Ransomware: Prevenzione e soluzioni

[Unax]

Originariamente inviato da zerothehero

Il problema è che il classico impiegato/avvocato/medico/libero professionista non conosce spesso concetti basilari come ad es. un eseguibile o cosa siano le stesse estensioni di un file.
E non è detto che siano persone stupide: semplicemente svolgono egregiamente il loro lavoro anche se non conoscono quel minimo indispensabile di informatica.
Per queste persone o blindi tutto o l'unica è dar loro dei sistemi modello cellullare dove poi scaricare solo "app" certificate nei marketplace.
Infatti mica per altro ci stiamo dirigendo verso questi modelli di sistema operativo, dove tutto è blindato per impedire che l'utente faccia danno.
Ora non se ne esce..dato che la maggioranza degli utenti pc anche nei luoghi di lavoro è così, bisogna prenderne atto e agire di conseguenza per minimizzare il rischio.

però un sistema operativo o un client di posta che blocchi fattura.pdf.exe che è al 2000 per cento un virus non è che ci voglia molto

anche qualsiasi antivirus dovrebbe avere il blocco delle doppie estensioni farlocche, sai quante infezioni si sarebbero evitate con questa semplice impostazione daglia anni 90 in poi?

invece siamo ancora all'occultamento (stile star trek) di default delle estensioni

non dico che i produttori di antivirus creino i virus ma diciamo che certe situazioni hanno fatto comodo per poter vendere di più

[giovanni69]

Uscita nuova release:

[Averell]

Originariamente inviato da giovanni69

Uscita nuova release...

piuttosto che affidarmi ad una soluzione come quella mi tiro una martellata sui (ci si arriva da soli, no?)

[giovanni69]

Se vuoi argomentare perchè escluderlo dagli strumenti di prevenzione.. è sempre gradito.

[Averell]

Originariamente inviato da giovanni69

Se vuoi argomentare perchè escluderlo dagli strumenti di prevenzione.. è sempre gradito.

che vuoi che ti dica?
C'è gente che usa Norton o McAfee con soddisfazione...

A me è venuto spontaneo dire la mia...

[giovanni69]

Beh, tra citare software alternativi sulla base di preferenze generiche ed affermare in modo lapidario quel 'piuttosto mi tiro una martellata sui..." c'è una certa differenza

[Averell]

Originariamente inviato da giovanni69

...c'è una certa differenza

se lo dici te, contenti tutti (e segno del fatto che leggi giusto un post ogni tanto invece che partire da più lontano)...

[Averell]

si, peccato che la soluzione che proponi sia praticabile giusto per 10 persone su un forum di queste dimensioni...

Detto questo e posto che sia d'accordo con l'intera ricetta, mi interesserebbe il capitolo 'nomi' più che la mera teoria...

Grazie

[Unax]

esagerato

[giovanni69]

Originariamente inviato da Averell

...
Detto questo e posto che sia d'accordo con l'intera ricetta, mi interesserebbe il capitolo 'nomi' più che la mera teoria...

Grazie

Originariamente inviato da Phoenix2005

Questa è la mia configurazione di sicurezza e non un modello di sicurezza applicabile alla massa... cut...
Senza teoria difficilmente ci può essere quella che gli anglofoni definiscono “best practice”, ma ecco la pratica (*): ...cut..

Ecco, questa è un'argomentazione. Grazie Phoenix2005

[Averell]

Proseguendo il discorso si esula dallo scopo del thread (o si va troppo off-topic) oltre ad andare su un terreno estremamente complesso per chi, come me, non ha basi cosi' solide...

Siccome però sono sufficientemente lucido e capace di interpretare ciò che leggo oltrechè promotore dell'approccio 'proattivo' (che fa leva talvolta anche sull'impiego di strumenti 'di controllo' esterni al sistema ecc), è necessario che dia un minimo di contraddittorio a quanto asserito poc'anzi altrimenti l'immagine che se ne ricava è quello di un sistema inviolabile cosa evidentemente non vera.

Se quell'assunto fosse infatti matematicamente vero, sparirebbero semplicemente gli attacchi 'mirati' e gli APT (Advanced persistent threat)...

Pertanto, se non siamo oggetto dell'attenzione di qualcuno, ci possiamo sicuramente difendere nel 99,..% dei casi da malware di qualsivoglia natura con l'adozione di semplici strategie che, appunto, passano anche per l'impiego di software-esterni (non si dovrebbe infatti mai rinunciare alle tecnologie messe a disposizione dal sistema operativo come ad es l'UAC).

