Ransomware op het werk

[Ducksy88]

Een bijzondere dag vandaag op het werk. Ik kreeg een telefoontje of ik even kon kijken waarom er een bestand op de fileserver niet meer geopend kon worden. Laat ik vooraf zeggen dat ik -geen- IT'er ben. Ik heb er geen opleiding in gehad, het is mijn professie niet maar ik ben zo'n type dat net iets meer weet dan de gemiddelde gebruiker en dan komen collegas als snel naar je toe. Ik zag al snel dat ons interne netwerk blijkbaar besmet was geraakt met ransome-ware. In afwezigheid van de IT Manager werd ik aangekeken deze situatie te behandelen.

Alle bestanden hadden een .micro extensie gekregen en er waren overal .html, .jpg en .txt bestanden aangemaakt waarin uitleg gegeven werd hoe de betaling moest verlopen.

Zover Google mij kon helpen heb ik dus een TeslaCrypt infectie te pakken

Nu werk ik bij een multinational waar een 24/7 helpdesk beschikbaar is en gelukkig kon ik dus contact met hun opnemen. Helaas zijn deze support-agents voornamelijk getraind in het herstellen van locked user accounts en vergeten wachtwoorden want ik werd zeer teleurstellend te woord gestaan. Ze hadden een remote connection gemaakt en konden zo meekijken op mijn scherm. Ik liet ze zien dat alle bestanden op onze fileserver gehijackt waren. Hun antwoord: "Yeah I see..... Probably you have saved the file in the wrong format". Ja mensen. Deze IT support agent had visual proof van de situatie en dacht dat ik een Word bestand probeerde op te slaan als .micro. Nu is dit topic niet bedoelt om mijn eigen support team aan te vallen maar dit is de situatie waarin ik me bevond. Het management keek naar mij om de zaak op te pakken en mijn enige hulp lijn moest via Google uitgelegd worden wat Ransome-ware is. I died a little....

Ik zit met een paar vragen waar de support desk mij geen antwoord op kon geven. Ik geef hieronder een situatie schets waarvan ik denk dat het belangirjk is voor jullie om mijn vragen te kunnen beantwoorden.

Ik weet nu dat de infectie hoogst waarschijnlijk is gekomen omdat collega's geprobeerd hebben een stream voor voetbal te kijken. Daarvoor moesten ze o.a. Silverlight installeren en kregen ze allerlei errors, reclame, pop-ups en andere rotzooi. Dit hebben ze allemaal gesloten. Maar ik vermoed dat ze in eerste instantie natuurlijk wel toestemming hebben gegeven om een viewer te installeren ofzo en daarmee ons systeem hebben besmet. Ik baseer dit vermoeden op 2 dingen.

1) Alle bestanden die aangemaakt zijn met uitleg over de ransome betaling, hebben als 'owner' de user op wiens computer de stream gekeken werd.
2) De "Last modified"-eigenschappen van de eerste gehijackte files komen overeen met de tijd dat ze geprobeerd hebben de stream te kijken.

Ik noem de user op wiens account de infectie heeft plaatsgevonden even X.

(nog) Niet alle bestanden op de server zijn gelockt, alleen de files waar X toegang tot had. X maakt gebruik van een workstation waar ook andere users op inloggen.

Van de fileserver wordt dagelijks een back-up gemaakt. Hiervoor worden twee HDDs gebruikt, de ene dag de een, de andere dag de andere. Elke nacht om 00:30 wisselt het beveiligingspersoneel de schijf en rond een uurtje of 04:00 draait de backup op naar de schijf.

Op het moment dat de server geinfecteerd raakte, was externe back-up schijf1 verbonden met de server (gewoon een externe USB HDD). Schijf 2 lag in een kluis. As we speak zijn beide schijven losgekoppeld (heb ik gedaan ruim voordat de backup draait) en liggen met een -do not touch- sticker in de kluis. Er hangt geen schijf aan de server voor de backup van deze nacht.

We zijn een bedrijf in de gastvrijheidsindustrie en hebben een openbaar netwerk voor onze gasten. Ik kan helaas geen enkele informatie geven over de structuur en infra van ons netwerk; geeen idee hoe dit zit. Onlangs hebben we echter tientallen duizenden euros geinvesteerd in een complete remake van dit gasten netwerk (alle hard en software is van begin tot eind volledig op de schop gegaan) dus ik mag er vanuit gaan dat deze twee netwerken volledig geïsoleerd zijn.

