Zlonamerno koda File Spider, ki ogroža predvsem uporabnike držav bivše Jugoslavije

Zlonamerna koda, imenovana File Spider, trenutno najbolj ogroža države bivše Jugoslavije, in sicer Bosno in Hercegovino, Srbijo in Hrvaško. Jezik, ki ga zlonamerna koda uporablja, je prilagojen državi, kjer se uporabnik nahaja.

Izsiljevalska koda ( ransomware) File Spider se širi preko elektronske pošte, in sicer v obliki Wordovega dokumenta. Skrita je v makro, ki ga uporabnik aktivira z odprtjem Word dokumenta. Nato pa se zlonamerna koda shrani v mapo »% AppData% \ Spider« in samodejno zažene. Ob zagonu izsiljevalske kode se začnejo šifrirati mape na računalniku, kot so: tmp, Videos, winnt, Application Data, Spider, PrefLogs, Program Files (x86), Program Files, ProgramData, Temp, Recycle, System Volume Information, Boot in Windows. Pri tem pa se ob vsaki šifrirani mapi pojavi nešifrirana datoteka HOW TO DECRYPT FILES.url, ki pravzaprav vsebuje navodila, kako povrniti datoteke v zameno za plačilo odkupnine.

Ordinypt wiper ransomware pustoši po Nemčiji


GUTE-URLS

Wordpress is loading infos from scmagazine

Please wait for API server guteurls.de to collect data from
www.scmagazine.com/ordinypt-wiper...

Ordinypt wiper ransomware

Novi izsiljevalski virus Ordinypt, ki tudi briše datoteke, se širi po Nemčiji, in sicer kot lažna prijava na delovno mesto. Zlonamerna koda je skrita v dveh priponkah, ki sta imenovani “Viktoria Henschel – Bewerbungsfoto.jpg” in “Viktoria Henschel – Bewerbungsunterlagen.zip”. Elektronsko sporočilo torej izgleda tako kot da bi Viktoria Henschel poslala svojo prijavo na delovno mesto s svojo sliko in življenjepisom. Zip datoteka vsebuje dve .exe datoteki, ki imata dvojno končnico, tako se na hitro ti dve izgledata kot povsem navadni .pdf datoteki, v resnici pa sta .exe datoteki.

Bad Rabbit Ransomware

Letos sta v IT svetu povzročila veliko škode že dva izsiljevalska programa, WannaCry in Petya. V Rusiji, kjer je okuženih največ računalnikov, in Ukrajini pa se sedaj širi nov napad z izsiljevalskim virusom ( ransomware), imenovan  Bad Rabbit, ki se sedaj iz vzhodne Evrope širi tudi že v Turčijo in Nemčijo. Tako poročajo, da so okužene večje ruske medijske organizacije (tudi ruska neodvisna zasebna tiskovna agencija Interfax), letališče v Odessi in sistem podzemne železnice v ukrajinski prestolnici Kijev. Ukrajinske oblasti so napade v svoji državi potrdile.

Zlonamerna programska oprema ( ransomware) se širi z lažnim namestitvenim programom za posodobitev za Flash.

Bad Rabbit, tako kot vsi izsiljevalski programi, po svoji namestitvi kriptira vse podatke na napadenem računalniku in za dešifriranje podatkov zahteva odkupnino. V tem primeru ta trenutno znaša 0,05 bitcoina, kar je po zdajšnjih vrednostih bitcoina okoli 250 evrov, verjetno pa je, da se bo ta znesek v bližnji prihodnosti še zvišal.

Poslanih je bilo kar 23 milijonov elektronskih sporočil, okuženih z Locky ransomware, v 24 urah

Locky ransomware se vrača nazaj; v prejšnjem tednu je bilo uporabnikom kot nezaželena pošta poslanih kar 24 milijonov elektronskih sporočil, ki so bila okužena z izsiljevalsko kodo Locky ransomware. Ta napad je zaenkrat eden od največjih napadov v drugi polovici leta 2017. Elektronska pošta, ki so jo dobili uporabniki, je vsebovala ZIP datoteko, v kateri je bila Visual Basic Script (VBS) datoteka. Ko je uporabnik kliknil na datoteko, je VNS skripta z interneta potegnila zadnjo verzijo Locky ransomware. Nato je Locky zakodiral datoteke na uporabnikovem računalniku s končnico [.]lukitus. Od okuženega uporabnika Locky zahteva plačilo 0,5 Bitcoins, kar je trenutno približno 1.900 €.

