Win32/Filecoder.Crysis.H

[michasm 286]

W firmie, w której pracuję, doszło niedawno do infekcji ransomware Win32/Filecoder.Crysis.H.

Zaatakowana została nasza mała, wydzielona sieć do zadań specjalnych - całkowicie niezależna od sieci głównej.

Na szczęście zainfekowany został tylko jeden komputer, a w sieci znajdował się też kolejny włączony komputer, który zawiera ważne informacje.

 

Do infekcji najprawdopodobniej doszło podczas połączenia przez RDP jednego z pracowników.

Połączył się z maszyną, która jako jedyna była dostępna z zewnątrz - odblokowany jeden port na bramce firewall.

Jak na złość jest to komputer "do zadań specjalnych" i miał ustawiony w biosie POWER ON on AC LOSS i sam się włączył podczas przerwy w dostawie prądu.

W zamyśle wszystkie komputery tej sieci miały być wyłączone i tylko ja miałem mieć dostęp do tego drugiego komputera (któremu nic się nie stało).

 

Pomijam fakt kto i po co się łączył, bo nie jestem w stanie teraz odzyskać tych informacji.

 

Wszystkie dyski fizyczne zostały zaszyfrowane.

Szyfrowanie miało miejsce 17 sierpnia 2016 (prawdopodobnie bezpośrednio po włączeniu komputera, czyli rozruch systemu może być inicjatorem).

Na komputerze zainstalowany był ESET Endpoint Antivirus. Na bieżąco aktualizowany.

ESET dodał odmianę Win32/Filecoder.Crysis.H niestety dopiero 30 sierpnia 2016.

 

Jak na złość niedawno pożydziliśmy kasy na przedłużenie licencji antyvirusa kaspersky, który zawsze był aktywny na firewallu (firewall sieci głównej posiada licencję). Jedyną ochroną był ESET.

 

Na szczęście obyło się bez strat finansowych, bo na komputerze nie było nic ważnego i nie wiedzieć czemu ransomware nie znalazł włączonego komputera w sieci, na którym mamy ważne projekty w udziałach sieciowych (niby zakończone, opłacone i jedynie archiwizowane, ale ich wykonanie zajęło dziesiątki tysięcy roboczogodzin).

 

Podejrzewam, że przyczyną wszystkiego było bezmyślne instalowanie pirackich wersji oprogramowania na prywatnym komputerze, z którego wykonane zostało połączenie przez RDP.

Jest mi bardzo smutno, że w taki sposób dochodzę do pewnych wniosków.

 

Przestrzegam mniej doświadczone osoby działające w IT przed umożliwianiem kolegom z pracy pracę zdalną na prywatnym sprzęcie.

Nie ma też co oszczędzać na systemach bezpieczeństwa.

 

Obecnie na głównej sieci posiadamy:

- ESET Endpoint Antivirus na każdym komputerze,

- IDP, AV kaspersky, content filter, antispam na firewallu,

- antispam i antivirus na connectorze POP3.

 

Przestrzegam laików takich jak ja przed korzystaniem z mniejszej ilości zabezpieczeń w firmach.

 

Z ciekawostek dodam też, że po wyłączeniu firewalla na bramce (debug IPSec) ktoś próbował dostać się do bramki przy pomocy bruteforce.

Jakiś bot co 3 minuty podawał login i hasło.

GeoIP jako ISP podało China Telecom Jiangsu...

 

Nie jesteśmy bezpieczni. Antywirus to za mało.

 

Do 23 byłem w robocie, aby upewnić się, że krytyczne dane są bezpieczne. Jestem przerażony całą sytuacją.

Proszę traktować temat jako ostrzeżenie i powód do przemyśleń nad rozwojem zabezpieczeń.

[filutka78 11]

Podejrzewam, że przyczyną wszystkiego było bezmyślne instalowanie pirackich wersji oprogramowania

Błąd w myśleniu.

Tego typu infekcje rozprzestrzeniają się wyłącznie poprzez e-maile.

 

F.

[Al222amo 10]

Poprzez bezmyślne otwieranie załączników do poczty.