Вирус на 300 баксов

Tigron
AIRDAN:

Не обязательно отрубать диск по питанию.
В планировщик задач цепляется батник, который в заданное время назначает букву диску, производит резервное копирование и обратно отключает букву диска.

Денис, это - не безопасное решение. Если Вы включаете и выключаете диск программно, что мешает вирусу иметь в коде запись “включить все запоминающие устройства”, перед началом исполнения основного вредоносного кода.
Только физическая изоляция реально помогает сохранить данные.
Кстати, с той же целью всегда нужно иметь, как минимум, 2 полноценных компа в доме. Не выбрасывайте вашу старую электронику сразу.

EVIL:

Теперь думаю, установить оба диска в комп, сделать на 1 из них отключаемое питание с помощью тумблера, а шину данных не трогать. Периодически обновлять базу данных, а в остальное время держать дополнительный жесткий диск отключенным. Я правильно думаю: нет питания - нет работы и никакой вирус не сможет поселиться на диске?

Зачем Вам эти сложности?! Купите внешний диск на 2хUSB2 или USB3 (что у вас поддерживает) на пару терабайт. Этого добра сейчас хватает в любом электронном магазине. Внешний блок питания не требуется. Делайте бэкап вручную раз в неделю и не парьте себе и людям мозги. Очень часто такие диски даже имеют собственную прогу для бэкапа с простым интерфейсом.

EVIL
Tigron:

Купите внешний диск на 2хUSB2 или USB3 (что у вас поддерживает) на пару терабайт.

С удовольствием купил бы, но с деньгами туго. Думаю, пока сделаю как запланировал, благо это финансовых вливаний не требует, а потом, когда будет возможность, прикуплю еще 1 жесткий диск.

Tigron
EVIL:

С удовольствием купил бы, но с деньгами туго. Думаю, пока сделаю как запланировал, благо это финансовых вливаний не требует, а потом, когда будет возможность, прикуплю еще 1 жесткий диск.

Вы хотите сказать, что на заморочки с тумблером денег хватает, а на простейший жесткий диск - нет?! Даже на самый дешевый китайский? Вы серьезно?!
А вы не боитесь пожечь имеющийся диск вместе с материнкой за счет скачка напряжения при переключения тумблера питания диска на работающем компе. Вообще-то, не зря положено компьютер полностью обесточивать, перед тем, как переподключать периферию. Особенно не предусмотренную для такого переподключения производителем. Кстати, вы кабель питания от SATA видели? Он не круглый, как IDE, а шлейфом.

Brecket
Torvic99:

Восстанавливаю утилитами которые описаны в статье по ссылке.

Виктор, спасибо! Дали надежду.
У меня вирус Троян енкодер 567 все поменял. Попробую вариант по ссылке!

EVIL
Tigron:

на заморочки с тумблером денег хватает

Хватает. Надо всего 10р на тумблер. Или на работе скрутить откуда-нибудь.

Tigron:

на простейший жесткий диск - нет?!

Это вы наверное жестко пошутили? У нас в магазах внешние HDD от 4 тыс. При моей зп это вааще пичаль.

AlexeyOleynikov
EVIL:

Это вы наверное жестко пошутили?

Это значит, что Москва НЕ Россия.
А вкл/выкл HDD тумблером не есть гуд - выключить то можно, после программного отключения в винде, вот включить обратно корректно обычный SATA на обычной мамке не всегда удастся. Лучше делать вкл/выкл при отсутствии питания.

SAN
AlexeyOleynikov:

включить обратно корректно обычный SATA на обычной мамке не всегда удастся

На алиэкспрессе есть совсем недорогие переходники SATA - USB
Можно поискать и кэйсики. Для ноутбучных HDD кэйсов - навалом.
Наверно и для десктопных найдутся.

EVIL
AlexeyOleynikov:

Лучше делать вкл/выкл при отсутствии питания.

Собственно, так и планируется. Думаю, раз в месяц, включить HDD, потом запустить комп, скопировать, а потом все выключить, не так трудно. К тому же, я хочу разместить выключатель питания внутри корпуса компутера, чтобы нельзя было случайно его щелкнуть. Заодно будет лишний повод убрать пыль внутри корпуса. 😎

Игорь_Петрович

хмм можно поставить простейший мобилрек , если память не подводит , рублей 300-400 , на переднею панель корпуса будет удобнее, так копируюсь после прорыва системы охлаждения памяти компа

AlexeyOleynikov

Да, Константин, ставьте внешний съемный - ничего резать/паять не придется. Где то валяется. вот только старый, еще IDE.
Поэтому дома нашел тож старый, но рабочий винт на 300гиг и ручками слил важное - как раз 80% заняло. Дома архив часто не критичен.
А на работе каждую ночь конечно, носители физически другие, но не отключаются.

Aerorus

Всем привет!