Per 'smontare' allora l'idea di inviolabilità che, perlomeno a me, è parso di cogliere nelle parole di Phoenix nonchè il suo 'eccesso di sicurezza' in quello che afferma, porto due testimonianze che non vengono certo dal primo barino di turno:

Sandbox roulette, Application Sandboxes: A pen-tester’s perspective


Sembrano stupidate ma il concetto di fondo è chiaro oltrechè doloroso e si applica evidentemente a qualsiasi software (o catena di software)...





Richiesta:
Se vuoi, apri una nuova discussione dove possiamo confrontarci senza inquinare ulteriormente questa,
saluti e grazie




Ulteriore EDIT per far capire quanto sia complesso il mondo in generale e, in questo caso, quello della sicurezza informatica (che non esiste se non giusto per i rischi di tipo 'quotidiano' come ad es i Ransomware e 1000 altre fattispecie di malware):
Bloatware considered harmful

[notare anzitutto il rimpallo delle responsabilità nonchè il fatto che sono processi (o risorse) che non è possibile non utilizzare se si ha una scheda madre ASUS...ma il discorso vale evidentemente per qualsiasi altro produttore dove semplicemente, invece di ASIO.sys/dll, ci sarà MSIO, AsRockIO o come diavolo si chiamano]

Semplice semplice...

Passano gli anni e i problemi di fondo restano immutati...

[x_Master_x]

Tornando in tema, è uscito una nuova versione di 7ev3n che si chiama 7ev3n-HONE$T. E' il solito ransomware che aggiunge l'estensione .r5a ma la notizia, da quello che leggo in giro, è che non usa APPDATA a parte per i %TEMP% ma la directory "Pubblica" ed è in quest'ultima cartella c'è l'eseguibile che diffonde l'infezione. Ergo soluzioni come "CryptoPrevent" dovrebbero ( e sottolineo dovrebbero se le informazioni riportate sono corrette ) miseramente fallire.

[Unax]

Originariamente inviato da x_Master_x

Tornando in tema, è uscito una nuova versione di 7ev3n che si chiama 7ev3n-HONE$T. E' il solito ransomware che aggiunge l'estensione .r5a ma la notizia, da quello che leggo in giro, è che non usa APPDATA a parte per i %TEMP% ma la directory "Pubblica" ed è in quest'ultima cartella c'è l'eseguibile che diffonde l'infezione. Ergo soluzioni come "CryptoPrevent" dovrebbero ( e sottolineo dovrebbero se le informazioni riportate sono corrette ) miseramente fallire.

allora io sono tranquillo

https://snag.gy/u0x4Sf.jpg

[x_Master_x]

Originariamente inviato da Unax

allora io sono tranquillo

La cartella è C:\Users\Public non C:\Users\Public\Download solo per essere precisi.

[Unax]

Originariamente inviato da x_Master_x

La cartella è C:\Users\Public non C:\Users\Public\Download solo per essere precisi.

sarebbe stato uguale (qualunque cartella o sottocartella)

https://snag.gy/8BFaJx.jpg

uso l'approccio inverso a cryptoprevent

cryptoprevent blocca determinate locazioni e permette tutto il resto (per lo meno nella versione free)
io blocco tutto tranne determinate locazioni, sistema operativo programmi installati e poche altre esclusioni)

[ecro]

Unax che programma usi?

Inviato dal mio HUAWEI Y550-L01 utilizzando Tapatalk

[gd350turbo]

Originariamente inviato da ecro

Unax che programma usi?

Inviato dal mio HUAWEI Y550-L01 utilizzando Tapatalk

Interessa anche a me !

[Unax]

allora io mi sono fatto un mio programmino visto che avendo la versione home non ho gpedit

se avete gpedit potete usare le policy per permettere l'esecuzione del sistema operativo e dei soli programmi installati o che si trovano in quei percorsi

potete anche usare un hips ed autorizzare solo alcuni programmi

[Unax]

allora io mi sono fatto un mio programmino visto che avendo la versione home non ho gpedit

se avete gpedit potete usare le policy per permettere l'esecuzione del sistema operativo e dei soli programmi installati o che si trovano in quei percorsi

potete anche usare un hips ed autorizzare solo alcuni programmi

non l'ho provata come soluzione ma anche creando un account standard e aggiungendo il controllo parentale a quell'account dovrebbe essere possibile limitare l'esecuzione solo a determinati programmi

ops non so come ho fatto a fare due post

[x_Master_x]

Lo so che per te non cambiava nulla perché hai già detto in passato il tuo approccio, ho solo precisato per chi legge. In prima pagina ci sono i riferimenti a Gpedit per gli interessati, ovviamente é possibile agire da registro ma se possibile meglio passare dall'interfaccia grafica per avere maggiore controllo sulle modifiche.