Thread Cryptovirus ,prevenire meglio che curare.

[arnyreny]

buongiorno ragazzi
vorrei raccogliere le vostre opinioni ed esperienze sulle più recenti varianti di ransomware e l'evoluzione dei soft di sicurezza.
Su come difendersi da queste nuove minacce che mettono in pericolo i nostri dati,valgono ancora le nostre vecchie difese
uac al massimo livello
av aggiornato
back-up frequenti
soft aggiornati
hips

e dei nuovi programmi antiransomware cosa ne pensate ? a voi la parola


-CryptoPrevent
-Malwarebytes Anti-Ransomware
-HitmanPro.Alert

un buon accorgimento per proteggere i dati sarebbe utilizzare un account standard e modificare i permessi del disco dati o la cartella dati

Originariamente inviato da x_Master_x

Averell non sono h24 sul forum


1) I ransomware "seri" non hanno bisogno di diritti amministrativi anche se ho letto di infezioni che hanno richiesto una conferma UAC
2) La modifica dei diritti può salvare dei dati ( ma non dell'utente in questione ) ma in uno scenario in cui è presente un account admin e uno o più account standard ci sono diverse strade più efficaci da intraprendere

In primis Windows alle directory sotto C:\Users\NOME_UTENTE limita l'accesso al solo proprietario quindi in nessun caso se l'infezione parte dall'utente standard quelle cartelle saranno modificate. Lato funzionale/condivisione, se l'Utente A condivide dei dati con l'Utente B è perché entrambi hanno bisogno dell'accesso completo alla directory, non vedo il senso di limitare l'accesso tanto vale toglierlo del tutto ma ognuno fa ciò che vuole.

Quando parlavo di "strade più efficaci" per un utente limitato mi riferisco alle classiche policy come ad esempio:
Non eseguire le applicazioni Windows specificate\Esegui solo applicazioni Windows specificate\Criteri restrizione software\Applocker. Così si evita che l'utente infetti se stesso ( non solo con i ransoware ma con la stragrande maggioranza dei malware ) e gli altri.

Comunque visto che vi interessa spiego come applicare correttamente i permessi per il singolo utente:
Utente admin: Tasto destro sulla directory --> Proprietà --> Sicurezza --> Avanzate --> Cambia autorizzazioni --> Aggiungi --> Scrivere il NOME_UTENTE --> OK --> Consenti/Nega in base alle proprie necessità, così come per la voce "Applica a: La cartella selezionata, le sottocartelle e i file". Vi ricordo che le autorizzazioni negate prevalgono su quelle concesse anche se l'utente fa parte di due gruppi distinti.

Se invece volessimo applicare al gruppo e non al singolo utente la voce da modificare è "Users (NOME_ADMIN\Users)"

Tramite CMD con l'utility ICACLS alcuni esempi:

ICACLS "X:\Cartella" /grant "NOME_UTENTE":(CI)(OI)RX
ICACLS "X:\Cartella" /deny "NOME_UTENTE":(CI)(OI)W
ICACLS "X:\Cartella" /deny Users:(CI)(OI)W

(CI): container inherit
(IO): inherit only
RX (read and execute access)
W (write-only access)

Il comando nega i permessi i scrittura nella directory e come già detto le le autorizzazioni negate prevalgono su quelle concesse. La guida all'uso di ICACLS così sarete in grado di fare le scelte che preferite e sperimentare con cartelle create per l'occasione:
Icacls

[bio.hazard]

c'è già un thread praticamente "ufficiale" sui cryptovirus:
http://www.hwupgrade.it/forum/showthread.php?t=2697349
forse è meglio proseguire in quello.

[Averell]

da parte mia invece sposo l'idea di arnyreny visto che c'è bisogno di visibilità e il thread che indicavi è essenzialmente un collettore di esperienze disastrose...

[Averell]

L'approccio da adottare contro queste minacce non è sostanzialmente mutato rispetto al passato...

