вайне как раз можно было одновременно открывать, ибо блокировки не работали (или 1С их не так понимала как надо) что ни в какие ворота...

sql-версию в вайне я вообще не тестировал (а у нас именно она и там тоже не все хорошо, вобщем, как это у 1С принято...)

Відредаговано 2017-07-12 21:58:16 zaborovsky

[zaborovsky 359]

 

 

нужно было немедленно на госуровне блокировать ВСЕ выданные им ключи путём их непризнания, а не просить каждого клиента сменить ключ.

 

так кто ж этой шарашке малину ломать будет?

 

у пацанов все схвачено, а тут вируса какие-то... 

[zaborovsky 359]

 

 

Не складывается как-то.

 

значит или не планировалось или планировалось, но действовали разные группы и одна другую опередила 

[zaborovsky 359]

 

 

Ключи получали в Киеве в гол офисе ИС. Вы представляете "во сколько" обойдется (времени, денех) смена ключей ?

 

вчера общался с представителем медка -- они говорят, что можно получать/менять ключи в удаленном режиме 

[johny 56]

Screenshot at июля 12 23-50-19.png

 

а говорили, что обновления без подписи 

 

точно.. тут они убили мозг наповал. Обратите внимание, что подписано "старой доброй подписью" а не ЕЦП...

Они уже и "своим" ЕЦП не доверяют так получается ? ;-)

[mixtery 121]

По хорошему в комплекте нужно менять сразу все - ключи, логины, пароли, почту. 

 

> менять сразу все - ключи, логины, пароли, почту, страну //FIXED

 

Причем если пойти в обратном направлении, то при смене подчёркнутого остальные действия не столь важны.

[SDE 52]

Первый ключ к разгадке. Но увы тому кто заразился через медок не помогают.

https://habrahabr.ru/company/kaspersky/blog/333374/

Відредаговано 2017-07-15 09:31:27 SDE

[olsasha 25]

https://ssu.gov.ua/ua/news/1/category/2/view/4013#.TmhmDR4T.dpbs

 

Служба безпеки України попереджає про підготовку нової хвилі масштабної кібератаки на державні структури та приватні компанії. За інформацією спецслужби, цілями зловмисників визначені великі державні та приватні компанії. Основна мета ‒ порушити штатне функціонування інформаційних систем, що може дестабілізувати ситуацію в країні. Фахівці СБ України отримали дані, що атака може бути здійснена з використанням оновлень, у тому числі загальнодоступного прикладного програмного забезпечення. Механізм її реалізації буде подібним до кібератаки, проведеної в червні 2017 року. Для попередження несанкціонованого блокування інформаційних систем необхідно дотримуватись таких рекомендацій:

- оновити сигнатури антивірусного ПЗ на серверах і робочих станціях;

- здійснити резервування інформації, що оброблюється на комп’ютерному обладнанні;

- забезпечити щоденне оновлення системного програмного забезпечення, у т.ч. OS Windows усіх без винятку версій. 

[hailnora 128]

https://ssu.gov.ua/ua/news/1/category/2/view/4013#.TmhmDR4T.dpbs

 

Служба безпеки України попереджає про підготовку нової хвилі масштабної кібератаки на державні структури та приватні компанії. За інформацією спецслужби, цілями зловмисників визначені великі державні та приватні компанії. Основна мета ‒ порушити штатне функціонування інформаційних систем, що може дестабілізувати ситуацію в країні. Фахівці СБ України отримали дані, що атака може бути здійснена з використанням оновлень, у тому числі загальнодоступного прикладного програмного забезпечення. Механізм її реалізації буде подібним до кібератаки, проведеної в червні 2017 року. Для попередження несанкціонованого блокування інформаційних систем необхідно дотримуватись таких рекомендацій:

- оновити сигнатури антивірусного ПЗ на серверах і робочих станціях;

- здійснити резервування інформації, що оброблюється на комп’ютерному обладнанні;

- забезпечити щоденне оновлення системного програмного забезпечення, у т.ч. OS Windows усіх без винятку версій. 

 

 

https://ebanoe.it/2017/10/10/cert-ua-fail/

[ttttt 195]

Фахівці СБ України отримали дані

Похоже на обычную черную пропаганду от СБУ, "страшный враг готовит кибератаку, мамой клянусь". Тут, понимаешь, АНБ, ФБР и ЦРУ ничего заранее узнать не могут об атаках, а СБУ каким-то чудом вдруг смогло.