Neuer Verschlüsselungstrojaner im Umlauf

qlubtempo

Lieutenant

Registriert

Dez. 2007

Beiträge

915

• 6. Dezember 2016

• #1

Grade die Info auf Heise gelesen und sollte hier denke ich auch thematisiert werden oder in den News auftauchen:

https://www.heise.de/newsticker/mel...Goldeneye-verbreitet-sich-rasant-3561396.html

Hab schon einige unsere Kunden darauf hingewiesen und schaue das alle Virenschutz- und AntiSpam-Systeme aktuell sind, bzw. stärker eingestellt sind.

 

^R4iD

Captain

Registriert

Okt. 2013

Beiträge

3.116

• 6. Dezember 2016

• #2

Heute aktuell einen Kunden gehabt.. Virenschutz kannst du einstellen wie du willst, das Ding ist in Makros versteckt.. Rechner ist mittlerweile neu installiert ..

 

A

Airman

Cadet 2nd Year

Registriert

Sep. 2016

Beiträge

17

• 6. Dezember 2016

• #3

Haben auch gerade einen in der Werkstatt vom Kunden. Schöner Trojaner. Hilft nur platt machen und neu installieren. AV-Lösungen hängen da naturgemäß immer hinterher. Is leider so....

 

t0x

Commander

Registriert

Sep. 2009

Beiträge

2.869

• 6. Dezember 2016

• #4

Ist vermutlich wieder mal eine Petya Variante.
In diesem Fall sollte er wohl auch Netzlaufwerke verschlüsseln können.

 

Zuletzt bearbeitet: 6. Dezember 2016

F

findichgut

Gast

• 6. Dezember 2016

• #5

Heute morgen war hier im Forum auch so ein Fall.

 

purzelbär

Admiral

Registriert

Feb. 2012

Beiträge

8.614

• 6. Dezember 2016

• #6

Airman schrieb:

Haben auch gerade einen in der Werkstatt vom Kunden. Schöner Trojaner. Hilft nur platt machen und neu installieren. AV-Lösungen hängen da naturgemäß immer hinterher. Is leider so....

Zum Vergrößern anklicken....

Wie immer bei solchen Verschlüsselungstrojanern ist der beste Schutz bzw die beste Vorbeugemassnahme, wenn man auf einer externenen offline Festplatte ein möglichst aktuelles Systembackup und Backups von Dateien hat die nicht verloren gehen sollen.

 

W

wirelessy

Captain

Registriert

Nov. 2008

Beiträge

3.599

• 6. Dezember 2016

• #7

Och, also meine AV-Lösung verbietet Word ja .exe's zu starten. Insofern hänge ich da nur solange hinterher, wie Makros nur als Dropper fungieren.

 

C

Creati

Gast

• 6. Dezember 2016

• #8

Bei sowas bin ich immer wieder froh, dass ich im Bekanntenkreis die Makros auf den Rechnern komplett deaktiviert habe. Braucht da keiner und so kann auch keiner was falsch anklicken. In der Firma bei uns hat es aber auch einen Rechner erwischt. irgendjmd. von den Nicht-ITlern klickt dann halt doch den Anhang an...

 

A

Airman

Cadet 2nd Year

Registriert

Sep. 2016

Beiträge

17

• 7. Dezember 2016

• #9

purzelbär schrieb:

Wie immer bei solchen Verschlüsselungstrojanern ist der beste Schutz bzw die beste Vorbeugemassnahme, wenn man auf einer externenen offline Festplatte ein möglichst aktuelles Systembackup und Backups von Dateien hat die nicht verloren gehen sollen.

Zum Vergrößern anklicken....

Ja das ist mit die beste Möglichkeit. Bei dem PC ist es egal da es nur ein reiner Arbeitsplatzrechner ist und alles über nen Server läuft. Zum Glück war nur der Rechner betroffen und nicht der Server. Da hätten wir aber nen Backup. Wobei ich bei einigen Kunden auch schon gesehen habe das Sie ihre BackUp-Platte immer dran lassen. Ist natürlich Suboptimal wenn ein Verschlüsselungstrojaner das mit Verschlüsselt. Aber wenn der Kunde nicht hören will muss er es fühlen.

 

t0x

Commander

Registriert

Sep. 2009

Beiträge

2.869

• 7. Dezember 2016

• #10

Hatte heute auch mehrere Fälle in der Firma.
Scheinbar hat das Teil ziemliche Bugs (zum Glück).

Wir haben nach derzeitigem Kenntnisstand 7 betroffene User in der Firma, alle mit W7 x64 und Office 2010:
Fall1: Es ist schlichtweg garnichts passiert trotz Makro Aktivierung
Fall2: XLS und PDF geöffnet aber Makro nicht aktiviert, nichts passiert
Fall3: Makro aktiviert, Die Exe Dateien wurden erzeugt, aber weiter nichts
Fall4: Makro aktiviert, Rechner und Netzlaufwerke verschlüsselt
Fall5: Makro aktiviert, Rechner verschlüsselt, aber nichts auf den Netzlaufwerken
Fall6+7: Makro aktiviert, Rechner verschlüsselt, Ransom Note auf den Netzlaufwerken ohne dass dort etwas verschlüsselt wurde

Aktuelle Backups selbstverständlich vorhanden und Rechner werden neu installiert.

 

W

wirelessy

Captain

Registriert

Nov. 2008

Beiträge

3.599

• 7. Dezember 2016

• #11

Hatte heute auch mehrere von den neuesten Locky-Samples unter der Lupe - recht interessant.
Der Dropper im Makro ist recht clever, der nutzt mittlerweile Sandbox Evasion.
Er läd die Malware runter (gexorte DLL), xort wieder und füttert rundll32 mit dem Ergebnis. Nach nem Reboot finde ich nur noch die Temp-Files, sprich das gexorte Sample und die fertige DLL.
Die haben den früheren Completion Registrykey gestrichen, und es gibt keine Reboot-Persistence.

 

qlubtempo

Lieutenant

Ersteller dieses Themas

Registriert

Dez. 2007

Beiträge

915

• 8. Dezember 2016

• #12

Wir hatten nun bisher 2 Kunden die betroffen waren, der Schaden hält sich aber bisher in grenzen. Client Neuinstallation und Wiederherstellung von ein paar Netzlaufwerken die verschlüsselt wurden, mehr nicht bisher -> zum Glück!

 

Heen

Ambassador

Registriert

Jan. 2009

Beiträge

6.798

• 8. Dezember 2016

• #13

Ich habe so eine Email am 6.12. selbst erleben dürfen.
Das Tool lief einige Minuten, bevor ich den Rechner ausgeschaltet habe.
Dank Backup konnten die verschlüsselten Dateien komplett wiederhergestellt werden, die Platte war (noch) nicht komplett verschlüsselt. Ein Hoch auf langsame HDDs und inkrementelle Backups.

 

Zuletzt bearbeitet: 8. Dezember 2016