Il problema, semmai, è che non si fa mai tesoro di nulla e si vive ancora nella convinzione che le nostre deficienze siano sistematicamente coperte da qualche strumento...

[arnyreny]

Originariamente inviato da Averell

L'approccio da adottare contro queste minacce non è sostanzialmente mutato rispetto al passato...

Il problema, semmai, è che non si fa mai tesoro di nulla e si vive ancora nella convinzione che le nostre deficienze siano sistematicamente coperte da qualche strumento...

gli attacchi sembrano cambiati rispetto al passato, infatti se in passato lo scopo del virus era compromettere il sistema in se stesso, adesso invece l'attacco è diretto ai dati dell'utente che a mio avviso non godono dello stessa protezione del sistema operativo.Ti faccio un esempio semplice semplice...per modificare una qualsiasi dll di sistema ho bisogno di una determinata autorizzazione ,mentre per modificare una foto o un documento non c'è bisogno di nessuna autorizzazione a meno che non si cambiano le autorizzazioni della cartella in cui essa è contenuta.

[Averell]

si, ma da qualche parte il processo di infezione dovrà partire, no?

Ecco, con l'applicazione degli accorgimenti che dicevi all'inizio del thread resta scoperto un solo frangente di rischio (l'azione involontaria indotta da una pressione esterna o exploit, evenienza non proprio comunissima dato che è molto più pratico e gettonato il ricorso al banalissimo canale dell'email col tizio che la apre a prescindere)...


Cmq, sia chiaro, esistono soluzioni dedicate o se ne potrebbe parlare anche in modo più ampio solo che [ecc]...


Posso chiederti se ti ponevi la domanda perchè i tuoi bimbi reclamano più spazio e quindi devi condividere i device??

Il problema della condivisione dello strumento, infatti, non è di poco conto e fondamentalmente si affronta con account dedicato (standard) senza però comunicare la password anche se capisco tu gli releghi l'esperienza entro confini ben definiti...ma almeno, in caso di disastri, i danni restano confinati...

[arnyreny]

Originariamente inviato da Averell

si, ma da qualche parte il processo di infezione dovrà partire, no?

Ecco, con l'applicazione degli accorgimenti che dicevi all'inizio del thread resta scoperto un solo frangente di rischio (l'azione involontaria indotta da una pressione esterna o exploit, evenienza non proprio comunissima dato che è molto più pratico e gettonato il ricorso al banalissimo canale dell'email col tizio che la apre a prescindere)...


..

Certo sono d'accordo con te ...
però partiamo dal fatto che l'infezione sembra avere varie vie di diffusione,
allegati di posta,soft ingannevoli, siti web ect ect
e non credo che stiamo sempre preparati su come agire.

Queste nuove minacce sono state progettate per colpire il punto debole del sistema,non i dati sensibili che sono abbastanza protetti ,ma i dati meno sensibili.

[Averell]

Il tuo ragionamento è chiaro:
se fino a poco tempo fà era particolarmente gettonato l'approccio 'silenzioso' (teso cioè a carpire dati sensibili come password, PIN,...da utilizzare in un secondo momento per...ma lasciando fondamentalmente in pace il nostro 'quotidiano'), adesso l'obiettivo è far rumore:
ti faccio sapere immediatamente che sei vittima di un problema (le famose finestre in primo piano col conto alla rovescia) e che l'unico modo di superarlo è cedere al ricatto per riappropriarsi della propria 'vita' (affetti→ foto/filmati, lavoro→documenti/progetti)...


E questi elementi, dici te, sono più vulnerabili perchè i software di difesa si sono concentrati sostanzialmente a protezione del 'core' dell'OS e meno sui dati (per noi evidentemente più sensibili ma di fatto inutili per il corretto funzionamento della macchina).


Quindi, per tornare a noi, come ci si difende??



Dipende..e posto che nessun approccio fornisce la certezza matematica dell'inviolabilità.

Che utenti siamo? Punta e clicca? SI/NO

Il Device è condiviso? SI/NO

Ecc...





