Комментарии к публикации «Обнаружены второй и третий варианты WannaCry, в том числе без стоп-крана» https://habr.com/ru/post/357340/ ru editor@habr.com habr.com Sun, 15 May 2022 01:53:27 GMT https://habr.com/ru/ https://habrastorage.org/webt/ym/el/wk/ymelwk3zy1gawz4nkejl_-ammtc.png Хабр 19.05.2017 10:05:43 saboteur_kiev https://habr.com/post/357340/#comment_11229442 https://habr.com/post/357340/#comment_11229442
IMHO, риск, что винда не загрузится — гораздо лучше, чем риск, что твои документы зашифруются.]]> Fri, 19 May 2017 10:05:43 GMT saboteur_kiev 19.05.2017 10:02:37 saboteur_kiev https://habr.com/post/357340/#comment_11229440 https://habr.com/post/357340/#comment_11229440
1. Любой Линукс — это тоже ОС.

2. Бинарники может представляют из себя инструкции для процессора, но архитектура бинарников между разными ОС заметно отличается.
3. В бинарниках могут быть вызовы ОС функций, чтобы например не писать самостоятельно работу с файловой системой.

В этом плане, в Линукс даже проще — исходники доступны, можно взять готовое, просто размер бинарника заметно увеличится, и требование к квалификации программиста тоже.

Линукс все еще весьма НЕ популярен среди обычных пользователей, поэтому особого смысла писать под него нет.
Вот обратите внимание, что несмотря на растущую популярность Линукса и Мака, внезапно очень сильно взлетел Андроид, и вот под него уже зловредов заметно больше, чем для Линукса и Мака вместе взятых — просто потому, что он стал популярен именно среди целевой аудитории.]]> Fri, 19 May 2017 10:02:37 GMT saboteur_kiev 16.05.2017 13:50:13 vganin https://habr.com/post/357340/#comment_11229438 https://habr.com/post/357340/#comment_11229438 Tue, 16 May 2017 13:50:13 GMT vganin 16.05.2017 10:43:43 artemev https://habr.com/post/357340/#comment_11229436 https://habr.com/post/357340/#comment_11229436 Tue, 16 May 2017 10:43:43 GMT artemev 16.05.2017 09:24:58 zoid009 https://habr.com/post/357340/#comment_11229434 https://habr.com/post/357340/#comment_11229434 сам скрипт
https://github.com/cldrn/nmap-nse-scripts/blob/master/scripts/smb-vuln-ms17-010.nse
Команда
nmap -sC -p 445 --max-hostgroup 3 --open --script smb-vuln-ms17-010.nse 1x.x.x.x/x]]> Tue, 16 May 2017 09:24:58 GMT zoid009 16.05.2017 09:17:14 Acerus https://habr.com/post/357340/#comment_11229432 https://habr.com/post/357340/#comment_11229432 Tue, 16 May 2017 09:17:14 GMT Acerus 16.05.2017 08:45:27 zoid009 https://habr.com/post/357340/#comment_11229430 https://habr.com/post/357340/#comment_11229430 Tue, 16 May 2017 08:45:27 GMT zoid009 16.05.2017 08:42:59 alxt https://habr.com/post/357340/#comment_11229428 https://habr.com/post/357340/#comment_11229428 1. Ничего не восстановить, расчёт на лоха.
2. После оплаты надо что-от отправить на почту, чтобы получить персональный ключ.
В прошлых вариантах шифровальщиков встречался второй вариант, тут (или на хабре) были статьи.]]> Tue, 16 May 2017 08:42:59 GMT alxt 16.05.2017 08:38:25 shogunkub https://habr.com/post/357340/#comment_11229426 https://habr.com/post/357340/#comment_11229426 Tue, 16 May 2017 08:38:25 GMT shogunkub 16.05.2017 08:32:55 elite7 https://habr.com/post/357340/#comment_11229424 https://habr.com/post/357340/#comment_11229424 Хорошо. Спасибо. Но ведь тогда, если авторы расшифровывают файлы и ключ один, то достаточно одного ключа дешифровки, чтобы расшифровывать все компьютеры?