Расковыряли на работе этот вирус (работаю в IT компании). Ну что сказать, вирус использует дырку в ОС Windows, никакой антивирь не спасет.
Мелкомягкие с пол года назад выпустили обновление, которое эту дырку закрывало. Соответственно все кто не поставил рискуют быть зашифрованными.
В случае если беда таки настала, отключайте хард, кладите на полку, когда дешифратор выпустят, можно будет из под Unix или Mac восстановить файлы.
Так как данные ОС запрещают автоматический запуск исполняемых файлов, то шифровка файлов сохранится, но файлы удалены не будут.
А вот если прицепить хард к винде, через n времени, то одномоментно все потеряете.

Как средство защиты можно использовать отдельный логический раздел для важных файлов с защитой доступа (т.е. при создании/редактировании/сохранении через пароль) в идеале с шифрованием.
Ну и конечно резервирование, делается просто, стоит не дорого, зато спокойствие полнейшее.

А вообще всем Ubuntu!

PS внешние диски не спасут, в случае если в момент атаки он будет подключен, потеряете данные и на нем.

Для англочитающих: bleepingcomputer.com/…/wannacry-wana-decryptor-wan…

ADF

Про линуксы - имхо все же нет. Есть стойкое впечатление, что линь адееватен лишь в двух случаях использования ЭВМ: либо как печатная машинка и тупления в интернете, либо если ты суперкркрутой программер и тебе для некой очень конкретной цели потребовался линукс.
Для прочих видов работ линукс - яки мопед на гонке мотоциклов: софт либо сырой, либо ощутимо уступает по функционалу, сред разработки раз-два инифига, гуй может изредка подлагивать так, что аж курсор мышы порализует - чего в винде не бывает! В общем, имеет линукс ряд недостатков для работы, или перестраивай весь пайплайн под сырой и чудом дошедший до релиза софт.

Aerorus

Вирус использует эксплоит ETERNALBLUE, которую закрывает выпущенное в марте обновление безопасности Microsoft MS17-010. Рекомендую проверить в центре обновления наличие такого обновления (по коду) на вашем компьютере (например, код для Windows 7 будет KB4012212 или KB4012215, или любой другой ежемесячный набор исправлений качества системы безопасности начиная с мартовского (2017 год)).

Если обновления не установлены, скачать их можно с официального сайта Microsoft:

technet.microsoft.com/en-us/…/ms17-010.aspx

Для старых систем (Windows XP, Windows Server 2003R2) Microsoft выпустил специальные патчи:

…microsoft.com/…/customer-guidance-for-wannacrypt-…

Закрываем порты 135 и 445

По отчетам антивирусных компаний, wcrypt проникает на компьютеры через порты SMB (Server Message Block). Для предотвращения проникновения, блокируем порты 135 и 445, через которые проникает вирус (в большинстве случаев они не используются обычными пользователями).

Для этого открываем консоль с правами администратора (cmd.exe -> запуск от имени администратора). И выполняем в ней поочередно 2 команды (после каждой команды должен быть статус OK)

netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=135 name=“Block_TCP-135”

netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=445 name=“Block_TCP-445”

Отключение поддержки SMBv1

Уязвимость также можно закрыть, полностью отключив поддержку SMBv1. Для этого достаточно выполнить следующую команду в командной строке запущенной от имени Администратора:

dism /online /norestart /disable-feature /featurename:SMB1Protocol

Конкретное обновление закрывающее уязвимость: kb4012212

PS протестировал на живой машинке: все 3 описанных способа работают, как вместе, так и по отдельности.

Владимир#

Добавлю. Автоматом винда не ставит это обновление. Так что если регулярно обновляете, всё равно проверьте.

ADF

Полез гуглить, кто такой этот SMBv1. Всюду - как его отключить или пофиксить в связи с вирусом, но нигде - о том, что это вообще за сервис (протоко?) и зачем он вообще нужен.

Просто превосходный пример, образец того, как преступно-безолаберно современные операционки спректированы. Очередной сервис, о полезности или нужности которого ничего не известно, но который имел полномочия на машине и доступ в сеть.

Aerorus
ADF:

Полез гуглить, кто такой этот SMBv1

Коряво, но для общего понимания достаточно: ru.wikipedia.org/wiki/Server_Message_Block
Overview: technet.microsoft.com/…/hh831795(v=ws.11).aspx

О тех кого это затронуло, и почему Россию коснулось больше всего:
Количество пиратских копий винды в рунете зашкаливает, отсюда и отсутствие последних обновлений.
Чтобы урегулировать количество пиратских копий и приучить юзеров ставить критически важные обновления небезызвестные агенства и компния запустили данный вирус.
Сейчас весь народ сломя голову побежит с сторы за лицензией винды и антивирями. А через недельку, загодя за 2-3 дня до дедлайна, выпустят декриптор.
Но это сугубо ИМХО, но на основе исторических данных.

Wit
Aerorus:

И выполняем в ней поочередно 2 команды

а в cmd скопировать эту строчку netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=135 name=“Block_TCP-135” от сюда можно, или надо руками забивать?

Wit

я копирую, а у меня почему-то кнопками не вставляется…

Forom

Кнопками не будет вставляться, только правой кнопкой мыши “вставить”

Панкратов_Сергей
Aerorus:

Уязвимость также можно закрыть, полностью отключив поддержку SMBv1.

А NetBT автозагрузку если отключить через панель управления- это одно и то же?