Warnung: 2016, das Jahr der Cryptoviren - locky and co - oder Ransomsoftware

[Chefin]

Ebay wurde vor einiger Zeit gehackt und viele Accountdaten gingen flöten. Email, Konto, Namen. Vermutlich wird gerade diese Liste zugespamt.

[1714072246]

1714072246

[1714072246]

1714072246

[1714072246]

1714072246

[1714072246]

1714072246

[testbug]

Ebay wurde vor einiger Zeit gehackt und viele Accountdaten gingen flöten. Email, Konto, Namen. Vermutlich wird gerade diese Liste zugespamt.

Das kam leider in den letzten Jahren häufiger vor, siehe Playstation Network...
Die Emailadressen bzw verteilerlisten kann man im darkweb kaufen. Für einen kleinen Teil eines BTC kann man hier tausende gültige Emailadressen kaufen. An diese Adressen schickt man z.B. Locky und einer ist immer dabei der den link dann anklickt und seinen Rechner infiziert...

[Christian1998]

Wenn ich mir über eine Datei unsicher bin starte ich diese mit Sandboxie.
Dies hat sich bis jetzt bewährt. Ist das aus eurer Sicht eine gute zusätzliche Lösung?

Zusätzlich ja, aber Stealer die zb die Wallet abgreifen, haben trotzdem leserechte!

MfG

[Chefin]

Viele Schadsoftware hat Mechanismen, die erkennen wenn sie in simulierter Umgebung starten. Ob das Sandbox oder VM ist kann oftmals nicht erkannt werden. Aber die Schadsoftware versucht sich dann zu verstecken oder wird nicht ausgeführt. Oder sogar genau das erwartete gemacht.

Wenn da zb von einem Video die Rede ist und ein Video in der Sandbox angezeigt wird, heist das nicht, das in the Wild nicht doch noch zusätzliche etwas nachgeladen wird. Ganz so sicher wir man sich das vorstellt ist die Sandbox dann nicht.

[ZyTReX]

Wenn ich mir über eine Datei unsicher bin starte ich diese mit Sandboxie.
Dies hat sich bis jetzt bewährt. Ist das aus eurer Sicht eine gute zusätzliche Lösung?

Zusätzlich ja, aber Stealer die zb die Wallet abgreifen, haben trotzdem leserechte!

MfG

Vielen Dank für die Info

[saugwurm]

http://www.golem.de/news/ransomware-die-verschluesselte-stadt-die-zahlte-1603-119563.html

Wie kommt eine Stadtverwaltung an Bitcoin?

Das Problem: Wo bekommt die Verwaltung einer Kleinstadt Bitcoin her? In der Gemeindekasse liegen die sicher nicht. Aus diesem Grund habe die Stadt eine "Fachfirma" mit der Abwicklung der Zahlung beauftragt, bestätigte die Polizei Spiegel Online.

Die Fachfirna hätte ich gerne gesehen. Hat bestimmt nur 50% Aufschlag verlangt. War wohl die selbe Fachfirna die sich um die Betreuung der EDV kümmert & das Backupkonzept erstellt hat

So gefährlich Locky auch sein mag, dem Bitcoinkurs scheint es nicht zu schaden

Ich hoffe nur, dass kein übereifriger Poltiker auf die tolle Idee kommt, Verschlüsselung an sich zu verteufeln.

[ulrich909]

http://www.golem.de/news/ransomware-die-verschluesselte-stadt-die-zahlte-1603-119563.html

Wie kommt eine Stadtverwaltung an Bitcoin?

Das Problem: Wo bekommt die Verwaltung einer Kleinstadt Bitcoin her? In der Gemeindekasse liegen die sicher nicht. Aus diesem Grund habe die Stadt eine "Fachfirma" mit der Abwicklung der Zahlung beauftragt, bestätigte die Polizei Spiegel Online.

Die Fachfirna hätte ich gerne gesehen. Hat bestimmt nur 50% Aufschlag verlangt. War wohl die selbe Fachfirna die sich um die Betreuung der EDV kümmert & das Backupkonzept erstellt hat

So gefährlich Locky auch sein mag, dem Bitcoinkurs scheint es nicht zu schaden

Ich hoffe nur, dass kein übereifriger Poltiker auf die tolle Idee kommt, Verschlüsselung an sich zu verteufeln.

