Остановили вирус, ага!

Ребята, в 3й раз всем предлагаю, отключите питание дополнительных жестких на недельку, не испытывайте судьбу!!! оставьте только С диск и винду, шифрование начинается с самых последних букв если что и в последний момент С диск умирает...

Цитата (Sokol22 @ 14.05.2017 - 18:47)

Цитата (7FL @ 14.05.2017 - 16:22) Цитата (Sokol22 @ 14.05.2017 - 16:12) Цитата (7FL @ 14.05.2017 - 15:56) Красота. Пить начали 5, открыл инет сегодня. А тут пиздец оказывается творится. ))))) ко мне 2 раза эта зараза проникала , денег требовала , все файлы и фото накрылись ((. Один раз отбились , так она , сука , через час опять пробилась (. Сейчас 2 "каспера " отбиваются . чето я на нервах (. А как это всё проявляется? Как-то особо не заморачиваюсь безопасностью. Стоит Нод, винда7, браузерами хром и яндекс. Все вроде лицензионное, обновляется. Даже знать не знал, что какой-то геморр. внезапно на весь экран вылез тот красный листок с требованием заплатить 300 баксов в биткоинах по такому -то адресу - и все , не сгонишь никакими уговорами и святой водой (. Не дает смотреть НИЧЕГО. Все файлы исчезли. Первый раз ненадолго удалось выгнать вымогателей. Во второй раз выгнали и надеемся на новых установленных "касперов".

Так надо патч ставить срочно и порты закрыть....

Цитата (мишлечк @ 14.05.2017 - 16:43)

Цитата (Бойцоваямышь @ 14.05.2017 - 14:33) Цитата (zxr @ 13.05.2017 - 23:28) а вот в Северной Корее все спокойно. рисовое поле таким вирусом не сломать. На карте Северная Корея усеяна синими точками. Зато в Гренландии - ни одной. Это эскимосы оттакуэ. это южная корея усыпанна,северная свободный клочок сразу над точками

Дальний восток уснул. Удачи им - понедельник встретят на передовой, как японцы сейчас.

Кста, рутер елтекс, на опенврт -ниче не глючит. Я то наивно думал что у меня тел быстрее работать стал, из за смены прошивки. А оказывается вокруг много рутеров валяються.

Отправлено с мобильного клиента YAPik+

Цитата (ДедСекрет @ 14.05.2017 - 16:39)

Цитата (assmouse @ 14.05.2017 - 16:32) Цитата (Алфиринос @ 14.05.2017 - 18:31) Насчет обновить винду - а не мелкософт случайно ли запустил этот вирус не? Втихаря. Для старых своих систем, что бы у людей не было выбора и пришлось десятку ставить. Которая живет своей жизнью и плюс ко всему шпионит внаглую запользователем. Че то это подозрительно. Скорее всего в этом замешан мелкософт. Ага, а 300 биткоинов - штраф за пиратку Вопрос знающим - если у меня в роутере отключена возможность внешнего пингования - риск снижается? Поскольку я в логах не вижу, чтобы кто-то долбился на указанные порты. да,снижает, если у вас не белый ип и на роутере хотя бы включен нат то вы практически в безопасности, ну с учетом того что не будите шастать по сайтам всяким плохим и открывать левые письма

Видишь ли , по РБК каждые полчаса говорили , что пострадали больше всего МВД , Следственный Комитет , Минздрав , Мегафон и др. Думаешь , там одни профаны работают ? Почти 100 стран ( ! ) пострадали.
Не все же там ходили по левым ссылкам ).

Все получились в выигрыше - и мелкософт, и каспер, и остальная банда антивирусников. Все сейчас скачают себе 10ку, и по хорошему, дорогому антивируснику. И как здесь - не подумать на них самих?)) Только они имеют хороший профит с такого, все остальные - нагибаются
Это сообщение отредактировал ganzer - 14 мая 2017 в 16:56

Цитата (Sokol22 @ 14.05.2017 - 16:47)

внезапно на весь экран вылез тот красный листок с требованием заплатить 300 баксов в биткоинах по такому -то адресу - и все , не сгонишь никакими уговорами и святой водой (. Не дает смотреть НИЧЕГО. Все файлы исчезли. Первый раз ненадолго удалось выгнать вымогателей. Во второй раз выгнали и надеемся на новых установленных "касперов".

А это как-то для домашнего компа актуально?
Не скачивая и не устанавливая ничего, только браузер в интернете?

