Комментарии 56
Компании, специализирующиеся на переписывании кода, который обещает делать что-то полезное, но может содержать в себе закладки.
Кажется, им надо половину андроидового стора переписывать. И гугловых приложений. Обещают делать что-то полезное, а внутри сплошная малваря с трекингом и показом рекламы.
Чтобы тут же раскатать последний ночной и начать расследование? Ну ладно, пусть будет предпоследний, если в последний уже пошли зашифрованные данные. Это же не банк, потеря изменений за сутки-двое болезненна, но не смертельна.
Тут дома стараешься offline бэкапы делать, чтобы шифровальщик не добрался…
А сейчас лучше не стало, а только хуже, ибо автомобильный сегмент они потеряли и денег больше не стало.
Столько лет пытаться продавать карты для каждого города отдельно ещё и для разных версий, тогда как конкуренты обеспечивали бесплатную(или весьма дешёвую) альтернативу с не худшим качеством.
Чтобы тут же раскатать последний ночной и начать расследование?
Р — Решето.
Складывается впечатление, что шифровальщик добрался именно до всех бэкапов сразу. Ну, например, завладел рутом на всех устройствах, хранящих бэкапы. Как будто бэкапы были не append-only.
Тут дома стараешься offline бэкапы делать, чтобы шифровальщик не добрался…
А есть какое-нибудь решение для append-only бэкапов? Не на CD же их записывать. (даже если на CD, для чтения надо бы обзавестись непишущим приводом...) Внутренний параноик интересуется.
Или, если NAS достаточно умный — складываем файлы бэкапа на расшаренный в локальную сеть каталог (с логином/паролем), откуда эти файлы забирает по планировщику NAS к себе на хранение.
PS: Сейчас экспериментирую с Raspberry Pi 4, в принципе неплохо работает в качестве NAS (100 МБ/сек на запись и чтение больших файлов дает, хотя греется при этом знатно).
На случай факапов у меня таки git))
Но, посмотрев на пример garmin и немного обдумав свою конфигурацию, я понял, что против атаки это не поможет.
даже если на CD, для чтения надо бы обзавестись непишущим приводом...
Можно (хотя бы теоретически) записывать на CD-R.
А есть какое-нибудь решение для append-only бэкапов?
Borg или Restic из коробки это умеют (при наличии выделенного сервера для хранения, разумеется). Правда, ключи для доступа к бэкап-серверу лучше держать оффлайн.
С другой стороны, генерировать стопки одноразовых носителей любого стандарта — неэкологично, потому air gap никто не отменял.
управляющий софт, агенты на серверах, агенты на системах хранения. Далее уже работа системного инженера разместить управляющий софт на защищённом от атаки хосте
RESTRICTED DELETION FLAG OR STICKY BIT
The restricted deletion flag or sticky bit is a single bit, whose interpretation depends on the file type. For directories, it prevents unprivileged users from removing or renaming a file in the
directory unless they own the file or the directory; this is called the restricted deletion flag for the directory, and is commonly found on world-writable directories like /tmp. For regular files
on some older systems, the bit saves the program's text image on the swap device so it will load more quickly when run; this is called the sticky bit.
Иными словами, на сегодняшний день (как и гласит Википедия) можно в общем случае считать, что ОС Linux игнорирует этот бит на файлах. А для каталогов помимо бита в контексте обсуждаемой защиты необходимо обеспечить:
- каталог не принадлежит пользователю с euid учетной записи на FTP-сервере
- файлы после их заливки меняют своего владельца с euid учетной записи на FTP-сервере (перестают принадлежать этому пользователю)
В целом, этот подход тоже работоспособен и очень часто поддерживается серверами. В этом соглашусь.
Мы также облажались. Шифровальщик зашифровал сервер и бэкапы к этому северу.
Кто-нибудь объяснит на пальцах, почему нельзя взять зашифрованные версии некоторого количества известных эталонных файлов, оригиналы этих же файлов и, сравнивая их, найти ключ дешифровки?
Наверняка сохранились либо старые бэкапы, либо почтовые вложения, либо какие-то стандартные неизменные вещи типа прайсов или каталогов партнеров, и можно найти много таких пар оригиналов и зашифрованных версий, в конце концов можно на тестовой машине специально скормить шифровальщику какой-то объем данных.
Будь так просто, вся современная криптография была бы бесполезна. Всего лишь треть от 2048, а сложность растёт чуть ли не экспоненциально.