Nachher wollen die Politiker auch noch Haustürschlösser verbieten, wer sein Haus abschliesst hat etwas zu verbergen. 

[Chefin]

http://www.golem.de/news/ransomware-die-verschluesselte-stadt-die-zahlte-1603-119563.html

Wie kommt eine Stadtverwaltung an Bitcoin?

Das Problem: Wo bekommt die Verwaltung einer Kleinstadt Bitcoin her? In der Gemeindekasse liegen die sicher nicht. Aus diesem Grund habe die Stadt eine "Fachfirma" mit der Abwicklung der Zahlung beauftragt, bestätigte die Polizei Spiegel Online.

Die Fachfirna hätte ich gerne gesehen. Hat bestimmt nur 50% Aufschlag verlangt. War wohl die selbe Fachfirna die sich um die Betreuung der EDV kümmert & das Backupkonzept erstellt hat

So gefährlich Locky auch sein mag, dem Bitcoinkurs scheint es nicht zu schaden

Ich hoffe nur, dass kein übereifriger Poltiker auf die tolle Idee kommt, Verschlüsselung an sich zu verteufeln.

Es gibt kein Backupkonzept das es schafft nur 200Euro kosten zu verursachen fürs zurück spielen. Zumindest nicht in Produtkivumgebung. Wir haben multiple Backups, aber mittags um 2 fehlen uns ungefähr 50 Mannstunden, würden wir das Backup zurück spielen. Den es wird abends gemacht. Permanente Backups, die praktisch jeden Arbeitszyklus puffern kosten dich permanent derart viel Geld, das es nicht bezahlbar ist. Zum einen muss man dann einen Vollzeitarbeitsplatz schaffen und den mit 3 Personen belegen. Soviel braucht es, wenn du typische Arbeitszyklen von Behörden dir anschaust. Die haben mehr als 40Std die Woche auf, dafür rotieren Mitarbeiter in diese Positionen. Aber der Admin kann nicht ersetzt werden durch irgendeinen Sachbearbeiter. Und da auch der Admin krank wird oder Urlaub hat muss auch für diesen Fall ersatz da sein.

Und dann musst du Hardware in deutlich größeren Dimensionen anschaffen. Wo sonst ein einfacher Doppel-Xeon mit ein paar Festplatten reicht musst du dedizierte Speichersubsysteme, Loadbalancer, Verwaltungseinheiten zusammen gruppieren. Statt eines Servers hast du dann 4-5 Maschinen rumstehen und entsprechend hoch ist der Kostenfaktor. Wir reden da schnell mal von 10.000 Euro. Dafür können die sich monatlich einen Locky holen, zahlen und weiter schaffen und sparen noch Geld. Den in 3-4 Jahren sind die Maschinen ausgenudelt und müssen ersetzt werden. Das sind 2500Euro/Jahr

Aber wenn du meinst, erkläre doch mal wie so ein Backup sein müsste, welche Hardware man braucht um 2 TB Fileserverplatte Lockysicher zu managen bei sagen wir 100 Mitarbeiter im Rathaus. Bin da ja mal gespannt, ob es da was neues gibt, das weniger als 500Euro Mehrkosten(1/2 btc + Dienstleisterkosten) hat gegenüber einem Server mit Raid und externen Platten.

[saugwurm]

http://www.golem.de/news/ransomware-die-verschluesselte-stadt-die-zahlte-1603-119563.html

Wie kommt eine Stadtverwaltung an Bitcoin?

Das Problem: Wo bekommt die Verwaltung einer Kleinstadt Bitcoin her? In der Gemeindekasse liegen die sicher nicht. Aus diesem Grund habe die Stadt eine "Fachfirma" mit der Abwicklung der Zahlung beauftragt, bestätigte die Polizei Spiegel Online.

Die Fachfirna hätte ich gerne gesehen. Hat bestimmt nur 50% Aufschlag verlangt. War wohl die selbe Fachfirna die sich um die Betreuung der EDV kümmert & das Backupkonzept erstellt hat

So gefährlich Locky auch sein mag, dem Bitcoinkurs scheint es nicht zu schaden

Ich hoffe nur, dass kein übereifriger Poltiker auf die tolle Idee kommt, Verschlüsselung an sich zu verteufeln.