Цитата (Эклиптика @ 14.05.2017 - 16:51)

Ребята, в 3й раз всем предлагаю, отключите питание дополнительных жестких на недельку, не испытывайте судьбу!!! оставьте только С диск и винду, шифрование начинается с самых последних букв если что и в последний момент С диск умирает...

Кстати так и сделал) Отключил hdd оставил ток ssd-шник где самое ценное это сэйвы от игр. Будем посмотреть что дальше будет на неделе.

А что делать если винда нелицензионная 10-ка, нет антивируса, даже встроенный в винду отрубил, чтоб крякнутые игры работали. Да и айпишнег у меня выделенный, и по порно сайтам сегодня уже трижды лазил. Все норм, так шо продолжаю наблюдение.

Эх, а у меня Виста 8-летней давности стоит, предустановленная... Ни разу не обновлял, да уже и не буду. Антивирусов нет и не было, пробовал устанавливать - только систему тормозят и бодро отчитываются об устраненных угрозах - возникает впечатление, что комп создан не для меня, а для борьбы с этими самыми вирусами.
Жалко, конечно, фотки и видео, если пропадут. Но большая часть у дочки, тестя и жены на нотбуках продублированы. Склоню голову и буду смиренно ждать.
На всякий случай - Прощайте, друзья, мне было весело с вами.
Пашкет, перестань писать песни, ну или хоть не выкладывай их на ЯП.
Это сообщение отредактировал Телепень - 14 мая 2017 в 17:03

Цитата (hostchel @ 13.05.2017 - 23:28)

Срочно зовите Брюса Уиллиса! Он знает, кого замочить

Да тут вроде на терминатора похоже

Цитата (7FL @ 14.05.2017 - 18:56)

Цитата (Sokol22 @ 14.05.2017 - 16:47) внезапно на весь экран вылез тот красный листок с требованием заплатить 300 баксов в биткоинах по такому -то адресу - и все , не сгонишь никакими уговорами и святой водой (. Не дает смотреть  НИЧЕГО. Все файлы исчезли. Первый раз ненадолго удалось выгнать вымогателей. Во второй раз выгнали и надеемся на новых установленных "касперов". А это как-то для домашнего компа актуально? Не скачивая и не устанавливая ничего, только браузер в интернете?

Касается, если обновления не ставил на винду.

Вчера ходил я с утра машину на учет ставить, так в ГАИ сказали, что у них сервера не работают, приходите во вторник.

Автор темы бы хоть чето полезного добавил в шапку.

с хабра выдержка

Атака программы-вымогателя нанесла ущерб многим компаниям и организациям по всему миру, включая испанскую телекоммуникационную компанию Telefonica, больницы в Великобритании и американскую компанию доставки FedEx. Вредоносная программа, относящаяся к классу криптовымогателей, стала известна как «WannaCry».

Вредонос умеет по TCP сканировать 445 порт (Server Message Block/SMB) и распространяться, как червь, атакуя хосты и зашифровывая файлы, которые на них находятся. После чего он требует перечислить какое-то количество биткойнов за расшифровку.

В связи с этой атакой, всем организациям рекомендовалось убедиться, что на их компьютерах, работающих на Windows установлены последние обновления. Также на них должны быть закрыты порты 139 и 445 для внешнего доступа. Порты используются протоколом SMB.

Также надо отметить, что угроза все еще активно исследуется, так что ситуация может меняться в зависимости от реакции злоумышленников на действия специалистов по компьютерной безопасности.

Цитата (mescal @ 14.05.2017 - 21:07)

disel22 Цитата Ну так я про Красноярск. Или, ты думаешь, кроме мо нигде больше нет банкоматов? Сегодня утром в районе 10-11 час. снимала наличку в Сберовском банкомате. Правда в Дивногорске...

Только что снял в Солнечном.

Цитата (Sokol22 @ 14.05.2017 - 16:53)

Цитата (ДедСекрет @ 14.05.2017 - 16:39) Цитата (assmouse @ 14.05.2017 - 16:32) Цитата (Алфиринос @ 14.05.2017 - 18:31) Насчет обновить винду - а не мелкософт случайно ли запустил этот вирус не? Втихаря. Для старых своих систем, что бы у людей не было выбора и пришлось десятку ставить. Которая живет своей жизнью и плюс ко всему шпионит внаглую запользователем. Че то это подозрительно. Скорее всего в этом замешан мелкософт. Ага, а 300 биткоинов - штраф за пиратку Вопрос знающим - если у меня в роутере отключена возможность внешнего пингования - риск снижается? Поскольку я в логах не вижу, чтобы кто-то долбился на указанные порты. да,снижает, если у вас не белый ип и на роутере хотя бы включен нат то вы практически в безопасности, ну с учетом того что не будите шастать по сайтам всяким плохим и открывать левые письма Видишь ли , по РБК каждые полчаса говорили , что пострадали больше всего МВД , Следственный Комитет , Минздрав , Мегафон и др. Думаешь , там одни профаны работают ? Почти 100 стран ( ! ) пострадали. Не все же там ходили по левым ссылкам ).