А если ключей несколько, то и платежи должны чем-то отличаться.

]]> Tue, 16 May 2017 08:32:55 GMT elite7 16.05.2017 07:38:10 Alexeyslav https://habr.com/post/357340/#comment_11229422 https://habr.com/post/357340/#comment_11229422 И самый железобетонный аргумент — зачем напрягаться когда более простые методы работают?]]> Tue, 16 May 2017 07:38:10 GMT Alexeyslav 16.05.2017 06:30:36 madgrok https://habr.com/post/357340/#comment_11229420 https://habr.com/post/357340/#comment_11229420 http://www.microsoft.com/ru-ru/download/details.aspx%3Fid%3D39891
Скорее всего его перекрыл накопительный апдейт.]]> Tue, 16 May 2017 06:30:36 GMT madgrok 16.05.2017 06:25:30 Alexeyslav https://habr.com/post/357340/#comment_11229418 https://habr.com/post/357340/#comment_11229418 Tue, 16 May 2017 06:25:30 GMT Alexeyslav 16.05.2017 06:23:13 alxt https://habr.com/post/357340/#comment_11229416 https://habr.com/post/357340/#comment_11229416 Если авторы вируса реально расшифровыают файлы- то они присылают пару к ключу шифрования.
Если всё сделано правильно- то никакой антивирус (и вообще никто) не поможет, а вымогатели- помогут.]]> Tue, 16 May 2017 06:23:13 GMT alxt 16.05.2017 06:05:38 sumanai https://habr.com/post/357340/#comment_11229414 https://habr.com/post/357340/#comment_11229414 Tue, 16 May 2017 06:05:38 GMT sumanai 16.05.2017 05:47:01 Dioxin https://habr.com/post/357340/#comment_11229412 https://habr.com/post/357340/#comment_11229412 У него HACKER ID есть?]]> Tue, 16 May 2017 05:47:01 GMT Dioxin 16.05.2017 05:40:57 Dioxin https://habr.com/post/357340/#comment_11229410 https://habr.com/post/357340/#comment_11229410 2. можно закрыть порт 445.
3.можно выйти в инет через роутер с закрытым портом 445.
]]> Tue, 16 May 2017 05:40:57 GMT Dioxin 16.05.2017 05:32:45 Dioxin https://habr.com/post/357340/#comment_11229408 https://habr.com/post/357340/#comment_11229408 Гадить так по полной.]]> Tue, 16 May 2017 05:32:45 GMT Dioxin 16.05.2017 03:49:42 Spewow https://habr.com/post/357340/#comment_11229406 https://habr.com/post/357340/#comment_11229406 Tue, 16 May 2017 03:49:42 GMT Spewow 16.05.2017 01:11:21 maldalik https://habr.com/post/357340/#comment_11229404 https://habr.com/post/357340/#comment_11229404 Подскажите что я делаю не так?image


C:\Users\maldalik>dism /online /norestart /disable-feature /featurename:SMB1Protocol


Cистема DISM
Версия: 6.1.7600.16385


Версия образа: 6.1.7601.18489


Ошибка: 0x800f080c


Имя компонента "SMB1Protocol" неизвестно.
Имя компонента Windows не распознано.
Воспользуйтесь параметром /Get-Features, чтобы найти имя компонента в образе, и
повторите команду.