Aber wenn du meinst, erkläre doch mal wie so ein Backup sein müsste, welche Hardware man braucht um 2 TB Fileserverplatte Lockysicher zu managen bei sagen wir 100 Mitarbeiter im Rathaus. Bin da ja mal gespannt, ob es da was neues gibt, das weniger als 500Euro Mehrkosten(1/2 btc + Dienstleisterkosten) hat gegenüber einem Server mit Raid und externen Platten.

Naja ich bin mir nicht sicher ob nach dem Zahlen des Lösegeldes die Daten tatsächlich entschlüsselt werden? Im Artikel dazu steht leider nichts. Auch wenn die Daten wieder da wären, sind danach sicher noch Rückstände der Ransomware auf dem Rechner vorhanden. Also ist es mit den "200€" noch nicht getan.
Die von dir genannten 10.000€ jährlich für ein Sicherhitskonzept sind für ein Rathaus mit 100 Mitarbeitern viel zu unterdimensioniert.
Mit einer vernünftigen Tapelibrary und regelmässigen Backuptastks, aktuellen Virenscannern und Clients mit eingeschränkten Rechten sowie die Sensibilisierung der Mitarbeiter nicht jedes geschickt bekommene Katzenbild zu öffnen, sollte sowas nicht passieren dürfen.
Es geht hierbei schließlich um die Sicherheit und den Schutz von Mitarbeiter- und Bürgerdaten. Wenn das der Gemeinde/Stadt keine 20.000€ im Jahr wert ist, kann sie das Rathaus eigentlich gleich dicht machen.

[hodlcoins]

Hallo, Aufwachen!

Wo es den Gemeinden ja überall total gut geht, die wissen gar nicht wohin mit der Kohle.
Und du willst 20000€ regelmäßig ausgeben, für sowas unsichtbares wie EDV-Sicherheit?

Kennst du doch:
Trifft einer einen ITler im Flur.
Situation A - Alles läuft normal: Sag mal, warum bezahlen wir euch eigentlich? Ihr tut doch nix...
Situation B - Locky, totale Panik, alles down: Sag mal, warum bezahlen wir euch eigentlich? Ihr nutzt doch nix...

[Chefin]

Entschlüsselt wird sehr zuverlässig, incl Support beim Problemen. Das ist leider die eher schlechte Nachricht. Würden die da schlampen, wäre das Modell in kurzer Zeit tot. Aber da sie zuverlässig arbeiten ist nunmal das Bezhalne die billigere Lösung des Problems. Und das Problem wird auch gelöst. Ebenfalls sind alle Spuren beseitigt. Eine weitere Infektion ist erstmal nicht zu erwarten, es sei den man Klickt wieder falscht rum.

Zu Deutsch: die wissen wie sie ihre Kunden hoffieren müssen damit das Modell lange läuft.

Und was deine Kosten angeht: 20000 Euro jedes Jahr für etwas zahlen oder 200 Euro einmalig bei Infektion? Steuern wachsen nicht auf den Bäumen. Natürlich sensibilisiert man Mitarbeiter. Aber weist du genau wie du Informationen ans Amt liefern musst? Darfst du PDF schicken? Wier schauts mit ODF aus? erlaubt München ein ODF(die benutzen OpenOffice und Linux)? Muss ich vorher anrufen und meine Mailadresse in die Whitelist einpflegen lassen? Kommen Mails garnicht mehr beim Mitarbeiter an, sondern müssen erst beim Admin geprüft werden?

Schon der Nachsatz: Virengeprüft bei Norman Security und so ein bischen Werbelink wie es Free-Vienscanner so absetzen kann dich in den Spamordner schieben.

Du stellst dir das alles so homogen vor. Als wüsste jeder Mensch genau das er nur noch .txt anhängen darf und Tabellen mit Leerzeichen und fixpunkt Schriftart formatieren soll. Nein, so läuft es eben nicht. Und was nutzen eingeschränkte Rechte? Der Mitarbeiter MUSS auf die Platte schreiben können. Sonst kann er nicht speichern. Kann er speichern, kann der Virus auch verschlüsseln. Er verschlüsselt ja garkeine Programmdateien, sondern nur Datendateien und das ist ja nichts anderes als die Datei öffnen, lesen, speichern. Der Schaden ist der selbe ob eingeschränkt oder nicht.