Ik wil voornamelijk verdere besmetting voorkomen. Dit zijn "maar" bestanden op een file/printserver, ik ben bang dat er infectie plaatsvind naar een van de andere servers of (oracle)databases. De vragen waar IT support geen antwoord op kon geven en waarvan ik jullie zou willen vragen om advies:

- Hoe groot is het risico op infectie voor mijn gasten die verbonden zijn met het openbaar wifi?
- Hoe groot is de kans dat de back-up schijf die aan de server hing ook besmet is geraakt?
- Moeten we het workstation waar de besmetting (vermoedelijk) op binnengekomen is loskoppelen van het netwerk?
- Als er andere users (met andere rechten) nu inloggen op dit workstation, is er dan risico dat bestanden waar deze user toegang tot heeft ook gelockt raken?
- Wat moeten we vooral NIET doen?!

Ik heb aangegeven dat de PC waar vermoedelijk de besmetting op is ontstaan niet meer gebruikt mag worden totdat we meer horen.

Met bovenstaande info weten jullie nu vrijwel evenveel als ik van de situatie. Wat raden jullie mij nog aan om te doen voordat we meer horen van IT support? (ow; ze gaven aan dat followup komt tussen de 24 en 72 uur.....)


(owja; ik ben rete nieuwsgierig naar wat er op die onion-sites staat aan info maar ik ben zeer huiverig om op mijn eigen PC daar naar te surfen. Ik heb een VM draaien hier thuis op m'n laptop. Kan ik zorgeloos TORbrowser downloaden in de VM en de sites bezoeken zonder bang te zijn voor mijnlaptop?)

[RGAT]

Vrij weinig tegen te doen nu, je hebt als ik het goed lees een backup van maar max. 2 dagen oud?
Zeer grote kans dat beide disks niet veel nuttige data meer bevatten, of in ieder geval een groot deel van de data dan onder encryptie staat...
Zou er zelf als je niet zeker weet wat je met de server doet er zeker niet aan komen, als je iets verkeerd doet ben je alle data permanent kwijt, probeer dat maar eens uit te leggen
Staat er in die documenten (HTML/JPG enz) een deadline vermeldt waar een of andere betaling moet worden gedaan?
Verder staat die server uiteraard al sinds ontdekking van de malware uit, toch?... Ding staat vol met malware en aangezien het niet meer werkt als fileserver als alles onder encryptie staat is er geen enkele reden om een geinfecteerde server online te houden
Persoonlijk zou ik hier zoveel mogelijk afstand van nemen, de feiten documenteren en zorgen dat zodra duidelijk wordt dat mogelijk alle data permanent verloren is jij niet aangewezen wordt

[Ducksy88]

De besmetting en de encryption heeft 16 uur geleden plaats gevonden. De backup van 48uur geleden moet dan toch schoon zijn?

Overigens maak ik me totaal geen zorgen dat ik straks verantwoordelijk gesteld wordt. De directie weet heel goed dat dit niet mijn vakgebied is en ik heb hun volledige steun. Ik ga geen rare dingen doen en raak de backup schijven of server pas verder aan op advies van support of onze in-house IT (die er net ff vakantie heefts deze twee weken.....)

Ik wil voornamelijk verdere besmetting voorkomen en zekerheid dat mijn gasten geen risico lopen.

[FirePuma142]

Ik zou als de wiedeweerga externe hulp inschakelen. Niet zelf aanklooien met alle risico's van dien. Kost je wel wat, maar als het echt mis gaat kost het je een hoop meer.

[Ducksy88]

Duidelijk antwoord; dank je wel. Ik ga dadelijk weer naar de zaak en de situatie met directie bespreken. Ik ga mijn directeur vragen zijn gewicht in de strijd te gooien bij onze support op HQ om zo maar te zeggen en eisen dat ze de situatie hogere prioriteit geven dan 24-72uur, belachelijk.

Komt daar te weinig uit voort zal ik doorzoeken naar overige hulp.

[ Voor 10% gewijzigd door Ducksy88 op 08-02-2016 08:53 ]

[ibfranky]

Neem zo snel mogelijk contact op met je IT manager, hij zou genoeg contacten moeten hebben binnen jullie global IT organisatie om dit snel op te lossen. (Al is het idee van 2 externe HDDs als backup wel apart binnen een multinational...)

