Comments 17
а этот зверь шифрует все подряд или только с определенным расширением файлы *.rar *.doc?
Приятно было прочитать, буду ждать продолжения. Вы используете плагин от OllyDebugger, но не используете сам отладчик OllyDebugger, чем это вызвано?
Интересно, продолжение ждемс.
vah13*
Офисные документы и фото, доступ к которым не требует дополнительных прав.
Ti_Fix*
Имунка поддерживает питон, пофикшены некоторые баги ольки, и можно использовать плагины ольки, вроде как специально сделан для изучения малвари.
vah13*
Офисные документы и фото, доступ к которым не требует дополнительных прав.
Ti_Fix*
Имунка поддерживает питон, пофикшены некоторые баги ольки, и можно использовать плагины ольки, вроде как специально сделан для изучения малвари.
а удалось расшифровать их вручную, без там выплаты бтц и другое
Посмотрите, в самом начале статьи есть ссылка на securelist. Там все довольно подробно описано — и какие типы файлов шифрует, и почему практически нереально расшифровать. Нам повезло — счет зараженных ПК был на единицы и критические файлы для вируса были недоступны. В следующей статье будет описана логика самого Downloader'а, не CTB-Locker'а (про него и так неплохо написано на securelist). Хотя если будет время, то попробую тоже разобрать подробно, но это дело не ближайшей перспективы.
Работаю сетевым инженером в одной из компаний в группе компаний из трех букв
Боюсь даже представить эти 3 буквы :)
2. Пользователь открывает архив и запускает из него .scr
Сидя под админом? Да за такое ж расстрелять мало!
Причем тут админ? У пользователей обычные пользовательские учетки, но при этом ведь никто им запускать бинарники не запрещает, они же пользуются различным ПО. Scr по сути своей такой же PE файл, как и exe, и, следовательно, его ему тоже никто не запрещает запускать. Криптолокер шифрует только пользовательские файлы, поэтому противоречий с правами не возникает.
Ну хоть пользовательские учётки, и то ладно. Но я бы серьёзно присмотрелся к тому админу, который разрешает запускать файлы, присланные по почте. Scr из exe получаются простой сменой расширения. А те, кто запускает экзешники не глядя — достойны расстрела.
А для этого уже информационная безопасность должна проводить хоть какие-то мероприятия по обучению пользователей, а не смотреть на технические средства, как на 100% панацею.
Как вы отличите файл присланный по почте, скаченный в «temp» и/или перемещенный на рабочий стол, от файла который там лежал месяц до этого?
P.S. В Linux практикуют запрет запуска из «temp» например, но это осложнит жизнь при обновлениях другого ПО для Windows.
Не тратьте время на разбор деталей с почтой, я знаком с тем на что способны/неспособны корпоративные AV для почтовых серверов.
P.S. В Linux практикуют запрет запуска из «temp» например, но это осложнит жизнь при обновлениях другого ПО для Windows.
Не тратьте время на разбор деталей с почтой, я знаком с тем на что способны/неспособны корпоративные AV для почтовых серверов.
Sign up to leave a comment.
Trojan-Downloader.Win32.Cabby.cemx — Часть первая — Распаковка