Хорошо, а почему тогда не один провайдер не заражен ??? ведь если заразить провайдера то всей его сетке кранты, но пострадали те организации где экономят на ИТ сфере и работают бабы с интеллектом морковки, которые жмякают на картинки с "похудеть с помощью гречки"

Цитата (novvel @ 14.05.2017 - 17:00)

Касается, если обновления не ставил на винду.

Ок. Спасибо.

Цитата (7FL @ 14.05.2017 - 16:56)

Цитата (Sokol22 @ 14.05.2017 - 16:47) внезапно на весь экран вылез тот красный листок с требованием заплатить 300 баксов в биткоинах по такому -то адресу - и все , не сгонишь никакими уговорами и святой водой (. Не дает смотреть  НИЧЕГО. Все файлы исчезли. Первый раз ненадолго удалось выгнать вымогателей. Во второй раз выгнали и надеемся на новых установленных "касперов". А это как-то для домашнего компа актуально? Не скачивая и не устанавливая ничего, только браузер в интернете?

мы фильм смотрели дома , сверху на фильм наложился красный листок - и все , кино кончилось (. А вечером телеканал РБК показал этот листок и стал сообщать все подробности.

Цитата (Sokol22 @ 14.05.2017 - 17:08)

мы фильм смотрели дома , сверху на фильм наложился красный листок - и все , кино кончилось (. А вечером телеканал РБК показал этот листок и стал сообщать все подробности.

Ясно. Вроде обновляется всё. Хотя в принципе жалко было бы фотки, в основном. Но они и локально лежат и в облаке.

Ну раз пошли с хабры перепосты, вот с двачевской шапки хуй-пойми какого треда по счету, в целом годно:
ИСПРАВЛЕНИЯ, ЗАТЫКАЮЩИЕ ДЫРЫ В ВИНДЕ 7
http://www.catalog.update.microsoft.com/Se....aspx?q=4012215
http://www.catalog.update.microsoft.com/Se....aspx?q=4012212
-----------------------------------
Для Windows 7: SMBv1 отрубается на семёре через ps командой
(запускать от имени администратора)

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB1 -Type DWORD -Value 0 -Force

Запустил от имени админа но теперь вообще ноль реакции на команду
так и должно быть. это нормальное поведение. Говорит о том, что команда применилась

Для Windows 10
Третий пик в ОП посте
---------------------------------
Кто не хочет обновятся, просто пишет это в командную строку.

netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=135 name="Block_TCP-135"
netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=445 name="Block_TCP-445"
echo "Thx, Abu"

---------------------------------
КАК БОРОТЬСЯ, ЕСЛИ УЖЕ ЗАРАЖЕН:

1. НЕ ПЕРЕЗАГРУЖАЙТЕ КОМПЬЮТЕР!
2. НЕ ЗАПУСКАЙТЕ .exe ФАЙЛЫ, СКАЧАННЫЕ В МАЕ
3. ОБНОВИТЕ АНТИВИРУС И ПОСТАВЬТЕ СКАНИРОВАНИЕ ВСЕЙ СИСТЕМЫ
--------------------------------
Про ВИРУС, распространение и история:
Появился набор эксплоитов FuzzBunch, который группа хакеров Shadow Brokers украла у Equation Group, хакеров из Агенства Нац. Безопасности США.
Microsoft потихому прикрыла дырки обновлением MS 17-010, возможно самым важным обновлением за последние десять лет.
В то время как набор эксплоитов уже неделю лежит в открытом доступе https://github.com/fuzzbunch/fuzzbunch с обучающими видео.
В этом наборе есть опасный инструмент DoublePulsar.
Если кратко, то если открыт 445 порт и не установлено обновление MS 17-010, то DoublePulsar
простукивает этот порт, делает перехваты системных вызовов и в память внедряет вредоносный код.

https://geektimes.ru/post/289115/

----
Еще про распространение:

ХАКЕР WHITEHAT ИТТ! РАССКАЗЫВАЮ КАК ЭТО РАБОТАЕТ. ВСЕМ ВНИМАТЕЛЬНО СЛУШАТЬ.

