Авторы шифровальщиков могут использовать родную функцию Windows

Технологию шифрования, используемую Microsoft для защиты файловой системы Windows, могут задействовать авторы программ-вымогателей в ходе своих атак. Такой способ эксплуатации легитимной функции продемонстрировали специалисты компании Safebreach Labs.

Речь идёт о «родной» системе шифрования данных — Windows Encrypting File System (EFS). Microsoft использует её для защиты системные файлов.

Согласно отчёту экспертов, авторы шифровальщиков могут не только вклиниться в работу EFS, но и попутно избежать детектирования антивирусными средствами.

Команда Safebreach Labs разработала специальный PoC-код, способный заставить систему зашифровать данные с ключом злоумышленника. В процессе подобной атаки главным компонентом выступает EFS.

Затем ключ удаляется из памяти ОС, чтобы у жертвы не было возможности расшифровать файлы самостоятельно. По словам специалистов, такие атаки не только очень сложно выявить и заблокировать — их ещё и проще автоматизировать.

«В ходе тестирования этой формы шифрования мы взяли антивирусные решения трёх популярных производителей: ESET, Kaspersky, Microsoft. В результате все три программы, заточенные под детектирование и удаление шифровальщиков, не смогли выявить угрозу», — говорится в отчёте экспертов.

Update: Производители антивирусных программ обновили свои решения: теперь Avast, Avira, Check Point, ESET, Kaspersky успешно детектируют этот способ шифрования.

batut1n писал(а):

alex_sazan писал(а): информация, которая стоит денег! Ну с таким же успехом можно и без дверей жить. Инфа что стоит денег не должна!!! храниться на компьютере.

Конечно не должна. И бекапы должны быть. Но ситуации бываю разные. Не все решается переустановкой винды!

Отключение EFS в домене с целью защиты от случайного шифрования файлов пользователями:
Если шифрование файловой системы с помощью EFS не предусмотрено корпоративной политикой, имеет смысл его отключить на уровне всего домена. Делается это для того, чтобы обезопасить информацию от случайного шифрования некомпетентными пользователями или порчи злоумышленниками.
Для отключения EFS проделайте следующее:
1. Откройте следующий путь в групповой политике: "Конфигурация компьютера ->Конфигурация Windows ->Параметры безопасности ->Политика открытого ключа".
2. Выделите пункт "Шифрованная файловая система (EFS)" и с помощью правой кнопки мыши вызовите свойства.
3. Установите переключатель "Шифрование файлов с помощью шифрующей файловой системы (EFS)" в положение "Запретить" и примените настройки.

______________________________________________________

В Windows Vista и более поздних версиях Windows, вы можете запретить пользователям шифровать свои файлы двумя способами. Во-первых, выполнив команду fsutil behavior set disableencryption 1 вы можете отключить EFS на всех NTFS томах на вашем компьютере, поэтому при выполнении этой команды с помощью сценария входа, можно отключить EFS на компьютерах целевых пользователей.

А во-вторых, так как вышеуказанная команда fsutil в конечном итоге нужна, чтобы изменить параметр реестра NtfsDisableEncryption, это значение типа REG_DWORD находится в разделе HKLM\SYSTEM\CurrentControlSet\Control\FileSystem, это означает, что вы могли бы также создать пользовательский файл ADMX для развертывания такого изменения реестра при помощью групповой политики.

batut1n писал(а):

Вообще не понимаю смысла в отсылке денег. Да снёс ось и установил по новой. Делов максимум на час. Или что народ так отупел, что винду установить не может?

Да ты гений я смотрю открой сервис и руби бабло. скажу тебе такую штуку моя винда с 2010 го года не разу не переустонавливалась регулярно обновлялась и все работает как часы. решение проблемы с переустановкой системы как минимум не логично например у меня есть сервак в Германии на нем стоит Убунту там находится около 200 моих сайтов представь такую ситуацию на серваке возникла ошибка или кто то взломал систему зачем искать решение проблемы сделаю бэкап сайтов размером в 85гб сделаю бэкап базы данных потом так же почта итд снесу к чертям систему заного поставлю систему установлю все необходимое типо php, mysql, nginx, curl итд перенесу все копии все базы итд представь себе сколько нужно для этого всего времени я уже слышу как ты думаешь это линукс и это сервак итд представь аналагичную ситуацию с компом бухгалтера 1С чего только стоит. тоесть такая практика подходит чаще всего игроманам которые компы используют с целью по играть и еще очень важно что бы не сносить каждый раз систему пользуйся Sandbox Windows 10 позволяет это делать. Честно говоря ты мне напомнил вот этого мастера https://www.youtube.com/watch?v=8d9uE7CMpSU начинай смотреть с 6:17

Этому способу уже лет 10 не меньше... Проще всего поставить запрет выполнения vbs, js и остальных скриптовых форматов.

А если РАДИКАЛЬНО...нет...а может ДА...
Я радикальное решение принял, перешёл на Linux , чего и Вам желаю ...

Цитата:

, но учитывая, что у большинства админские учетки и выключен UAC, то программно включить службу будет не проблема.

а тут постоянно себя в грудь бьют пользователи винды "да у меня ничего за столько лет, все антивирусы повырубал, все поотключал ...". Большинство просто не знает что на их компе вообще происходит. Как дети: закрыл глаза и стал невидимым )))

andrenik61 писал(а):

А если РАДИКАЛЬНО...нет...а может ДА... Я радикальное решение принял, перешёл на Linux , чего и Вам желаю ...

Вот он, первый пошел. А я все переживал, куда лиуксоиды делись!

alex_sazan писал(а):

andrenik61 писал(а): А если РАДИКАЛЬНО...нет...а может ДА... Я радикальное решение принял, перешёл на Linux , чего и Вам желаю ... Вот он, первый пошел. А я все переживал, куда лиуксоиды делись!

Что за избранность? Fido и TR-DOS - наше всё.

Цитата:

Ну с таким же успехом можно и без дверей жить. Инфа что стоит денег не должна!!! храниться на компьютере.

Правильно, только на бумаге в блокнотике :D

Casper1313 писал(а):

Для этих целей как раз таки есть smartscreen + windows defender и windows update - которые благополучно выпиливаются из системы в первые 5 минут после установки Windows.

Которые обходятся в два счета скриптами. Ну да, ну да...

dSInciX писал(а):

Правильно, только на бумаге в блокнотике :D

Разделение на тех кто "делает бекапы" и "УЖЕ делает бекапы" еще никто не отменял.

было бы смешно если бы сказали что этому подвержены только Windows 7 и ранее системы)

Да это первое, что на ум приходит. Эксперты мля...

dirtyCode писал(а):

Fido и TR-DOS - наше всё

Вот это вы загнули. Ну если за TR-DOS можно хоть догадаться, что это, а вот что такое Fido, уверен многие даже не слышали...
~15 лет назад еще успел попользоваться по диалапу на закате технологии. Как сейчас помню обмен файлами в UUE и переписку в эхах в режиме no real-time...

Обновление прилетело. Уже латают? Пойду обновлю.

Может хватит пугать людей вирусами, кетайскими вирусами, хацкерами, голой попой ???