PS: 20.000 wäre die Hardware, die Pflege bzw ein Arbeitsplatz eines Admins kostet im Jahr 100.000 Lohnkosten. Weil er eben einen 50 Wochenstundenalltag bei 35 Arbeitsstunden nicht abdecken kann und man folglich 3 Personen benötigt den Arbeitsplatz abzudecken. Und mit 35.000 Brutto bist du sicher kein Spitzenverdienen. Da bekommst du allenfalls angelernte ITler, die mal 6 Wochen Crashkurs gemacht haben. Gute ITler kosten 50.000 bis 60.000 im Jahr. Also kommen noch 180.000 Lohnkosten dazu. Pro Mitarbeiter also 1800Euro IT Kosten im Jahr. Bei 200 Euro Reparaturkosten im Schadensfall.

Das ist natürlich die "Heute" Situation. Nur für die gilt meine Analyse und Schlussfolgerung. Wenn sich das morgen ändert, mag das wieder anders aussehen. Nur bisher hat sich ein permanentes Backup nur bei Firmen gelohnt die pro Stunde Millionen Kosten haben. Alle anderen setzen auf normale tägliche Backups. Man muss da einfach realistisch bleiben. Keiner gönnt den Gaunern das Geld. Und man wird garantiert nun mit Hochdruck an Lösungen arbeiten. Nur im moment ist zahlen soviel billiger als Sicherheitsmassnahmen, das man nicht umhin kommt, erstmal zu zahlen.

[SiNeReiNZzz]

kann ich nicht nachvollziehen wie man sich sowas einfangen kann... in den Firmen und öffentlichen Stellen sollten eventuell auch die Mitarbeiter im sicheren Umgang mit PCs gelehrt werden anstatt sie einfach davor zu setzen und zu sagen mach mal... die sicherheit in manchen Unternehmen ist aber auch katastrophal... gerade heute im zeitalter der totalen digitalisierung muss die sensibilität gerade bei älteren generationen deutlich steigen im Umgang mit Daten...

[frediiii]

kann ich nicht nachvollziehen wie man sich sowas einfangen kann... in den Firmen und öffentlichen Stellen sollten eventuell auch die Mitarbeiter im sicheren Umgang mit PCs gelehrt werden anstatt sie einfach davor zu setzen und zu sagen mach mal... die sicherheit in manchen Unternehmen ist aber auch katastrophal... gerade heute im zeitalter der totalen digitalisierung muss die sensibilität gerade bei älteren generationen deutlich steigen im Umgang mit Daten...

schön zusammengefasst...
https://www.youtube.com/watch?v=sEHzPVLIWUI

tl;dr; mitigation ist kein allheilmittel und awareness erst recht nicht

[Chefin]

kann ich nicht nachvollziehen wie man sich sowas einfangen kann... in den Firmen und öffentlichen Stellen sollten eventuell auch die Mitarbeiter im sicheren Umgang mit PCs gelehrt werden anstatt sie einfach davor zu setzen und zu sagen mach mal... die sicherheit in manchen Unternehmen ist aber auch katastrophal... gerade heute im zeitalter der totalen digitalisierung muss die sensibilität gerade bei älteren generationen deutlich steigen im Umgang mit Daten...

Du musst mir nicht glauben, aber es sind die Jungen die Scheisse bauen. Je älter man ist, desdo mehr erfahrung hat man und lässt sich nicht so leicht aus der Ruhe bringen. Bedeutet, das man eher 2x nachdenkt oder um Hilfe bittet. Jungen Menschen fehlt diese Erfahrung, sie sind eher impulsiv und wollen beweisen, das sie es drauf haben (was also um Hilfe bitten ausschliesst).

Die Generation die keine IT in der Jugend hatte ist schon gestorben oder sehr weit weg vom Berufsleben. Jeder 50 Jährige hatte in seinen Anfangsjahren schon mit Computer zu tun beruflich. Selbst die 60 jährigen waren 30 als die ersten Computer kamen und sie waren letztendlich die, welche die Integration vorangetrieben haben. Diese Generation hat auch die Dialer und die ersten Viren mitbekommen. Damals noch Schutzlos, weils weder Virenscanner noch Firewalls gab. Die Abwehrwaffen kamen erst nach den Angriffen.