Файл журнала DISM находится по адресу C:\Windows\Logs\DISM\dism.log

]]> Tue, 16 May 2017 01:11:21 GMT maldalik 15.05.2017 21:06:49 Acerus https://habr.com/post/357340/#comment_11229402 https://habr.com/post/357340/#comment_11229402 Mon, 15 May 2017 21:06:49 GMT Acerus 15.05.2017 20:56:09 Acerus https://habr.com/post/357340/#comment_11229400 https://habr.com/post/357340/#comment_11229400 И потом — если с KB2859537 было всё в порядке, то почему же мелкомягкие как-то быстро его убрали из доступных к загрузке?]]> Mon, 15 May 2017 20:56:09 GMT Acerus 15.05.2017 20:53:59 MyFearGear https://habr.com/post/357340/#comment_11229398 https://habr.com/post/357340/#comment_11229398 Просто поищите решение.]]> Mon, 15 May 2017 20:53:59 GMT MyFearGear 15.05.2017 20:43:26 kumbr_87 https://habr.com/post/357340/#comment_11229396 https://habr.com/post/357340/#comment_11229396 https://bitinfocharts.com/bitcoin/wallet/WannaCry-wallet
Насколько реально, ведь такая «беспрецендентная кибератака» должна была заразить ну минимум десятки миллионов ПК по всему миру, даже если каждый тысячный заплатил бы сумма должна была быть слегка поболее… или всем реально пофиг на данные или количество жертв слегка завышено или таки проверяют малую долю кошельков? ]]> Mon, 15 May 2017 20:43:26 GMT kumbr_87 15.05.2017 20:25:03 madgrok https://habr.com/post/357340/#comment_11229394 https://habr.com/post/357340/#comment_11229394
У такой модификации есть две наиболее вероятные причины.

Вредоносные программы. Это не первый случай, когда обновление ядра выявляет наличие проблем в системе – так, 3.5 года назад случайно обнаружился руткит Alureon.

Нелегальная активация. Этот момент отлично разобрал участник конференции OSZone simplix, который не понаслышке знаком со сборками Windows, а также является автором полезной программы AntiSMS для лечения вирусов и троянов.
http://www.outsidethebox.ms/15229/]]> Mon, 15 May 2017 20:25:03 GMT madgrok 15.05.2017 20:20:56 Labunsky https://habr.com/post/357340/#comment_11229392 https://habr.com/post/357340/#comment_11229392 А если человек выключает Защитника и обновления, значит у него стоит сторонний антивирус.Или не стоит. Может, он просто сидит где-нибудь за NAT'ом (а то и вообще только с локалкой) и периодически загружает винду в игры погамать. Или для сборки/тестирования виндовых билдов чего-то своего, написанного где-нибудь в убунте, использует. Или это вообще виртуалка для двух программ, которой обновления ни в какую не уперлись. Или…]]> Mon, 15 May 2017 20:20:56 GMT Labunsky 15.05.2017 19:37:32 Inuki https://habr.com/post/357340/#comment_11229390 https://habr.com/post/357340/#comment_11229390 Mon, 15 May 2017 19:37:32 GMT Inuki 15.05.2017 19:35:38 sashademeshkin https://habr.com/post/357340/#comment_11229388 https://habr.com/post/357340/#comment_11229388
#NoEnv; Recommended for performance and compatibility with future AutoHotkey releases.
#SingleInstance force
; #Warn; Enable warnings to assist with detecting common errors.
SendMode Input; Recommended for new scripts due to its superior speed and reliability.
SetWorkingDir %A_ScriptDir%; Ensures a consistent starting directory.
DetectHiddenWindows, On

#Persistent

; выполнять скрипт каждых 1000 милисекунд
SetTimer, UsersDirectoryWatch, 1000
return

UsersDirectoryWatch:

; тут значение количества директорий до атаки, в нормальном состоянии (у меня их шесть)
count_normal=6

; считаем количество директорий в папке users (включая скрытые директории)
loop, C:\Users\*.*, 2, 0
{
count++
}

; если значение превышено — выводим сообщение
if (count > count_normal)
MsgBox, ВНИМАНИЕ! В ДИРЕКТОРИИ USERS ОБНАРУЖЕНЫ НОВЫЕ ПАПКИ!