У тех кто начал эту атаку есть

>Эксплойты слитые Shadow brokers
>Сканнер сети который они сами написали на C/Python
>Linux сервер

Как это работает?

>Скрипт сканнера запускается на Linux сервере
>Вбивается определенный IP диапазон или целая страна
>Скрипт сканирует диапазон на открытый 445 порт
>В случае удачного обнаружения SMB сервиса, посылает эксплойт, вызывающий переполнение буфера
>эксплойт закачивает файл и запускает его.

КАК ХАКЕРЫ ДЕЛАЮТ ТАК, ЧТОБ СЕРВЕР СКАНЕРА НЕ ПАЛИЛСЯ?

В Сетевом стэке Linux допущено изменять IP Header-ы исходящих пакетов. При сканировании их программа заменяет адрес на рандомный, поэтому настоящий адрес сканера никогда не фиксируется.
---------------------------------
Интерактивная карта распространения вируса в режиме реального времени
https://intel.malwaretech.com/WannaCrypt.html - это карта страдающих пидарах по всему миру
--------------------------------

КОШЕЛЬКИ ХАКЕРОВ
https://blockchain.info/address/13AM4VW2dhx...HkHSQuy6NgaEb94
https://blockchain.info/address/12t9YDPgwue...19p7AA8isjr6SMw
https://blockchain.info/address/115p7UMMngo...ijcRdfJNXj6LrLn
--------------------------------
НЕ ПОДТВЕРЖДЕННЫЕ ДАННЫЕ:

Майкрософт в обновлении подсунула БЭКДОР и теперь за вами будут следить (информация проверяется в надежных источниках)

Виновата в виросной атаке - Монголия, Канада и ряд стран Африки (Заключение полузависимого диванного эксперта из Текстильщиков)

Уязвимы только компьютеры под управлением ОС Windows 7-10, пользователи МАКоси и Линукс могут спать спокойно (эксперты из треда оспаривают это заключение)
---------------------------------
СОТРУДНИКИ ПОЛИЦИИ БУГУРТЯТ ИЗ-ЗА ВИРУСА В ВК:
https://vk.com/wall-28464698_720473
---------------------------------
В треде присутствует группа анонов, которые пошли в отрицалово и не верят в существование вируса, так же пытаются оспорить заявление СМИ и Лаборатории Касперского (Хотя уже пруфов было столько, шо пиздец). По неподтвержденным данным (информация проверяется) это дело рук Нэвэльного.

Видюшка для тех, кто еще не поймал кайфушку!


Это сообщение отредактировал Meeseeks - 14 мая 2017 в 17:17

Цитата

Уязвимы только компьютеры под управлением ОС Windows 7-10

XP вроде тоже же. На него мелкие состряпали обнову как раз для этого

Цитата (С2H5OH @ 14.05.2017 - 17:12)