Windows 10 z vgradno zaščito pred večino izsiljevalskih virusev

Microsoft ima sedaj v Windows 10 preprosto rešitev za težave, ki skrbijo na milijone uporabnikov Windows 10 po svetu. Dva množična napada z izsiljevalskimi virusi  WannaCry in Petya sta v prejšnjem mesecu povzročila kaos in motnje po celem svetu, ki so bolnišnice, bankomate, ladjarske družbe, vlade, letališča in avtomobilska podjetja prisilila k zaustavitvi dela za nekaj časa. In prav Microsoftu se sedaj najbolj očita, da ne zna preprečiti teh napadov in da so njegovi sistemi Windows zelo ranljivi. Po nedavnih uničujočih svetovnih izbruhih izsiljevalskega virusa je Microsoft sedaj končno potrdil, da je njegov operacijski sistem Windows ranljiv za take izsiljevalske viruse. Zato je za reševanje teh resnih težav Microsoft včeraj zvečer uvedel novo protivirusno funkcijo v najnovejšem Windows 10 Insider Preview Build (16232).

Anit- ransomware funkcija je poimenovana Controlled Folder Access in je del programa Windows Defender, ki blokira nepooblaščene programe, da ne spreminjajo pomembnih datotek v določenih “zaščitenih” mapah. Do zaščitenih map lahko dostopajo le aplikacije iz tako imenovanega belega seznama. Nekateri programi bodo avtomatsko na belem seznamu, saj jih bo tja dodal že Microsoft.

Kako vključiti Controlled Folder Access

  • Pojdi na Start menu in odpri Windows Defender Security Center.
  • Pojdi na Virus & Threat Protection nastavitev.
  • Vklopi stikalo.

Petwrap – nova različica črva WannaCry je že tu

Kljub temu, da se je veliko pisalo in govorilo o računalniškem virusu WannaCry, očitno nekateri še vedno niso poskrbeli za svoje računalnike in jih nadgradili z varnostnimi popravki. Microsoft je celo izdal popravek za Windows XP. Okužbe z izsiljevalski virusom Petwrap pa dokazujejo prav to, da ljudje še vedno niso nadgradili svojih računalnikov z varnostnimi popravki.

Izsiljevalski virus Petwrap naj bi se skrival tudi v elektronski pošti. Skriva se v RTF priponki (ime oblike Order-20062017.doc) in izkorišča ranljivost CVE-2017-0199. Širitev preko elektronske pošte je nekaj, česar virus WannaCry ni poznal.

Največ okužb prihaja s področja Ukrajine in Rusije, kjer je bil črv vključen v sistem samodejnih popravkov za ukrajinski računovodski program.

Petwrap se od WannaCry razlikuje tudi po tem, da Petwrap zašifrira MFT (kazalci za datoteke), kar je za okuženega še bolj zoprno kot enkripcija datotek.

Kaspersky telemetry on Petya ransomware

 

Tudi Samba ranljiva – izsiljevalski virus SambaCry

Podobno kot Windows je lahko ranljiv tudi sistem Linux, če ima nameščen programski paket Samba. Varnostna luknja CVE-2017-7494 je odkrita v Sambi (od verzije 3.5.0 naprej) in napadalcu omogoča oddaljeno izvajanje zlonamerne kode. Nasvet vsem uporabnikom, da nadgradite Sambo ali v smb.conf global “nt pipe support = no”:

Sambe pa ne uporabljajo le strežniki Linux in delovne postaje. Sambo uporabljajo tudi NAS strežniki, tiskalniki, predvajalniki video vsebin in mnogo drugih naprav. Prav zanimivo bo videti, kako se bodo na to varnostno luknjo odzvali proizvajalci takšnih naprav.