Ik heb zelf recent ook zoiets meegemaakt, gelukkig hadden wij een goed backup programma en had ik alles binnen enkele uren weer beschikbaar.

[oheng]

- je moet dit door een IT er op laten lossen
- de PC die de bron van de infectie was moet losgekoppeld worden van het netwerk, de netwerkkabel moet eruit
- overal waar X bij kon is waarschijnlijk besmet. Dus ook netwerklokaties.

Voor degene die dit moet oplossen:
- zet alle synchronisatie en backups uit
- waarschijnlijk is het Teslacrypt virus er al weer af. Echter, met cryptolockers kun je na een tijdje "spontane" malware uitbraken hebben. Liefst dus formatteren.
- IIRC, Teslacrypt was volgens mij al gekraakt, en kan dus ongedaan worden gemaakt? Ik vrees dat dit een nieuwe, onkraakbare versie is.

[Rukapul]

Als het een multinational is dan is er mogelijk toch ook een CSIRT / CISO afdeling? Bij dergelijke uitbraken hen inschakelen.

De eerste stappen van topicstarter lijken correct namelijk het stabiliseren van de situatie om verdere verspreiding te voorkomen en backups veilig te stellen. Echter, het is aan een professional om de verdere afhandeling te doen.

[Ducksy88]

oheng schreef op maandag 08 februari 2016 @ 09:12:
- je moet dit door een IT er op laten lossen
- de PC die de bron van de infectie was moet losgekoppeld worden van het netwerk, de netwerkkabel moet eruit
- overal waar X bij kon is waarschijnlijk besmet. Dus ook netwerklokaties.

Voor degene die dit moet oplossen:
- zet alle synchronisatie en backups uit
- waarschijnlijk is het Teslacrypt virus er al weer af. Echter, met cryptolockers kun je na een tijdje "spontane" malware uitbraken hebben. Liefst dus formatteren.
- IIRC, Teslacrypt was volgens mij al gekraakt, en kan dus ongedaan worden gemaakt? Ik vrees dat dit een nieuwe, onkraakbare versie is.

Dank je wel. Dit zijn concrete stappen.

IT kennis zal van buitenaf moeten komen want we hebben een one man IT team... Met telefonische begeleiding zal ik waarschijnlijk de eerste preventie stappen moeten nemen

@rukapul, die afkortingen ken ik niet maar er Is wel degelijk echte global support. De bereikbaarheid en hun vermogen om de situatie naar ernst in te schatten stelt ons zeer teleur. Maar dat Is voor later en ik heb uitgebreid geregistreerd wat de bevindingen tot nu zijn geweest en dat ik hun die zelfde bevindingen heb overlegt. Die evaluatie zal onze directeur na afloop zeker met hoofdkantoor bespreken.

[ Voor 17% gewijzigd door Ducksy88 op 08-02-2016 09:30 ]

[Ducksy88]

Het lijkt er op dat inmiddels het balletje bij de juiste persoon terrecht Is gekomen.

Hun eerste scan laat zien dat vitale database/applicatie servers niet geïnfecteerd zijn en dat enkel de fileserver at risk is.

Kan ik mijn vrije dag hopelijk toch thuis blijven

[dukejan]

Eventueel kun je deze tool door je netwerkschijven halen. ( of de data kopieren naar een andere locatie en het vanaf daar doen ). https://noransom.kaspersky.com/

[Philip_Janssen]

Teslacrypt versie 1.0 en 2.0 kun je tegenwoordig decrypten, als je een beetje geluk hebt. Dit komt omdat de sleutel lokaal wordt opgeslagen. Teslacrypt 3.0 doet dit helaas niet en daar zit je probleem als je die versie te pakken hebt: betalen is een optie.

Gelukkig is Teslacrypt nog wel zo "stom" om eerst een kopie van het te infecteren bestand te maken, vervolgens deze kopie te encrypten en daarna het origineel weg te gooien. Met een beetje geluk, kun je dus je data nog wel terug halen als het echt nodig is. Dit gaat echter wel even duren, weet ik inmiddels uit de ervaring met de PC van moeders.