Und egal was du auch machst, am ende stehst du vor dem Dilemma, das eine Mail mit Anhang eben Tagesgeschäft ist. Aus der Bestellung wird ein PDF, die man dann via Mail verschickt. Nur zuhause als Privatmensch wird eine Bestellung noch konventionell in die Mail eingetippt. Im Firmenumfeld sind es Fakturierungsprogramme die das machen und als PDF ausgeben. Gut und Böse zu unterscheiden ist dann nicht immer leicht. Es ist nicht ganz einfach, wenn man die Anweisung gibt, Mails die nicht 100% sicher sind zu ignorieren und damit locker 10% an echten Anfragen unbeantwortet zu löschen. Das muss man sich leisten können. Und der Konkurrent, der seine Kontrolle nicht so stark ausweitet macht das Rennen, ich gehe also gut geschützt und abesichert in die Pleite.

Von dieser Lösung kann man leider nicht leben.

[hodlcoins]

Aber keiner der 10% schickt seine "Rechnung.pdf.exe"...
Ist es so schwer, die Dateiendung zu kontrollieren?
Ich bekomme auch privat auf GMX Spam, die absolut täuschend echt ist:
- Echter Name
- Echte Adresse
- Echte Telefonnummer
- Ich bin Kunde bei dem Laden
- Die Rechnungsnummer ist plausibel, wenn auch nicht richtig so sieht sie doch so aus
Als Text ein glaubwürdiger Text, nur die Kundennummer fehlt, und es sieht plausibel so aus wie ein Brief aus dem System des Ladens, nicht echt, könnte es aber sein.
Nur der Anhang ist "Rechnungsnummer Ladenname&Domain.com" in einem zip in einem zip.
Ich müsste das also zweimal auspacken und dann über die nette Kennung "MS-DOS-Programm" hinwegsehen.

Ganz ehrlich, aber nein. Das sollte heutzutage nicht durchgehen.
Ungepatchte 0-day-Exploits, drive-by-downloads, böswillige "Werbung", ok, da hab ich Verständnis für, das kann passieren.
Aber ein Programm im Zip, das der Benutzer selber starten muss, da hörts dann auf.

[hodlcoins]

Würde es sich nicht lohnen, würde man das sicher auch nicht machen.

Genau das ist der Casus Knacktus, es gibt erstaunlicherweise genug dumme Leute die auf so eine Schei*e reinfallen und nachher gezwungen sind zu bezahlen.

[shorena]

Aber keiner der 10% schickt seine "Rechnung.pdf.exe"...
Ist es so schwer, die Dateiendung zu kontrollieren?
-snip-

Guck dir das Video an, großartig erklärt.

-snip-
schön zusammengefasst...
https://www.youtube.com/watch?v=sEHzPVLIWUI

tl;dr; mitigation ist kein allheilmittel und awareness erst recht nicht

[hodlcoins]

Hab ich mir angesehen, "damals" schon.
Ich versteh es trotzdem nicht.
Ja, faceb00k.com, hab ich ja gesagt, sowas kann ich noch akzeptieren.
Aber eine Zip-Rechnung, in der eine Exe-Rechnung ist? Wo sowas _immer_ als PDF kommt. Sogar immer noch mit Hinweis "Die angehängte...Adobe Acrobat PDF...Zum öffnen benötigen sie...hier herunterladen...."

Ich bin fassungslos, das Leute so wenig denken können.
Wie leben die? "Einatmen.... Ausatmen....".mp3 auf Repeat, man zieht den Kopfhörer aus'm Ohr und die laufen blau an?
Ich seh's schon in Lebensläufen:
Besondere Fertigkeiten: Kann dilettantische Phishingversuche im Mailprogramm erkennen.

Gerade weil die Jungs immer besser werden, sollte "dem Volk" doch klar sein, das man denken muss bevor man was tut. Und wenn es nur ein Doppelklick ist: erst Hirn einschalten, dann Hand zur Maus bewegen.

[Chefin]

Linux kennt keine Endung, da steht der Typ im header. Man kann Endung anbringen, dient aber nur dem Verständniss des Menschen und wird sogar vom OS ignoriert. Eine Rechnung.pdf könnte also ausführbar sein.