Ну раз пошли с хабры перепосты, вот с двачевской шапки хуй-пойми какого треда по счету, в целом годно: ИСПРАВЛЕНИЯ, ЗАТЫКАЮЩИЕ ДЫРЫ В ВИНДЕ 7 http://www.catalog.update.microsoft.com/Se....aspx?q=4012215 http://www.catalog.update.microsoft.com/Se....aspx?q=4012212 ----------------------------------- Для Windows 7: SMBv1 отрубается на семёре через ps командой (запускать от имени администратора) Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB1 -Type DWORD -Value 0 -Force Запустил от имени админа но теперь вообще ноль реакции на команду так и должно быть. это нормальное поведение. Говорит о том, что команда применилась Для Windows 10 Третий пик в ОП посте --------------------------------- Кто не хочет обновятся, просто пишет это в командную строку. netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=135 name="Block_TCP-135" netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=445 name="Block_TCP-445" echo "Thx, Abu" --------------------------------- КАК БОРОТЬСЯ, ЕСЛИ УЖЕ ЗАРАЖЕН: 1. НЕ ПЕРЕЗАГРУЖАЙТЕ КОМПЬЮТЕР! 2. НЕ ЗАПУСКАЙТЕ .exe ФАЙЛЫ, СКАЧАННЫЕ В МАЕ 3. ОБНОВИТЕ АНТИВИРУС И ПОСТАВЬТЕ СКАНИРОВАНИЕ ВСЕЙ СИСТЕМЫ -------------------------------- Про ВИРУС, распространение и история: Появился набор эксплоитов FuzzBunch, который группа хакеров Shadow Brokers украла у Equation Group, хакеров из Агенства Нац. Безопасности США. Microsoft потихому прикрыла дырки обновлением MS 17-010, возможно самым важным обновлением за последние десять лет. В то время как набор эксплоитов уже неделю лежит в открытом доступе https://github.com/fuzzbunch/fuzzbunch с обучающими видео. В этом наборе есть опасный инструмент DoublePulsar. Если кратко, то если открыт 445 порт и не установлено обновление MS 17-010, то DoublePulsar простукивает этот порт, делает перехваты системных вызовов и в память внедряет вредоносный код. https://geektimes.ru/post/289115/ ---- Еще про распространение: ХАКЕР WHITEHAT ИТТ! РАССКАЗЫВАЮ КАК ЭТО РАБОТАЕТ. ВСЕМ ВНИМАТЕЛЬНО СЛУШАТЬ. У тех кто начал эту атаку есть >Эксплойты слитые Shadow brokers >Сканнер сети который они сами написали на C/Python >Linux сервер Как это работает? >Скрипт сканнера запускается на Linux сервере >Вбивается определенный IP диапазон или целая страна >Скрипт сканирует диапазон на открытый 445 порт >В случае удачного обнаружения SMB сервиса, посылает эксплойт, вызывающий переполнение буфера >эксплойт закачивает файл и запускает его. КАК ХАКЕРЫ ДЕЛАЮТ ТАК, ЧТОБ СЕРВЕР СКАНЕРА НЕ ПАЛИЛСЯ? В Сетевом стэке Linux допущено изменять IP Header-ы исходящих пакетов. При сканировании их программа заменяет адрес на рандомный, поэтому настоящий адрес сканера никогда не фиксируется. --------------------------------- Интерактивная карта распространения вируса в режиме реального времени https://intel.malwaretech.com/WannaCrypt.html - это карта страдающих пидарах по всему миру -------------------------------- КОШЕЛЬКИ ХАКЕРОВ https://blockchain.info/address/13AM4VW2dhx...HkHSQuy6NgaEb94 https://blockchain.info/address/12t9YDPgwue...19p7AA8isjr6SMw https://blockchain.info/address/115p7UMMngo...ijcRdfJNXj6LrLn -------------------------------- НЕ ПОДТВЕРЖДЕННЫЕ ДАННЫЕ: Майкрософт в обновлении подсунула БЭКДОР и теперь за вами будут следить (информация проверяется в надежных источниках) Виновата в виросной атаке - Монголия, Канада и ряд стран Африки (Заключение полузависимого диванного эксперта из Текстильщиков) Уязвимы только компьютеры под управлением ОС Windows 7-10, пользователи МАКоси и Линукс могут спать спокойно (эксперты из треда оспаривают это заключение) --------------------------------- СОТРУДНИКИ ПОЛИЦИИ БУГУРТЯТ ИЗ-ЗА ВИРУСА В ВК: https://vk.com/wall-28464698_720473 --------------------------------- В треде присутствует группа анонов, которые пошли в отрицалово и не верят в существование вируса, так же пытаются оспорить заявление СМИ и Лаборатории Касперского (Хотя уже пруфов было столько, шо пиздец). По неподтвержденным данным (информация проверяется) это дело рук Нэвэльного.

ну это нужно в отдельную тему уже

Нашелся интересный изъян в коде:

Распространение вируса-вымогателя WannaCrypt удалось приостановить, зерегистрировав домен iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com.
Специалист по безопасности, который ведет твиттер @MalwareTechBlog, обнаружил, что вирус зачем-то обращается к этому домену и решил зарегистрировать его, чтобы следить за активностью программы.

Как выяснилось потом, в коде вируса говорилось, что если обращение к этому домену успешно, то заражение следует прекратить; если нет, то продолжать. Сразу после регистрации домена, к нему пришли десятки тысяч запросов.

Вирус-вымогатель начал распространяться 12 мая. Он блокирует компьютер и требует 300 долларов за разблокировку. Десятки тысяч заражений зарегистрировали в 99 странах, в том числе в России, где жертвами стали «Мегафон», МВД и СК. В других странах пострадали телекоммуникационные компании, банки, консалтинговые фирмы. В Великобритании из строя вышли компьютеры системы здравоохранения.
Регистрация вышеупомянутого домена не помогла тем, кто уже был заражен, но дала время другим установить обновление Windows, после которого вирус не работает.

ух сколько ноутов мне принесут в понедельник