; обнуление счетчика
count=0

; конец скрипта
return

; для выключения скрипта нажать ctrl+alt+shift+0
!+^0::ExitApp]]> Mon, 15 May 2017 19:35:38 GMT sashademeshkin 15.05.2017 19:31:58 Acerus https://habr.com/post/357340/#comment_11229386 https://habr.com/post/357340/#comment_11229386 Лучше вручную регулярно подгадывая под очередной выход кумулятивного обновления всё загрузить.]]> Mon, 15 May 2017 19:31:58 GMT Acerus 15.05.2017 19:26:27 artyums https://habr.com/post/357340/#comment_11229384 https://habr.com/post/357340/#comment_11229384 Поэтому, имхо, от подобного вектора атаки с автоматическим распространением вируса, маршрутизатор — отличная преграда.]]> Mon, 15 May 2017 19:26:27 GMT artyums 15.05.2017 19:23:32 artyums https://habr.com/post/357340/#comment_11229382 https://habr.com/post/357340/#comment_11229382
К тому же, у меня NAS создает сетевые папки через SMB2 (это явно выбрано его в настройках) и они тоже работают без проблем.]]> Mon, 15 May 2017 19:23:32 GMT artyums 15.05.2017 19:22:50 read2only https://habr.com/post/357340/#comment_11229380 https://habr.com/post/357340/#comment_11229380 Но кто мешает обнулить макрософту всю эту сокральность?
Простое правило — не ставить обновления моментально. Требуется относительно немного времени выяснить содержание того или иного KB.]]> Mon, 15 May 2017 19:22:50 GMT read2only 15.05.2017 18:55:19 ShadowMaster https://habr.com/post/357340/#comment_11229378 https://habr.com/post/357340/#comment_11229378 ]]> Mon, 15 May 2017 18:55:19 GMT ShadowMaster 15.05.2017 18:52:54 rastych https://habr.com/post/357340/#comment_11229376 https://habr.com/post/357340/#comment_11229376 Mon, 15 May 2017 18:52:54 GMT rastych 15.05.2017 18:43:51 elite7 https://habr.com/post/357340/#comment_11229374 https://habr.com/post/357340/#comment_11229374 Все хочу задать глупый вопрос, а как вирус узнает, что оплата произведена и файлы можно расшифровывать?

]]> Mon, 15 May 2017 18:43:51 GMT elite7 15.05.2017 18:34:37 dartraiden https://habr.com/post/357340/#comment_11229372 https://habr.com/post/357340/#comment_11229372 7 (и XP) есть сторонние наборы обновлений, регулярно обновляемые. Хуже, конечно, чем штатная система обновлений, но определённо лучше, чем ничего (а для XP это вообще единственная возможность получать обновления).]]> Mon, 15 May 2017 18:34:37 GMT dartraiden 15.05.2017 18:30:39 dartraiden https://habr.com/post/357340/#comment_11229370 https://habr.com/post/357340/#comment_11229370 Я проверял просто: расшарил папку (Свойства — Доступ — Общий доступ) и убедился, что к ней есть доступ с другого компьютера, работающего под Windows 8.1. Затем отключил CIFS, перезагрузился, после чего другой компьютер уже не видел эту папку через «Сеть».

Возможно, как-то влияет то, что у меня полностью отключена служба домашней группы и в политиках запрещено её создание?]]> Mon, 15 May 2017 18:30:39 GMT dartraiden 15.05.2017 18:28:45 vsespb https://habr.com/post/357340/#comment_11229368 https://habr.com/post/357340/#comment_11229368 Mon, 15 May 2017 18:28:45 GMT vsespb 15.05.2017 18:15:15 artyums https://habr.com/post/357340/#comment_11229366 https://habr.com/post/357340/#comment_11229366 Mon, 15 May 2017 18:15:15 GMT artyums 15.05.2017 18:09:16 vsespb https://habr.com/post/357340/#comment_11229364 https://habr.com/post/357340/#comment_11229364 Mon, 15 May 2017 18:09:16 GMT vsespb