In Windows ist es aber genauso scheisse, weil MS hier zwar die Endung auswertet, aber nicht anzeigt, wenn man das nicht aktiviert. Deswegen kennen die Menschen Endungen eher nicht. Und sind wir mal ehrlich, wer von euch könnte alle aus dem Kopf aufzählen. Naja..ihr könnt nun gerne nach googlen, stosst dann aufs selbe wie ich. Ich habe über 50 Endungen gefunden, in denen ausführbarer Code stecken kann. Diese Situation ist also auch einfach nur Scheisse. Und jeder sollte sich nun bitte an dieser Stelle mal ohne Suchen alle Endungen aufschreiben. Zumindest die welche meinen alle erkennen zu können. Ich kanns nicht, schon weil dauernd neue dazu kommen. Und sollte man in Zukunft Linux nutzen, wirds nicht besser werden.

Formatiert man dann noch mit: Korrekturrechnung für Auftrag 13 223 537z vom 13.2.2016 zur Lieferscheinnummer ....... sieht man garkeine Endung mehr, wenn man nicht die Datei speichert um sie dann im Explorer mit passender Einstellung anzuschauen. Und leider kommen solche überlangen Namen auch völlig real vor. Es sind dann auch die Kunden, die solche Wortmonster erschaffen und damit einfach ein Gefährdungspotential bringen.

Ja, mit einer fundierten IT-Ausbildung könnte man das regeln. Aber hier muss man sich auch vor Augen halten, das die IT gerade mal 30 Jahre alt ist und es schonmal 10 Jahre brauchte bis sich diese ganzen Endungen etablierten. Erst dann kann man Lehrbücher dazu schreiben, Lehrer ausbilden und die dann Kinder lehren. Um am Ende festzustellen, das nichts vom Gelehrten in der IT dann noch existiert. Es wurde schon lange durch Weiterentwicklung geändert.

Ja, man kann eine rechnung.pdf.exe abschicken, aber damit bekommst du nicht mal mehr meinen Hamster dazu falsch zu klicken, etwas mehr anstrengen muss man sich schon. Und mit 1000 Euro bekomme ich einen Exploid für PDF so das ich keine Exe schicken muss. Es kommt die rechnung.pdf an und es wird von Adobe Reader gestartet und ausgeführt incl nachladen des Schadcodes. Aber man muss den Anhang öffnen, was jedoch unvermeidlich ist. Im Business schreibt man übrigens selten die Rechnung direkt in die Mail. Weil die Fakturierungsprogramme nur Druckfunktion haben und man ins PDF druckt wenn man es mailen will. Und das schickt man dann als Mail ab. Integration in ein Mailprogramm geht allerhöchstens zu Outlook hin, benötigt aber dann Exchange Server. Der Aufwand ist hoch, der Nutzen gering und wenn der Kunde "text only" aktiviert sieht es scheisse aus. Firmenlogo und Briefkopf will man eben sauber formatiert da stehen haben. Mag nostalgie sein, aber auch Business hat seine Gepflogenheiten.

[hodlcoins]

Ist bei Linuxen nicht ein Rechtebit für die Ausführbarkeit zu setzen?
Bei den wenigen Manipulationen auf Androids und meinem Satreceiver musste ich jedenfalls bei einigen Dateien nach dem Kopieren/Eintippen via chmod die Ausführbarkeit aktivieren, um die Skripte starten zu können.

Und ja, es gibt mittlerweile etliche Dateiendungen, die von Windows direkt ausgeführt werden können, benutzt werden jedoch nur exe und com, soweit ich gesehen habe.
Die ganze Scripterei allerdings, da hast du Recht, die kann echt böse enden.

Da stellt sich mir aber auch die Frage: Warum braucht man das überhaupt? Was braucht in einem PDF "aktiven Content"? Das ist eine Seitenbeschreibung in Postscript, da kann/muss nicht mehr als Text und Formatierung drinstehen, Scripte sind da drin völlig nutzlos, zumal wenn sie etwas anrichten können. Und warum wird nicht einfach vor dem Ausführen solches Codes gefragt? Sandbox schon im Reader? Na?

Aber ich hab auch mit Kollegen zu tun, die "Warum kommt das denn immer wieder, ich hab doch auf 'Ich möchte diesen Newsletter nicht mehr erhalten!' geklickt. Mehrmals sogar!" sagen...
Manche wären echt besser mit Block und Bleistift bedient.