Come dicevo all'inizio, l'approccio da adottare contro queste minacce non è sostanzialmente mutato rispetto al passato (anzi, emerge forse in maniera più impellente che mai rivalutare pesantemente il bistrattato Backup) [Se vuoi si può proseguire, vedi te]...

[arnyreny]

Originariamente inviato da Averell

Il tuo ragionamento è chiaro:
se fino a poco tempo fà era particolarmente gettonato l'approccio 'silenzioso' (teso cioè a carpire dati sensibili come password, PIN,...da utilizzare in un secondo momento per...ma lasciando fondamentalmente in pace il nostro 'quotidiano'), adesso l'obiettivo è far rumore:
ti faccio sapere immediatamente che sei vittima di un problema (le famose finestre in primo piano col conto alla rovescia) e che l'unico modo di superarlo è cedere al ricatto per riappropriarsi della propria 'vita' (affetti→ foto/filmati, lavoro→documenti/progetti)...


E questi elementi, dici te, sono più vulnerabili perchè i software di difesa si sono concentrati sostanzialmente a protezione del 'core' dell'OS e meno sui dati (per noi evidentemente più sensibili ma di fatto inutili per il corretto funzionamento della macchina).


Quindi, per tornare a noi, come ci si difende??



Dipende..e posto che nessun approccio fornisce la certezza matematica dell'inviolabilità.

Che utenti siamo? Punta e clicca? SI/NO

Il Device è condiviso? SI/NO

Ecc...





Come dicevo all'inizio, l'approccio da adottare contro queste minacce non è sostanzialmente mutato rispetto al passato (anzi, emerge forse in maniera più impellente che mai rivalutare pesantemente il bistrattato Backup) [Se vuoi si può proseguire, vedi te]...

Bene quindi adesso bilanciamo questo dislivello.
1 Creare un administrator con password e un account standard,tramite l'administrator modificare l'accesso su tutti i dischi dati

2 usare il pc con Account standard e uac al massimo livello.
Adesso almeno abbiamo messo i dati sullo stesso livello di sicurezza del sistema.

[leolas]

Comunque ho visto che varie SH stanno sviluppando software apposta per prevenire cryptolocker e simili:
-CryptoPrevent
-Malwarebytes Anti-Ransomware
-HitmanPro.Alert

L'unico grosso problema è che a quanto ho capito il normale antivirus che hanno le persone "normali" (spesso scaduto, tra l'altro) e le aziende non è sufficiente.
Uso windows 10 senza antivirus o antimalware, e non ho problemi da anni visto che ad un certo punto basta avere un po' di intelligenza, ma sinceramente leggere il thread del CTB mi ha fatto venire l'ansia e un antiransomware me lo sono installato.

Quindi sì, temo che ci sia una netta differenza rispetto ai vecchi virus..

[arnyreny]

Originariamente inviato da leolas

Comunque ho visto che varie SH stanno sviluppando software apposta per prevenire cryptolocker e simili:
-CryptoPrevent
-Malwarebytes Anti-Ransomware
-HitmanPro.Alert

L'unico grosso problema è che a quanto ho capito il normale antivirus che hanno le persone "normali" (spesso scaduto, tra l'altro) e le aziende non è sufficiente.
Uso windows 10 senza antivirus o antimalware, e non ho problemi da anni visto che ad un certo punto basta avere un po' di intelligenza, ma sinceramente leggere il thread del CTB mi ha fatto venire l'ansia e un antiransomware me lo sono installato.

Quindi sì, temo che ci sia una netta differenza rispetto ai vecchi virus..