Я недавно поднимал в одной конторе один сервер «для внутренних нужд» с помершими дисками. Бэкапы с данными в порядке, а толку нет, т.к. для запуска того устаревшего движка на php5.3 просто невозможно найти этот самый php5.3 со всеми рюшечками. Софт не развивался и версий под новый php, старые репозитории давно выпилены.
В итоге нашел старый дистриб убунты 10, натянул на виртуалку — только так удалось запустить.
И попытки перенести сайт на другое место не удаются, как раз по описанной вами причине.
Конечно, можно потратить кучу времени и пофиксить проблему на уровне кода, или попытаться восстановить руками все затычки, но долго это, да и лень
И это проблема одного мелкого сайтика, а что будет на уровне корпорации…
Никогда такого не было и вот опять!Проблема в сознании высшего менеджмента. Вернее в тотальном и хроническом дилетантстве и вороватости высшего менеджмента. ИТ стали в сознании этого менеджмента чем-то типа слесарей и уборщиц. Компьютеры же ш как трубы и грязь — везде одинаковы. ИТ есть во всех компаниях, обязательны для использования, преимуществ перед другими компаниями (у которых тоже используются ИТ) нет никаких, деньги тратят, мнят о себе черт знает что, прикидываются умными и интеллигентными, игнорируют корпоративную иерархию почитания-поклонения, говорят на птичьем языке и о птичьих проблемах. Одним словом ИТ в сознании менеджмента — это генератор стабильных трат и убытков от которого надо избавиться при первой возможности.
А тут еще и какая-то ИТ безопасность. Совсем там они опупели! Про эту безопасность слышали все. Так достаточно выдать всем слесарям-ИТшникам команду: «Работать безопасно!» На вопрос, что под этим подразумевается — строго посмотреть в глаза такому выскочке-недотепе и раздраженно заявить о его токсичности. Все понимают, а он не понимает. На худой конец нанять приятного и послушного во всех отношениях перца и объявить его офицером по ИТ безопасности. И все как бы безопасно станет!
Так будет до тех пор пока как минимум 10% крупных компаний за 10 лет не будут банкротиться по причине громких инцидентов в ИТ безопасности. До чего пока далеко. Так что киберпреступникам есть куда расти.
Так достаточно выдать всем слесарям-ИТшникам команду: «Работать безопасно!»
Хорошему айтишнику этого достаточно, ограничителем может быть только бюджет, и то не сильным (разве что нет денег на отдельный сервер для бэкапов). Те кому недостаточно — это точно слесари, которые посетили курсы программистов или аникейщиков, или те кто живёт в пещере и ни разу не в курсе что происходит в мире айти, плюс особая категория "мне за это не платят".
Проблема в том что (обычно) менеджмент (и кадровики) не особо разбирается в айтишниках, поэтому хороших берут на работу редко (в природе их и так мало, на всех не хватит), соответственно, набирают именно слесарей, которым удаётся сводить концы с концами выдавая продукт, но внутрь лучше не смотреть. Конечно, есть ещё и просто исполнители, которые хорошо делают ровно то о чём сказали, и ни байтом больше (потому что не умеют или не хотят перенапрягаться) — с ними те же проблемы, но их тоже можно отнести к слесарям, правда уже лучшего разряда.
Однако в Emsisoft пояснили, что они только создают инструменты для расшифровки, а не участвуют в схемах по организации выкупов.
Такие большие, а в сказки поверили. Если Emsisoft — бенифициары от использования инструментов расшифровки (а забесплатно они не работают), то 100% что они, как минимум, причастны к созданию всего этого ransomware.
Где-то в начале 90х мне пришлось писать дешифровщики для нескольких древних вирусов, я уже не помню что то за хрень была (почти 30 лет прошло) — они шифровали файлы (правда, только com/exe) весьма примитивным способом (банальный xor с фидбеком, ключём выступала начальная часть файла, если я помню правильно). Делал я это совсем не бесплатно, даже подумывал на этом (антивирусах) специализироваться, и только сейчас, после вашего комментария я понял какую возможность упустил… наверное, был бы уже олигархом.
PS: Это не вы случайно блестящую шапочку уронили?
А если сразу все файлы шифровать? Тогда шифровальщик не страшен.
Garmin купила у криптовымогателей ключ для расшифровки файлов