Ciao Leolas
infatti davanti a quella schermata di pagare un riscatto mi verrebbe un infarto

per quanto riguarda i nuovi software malwarebytes mi sembra che sia ancora in beta,credo che il vecchio comodo farebbe ancora la sua bella figura

[Averell]

Anche kaspersky (quantomeno dalla v2015+) offre protezione contro queste minacce grazie al modulo 'System Watcher' (la parte del leone la fa in particolare la funzionalità →Rollback of malware actions che interviene cmq anche per altre fattispecie di malware)
(Qui, ad es., un test: cliccami)

Quanto almeno ad HitmanPro.Alert 3, straordinario...anche se è bene ricordare che la parte preposta al contrasto dei ransomware è solo uno dei diversi moduli su cui conta il programma che deve in particolare la sua 'notorietà' alla componente Anti-Exploit.
Alert 3 vs Locky, Alpha Crypt, CryptoWall 3 and CTB-Locker


Infine, tanto per citarne un'altra soluzione, anche Emsisoft si comporta egregiamente:
Emsisoft’s Behavior Blocker vs. 20 crypto ransomware families (e il relativo video, cliccami)

[Averell]

hai notato Arny a quanti è interessato il discorso della prevenzione?? (che, ad ogni modo, non deve mai prescindere dal dismettere la cattiva abitudine propria degli utenti Windows di cliccare su ogni cosa 'che respiri')...


Molto più pratico continuare a lagnarsi e leccarsi le ferite...

[frupoli]

Originariamente inviato da Averell

hai notato Arny a quanti è interessato il discorso della prevenzione??

Iscritto

Originariamente inviato da arnyreny

Bene quindi adesso bilanciamo questo dislivello.
1 Creare un administrator con password e un account standard,tramite l'administrator modificare l'accesso su tutti i dischi dati

2 usare il pc con Account standard e uac al massimo livello.
Adesso almeno abbiamo messo i dati sullo stesso livello di sicurezza del sistema.

Potrebbe essere una buona idea.
Ma, scusa l'ignoranza, se Administrator concede anche la "scrittura" sui dati, saremmo daccapo no?
Si potrebbe creare utente con solo "lettura" sui dati? Sarebbe sufficiente ... ?

[arnyreny]

Originariamente inviato da frupoli

Si potrebbe creare utente con solo "lettura" sui dati? Sarebbe sufficiente ... ?

ciao
nel caso dei crytovirus tendono a modificare i dati gia esistenti documenti immagini ect ect eliminandoli e criptandoli,quindi dovrebbe essere sufficiente che non riuscissero a modificare tali file.

[bluv]

Come impostare le autorizzazioni per ciascun utente?
Ad es. nel mio caso l'Authenticated Users non ha alcuna spunta.
L'utente Users ha le spunte su "Consenti": lettura ed esecuzione, visualizzazione contenuto cartella e lettura

[Averell]

una bella lezione sui permessi di file & cartelle sarebbe davvero interessante e necessario non fosse altro per un discorso di conoscenza.

So chi coinvolgere ...


ASP che mando un pvt

[ecro]

Ragazzi ma hitman e compatibile con altri antivirus esempio nod32 il mio???

Inviato dal mio HUAWEI Y550-L01 utilizzando Tapatalk

[Averell]

Originariamente inviato da Averell

So chi coinvolgere ...

coinvolto, mi aiuti a fare un pò di chiarezza??


Ad ogni modo, penso fermamente che questa dei permessi non sia la strada corretta da seguire per frenare il problema vuoi perchè troppo laboriosa, vuoi perchè (e secondo me ce ne sono tanti di motivi)...

[arnyreny]

Originariamente inviato da Averell

coinvolto, mi aiuti a fare un pò di chiarezza??


Ad ogni modo, penso fermamente che questa dei permessi non sia la strada corretta da seguire per frenare il problema vuoi perchè troppo laboriosa, vuoi perchè (e secondo me ce ne sono tanti di motivi)...

non voleva essere la soluzione al problema ma credo possa aiutare.
ti faccio un esempio pratico se malauguratamente avvio un programma dannoso con diritti limitati,comunque ha sufficienti diritti di eliminare le mie foto oppure modificarle da un qualsiasi disco x,se invece qualsiasi disco x vengono impostate le regole che ho scritto sopra,almeno in questo caso salvero il
almeno su questo siamo d'accordo?