Teslacrypt zoekt inderdaad ook naar netwerkschijven en zal z'n best doen om toegang te krijgen en de bestanden ook daar te vernaggelen. Verbindingen verbreken is dus een goede maatregel. De juiste rechten toekennen op bepaalde shares kan ook veel gedonder voorkomen. Ik had mazzel: de NAS bij mijn ouders stond net een paar dagen uit (geen idee waarom, maar ik was er blij mee).

Ik heb het zekere voor het onzekere genomen en alle geinfecteerde schijven eerst met GParted (live CD) opnieuw gepartitioneerd en vervolgens met DBAN overschreven, om zeker te weten dat dit virus of iets anders zich later weer kan manifesteren. Er zijn ook removal tools voor.
Daarna uiteraard een goede virusscanner installeren en Cryptoprevent van FoolishIT geinstalleerd.

Interessant leesvoer:
Meer over Teslacrypt op Bleepingcomputer
Een kleine inleiding op versie 3.0

[geonosys]

Als het inderdaad teslacrypt is, is er wel wat aan te doen (zie boven).
My two cents: http://blogs.cisco.com/security/talos/teslacrypt

[erwin26]

Zo te zien heb je echt veel geluk gehad. 2 back-ups op 2 verschillende hdd. Je kan altijd terug naar de laatste back-up. Dit raad ik je ook aan om te doen, nadat elke PC grondig door gescand is en geen spoor meer te vinden van het virus! Nu nog de antwoorden

- Hoe groot is het risico op infectie voor mijn gasten die verbonden zijn met het openbaar wifi?
Als je het goed instelt is je gast wifi en je bedrijf netwerk helemaal gescheiden. Ook al heeft een gast een virus op zijn laptop/mobiel etc. dan kan dit niet op jouw netwerk komen. Mits dus goed gescheiden is.

- Hoe groot is de kans dat de back-up schijf die aan de server hing ook besmet is geraakt?
Deze is 100% besmet. Aangezien de virus een klein bestandje is was op de fileserver stond is dit bestandje ook meegenomen. Zodra je je HDD in een pc doet is het mogelijk dat de virus verder gaat. Dit is niet altijd het geval hoor, maar scan je HDD eventjes goed door op een PC die niet op je netwerk draait!

- Moeten we het workstation waar de besmetting (vermoedelijk) op binnengekomen is loskoppelen van het netwerk?
Helaas ben je hiermee al te laat aangezien het al op de fileserver staat. Je moet hem wel loskoppelen als je een restore gaat doen. Zo ben je zeker dat je restore niet besmet raakt. (neem aan dat het bestand niet lokaal op de pc staat, maar voor alle zekerheid)

- Als er andere users (met andere rechten) nu inloggen op dit workstation, is er dan risico dat bestanden waar deze user toegang tot heeft ook gelockt raken?
Als het virus lokaal staat dan wel. Staat de virus op netwerk niveau dan maakt het niks uit. In jouw geval staat het al op netwerk niveau.

- Wat moeten we vooral NIET doen?!
De besmette PC op het netwerk hangen of internet.
Restoren terwijl de virus er nog is.
Nooit de hackers betalen.
De besmette HDD op een computer aansluiten die op het netwerk zit.

Ik heb aangegeven dat de PC waar vermoedelijk de besmetting op is ontstaan niet meer gebruikt mag worden totdat we meer horen.

Dit is een goede actie! helaas uit je verhaal op te maken zit het virus al op netwerk niveau.

Tip: Neem contact op met https://www.fox-it.com/nl/. Dit zijn security specialisten die misschien nog andere tips of tricks hebben bij dit virus.

In elk geval je hoeft niet bang te zijn 1 van de 2 back-ups is niet besmet en je kan gelukkig nog terug na al je bestanden Ik zeg goed gehandeld zeker voor geen ICT-er!

[DJMaze]

Ducksy88 schreef op maandag 08 februari 2016 @ 04:04:
Daarvoor moesten ze o.a. Silverlight installeren en kregen ze allerlei errors, reclame, pop-ups en andere rotzooi.

Waarom mag iemand überhaupt zomaar dingen installeren?
Ik zou even tegen je baas zeggen dat er een beveiligingsgat zit op elke PC.

[Raoul.TLS]

Security scan zou ook handig zijn om te kijken of er meer gaten in de beveiliging van u netwerk zitten waardoor dit heeft kunnen gebeuren.
Kan geen kwaad.

[Dennahz]

De server zelf zal geen ransomware hebben draaien hé, het zijn gewoon de bestanden in de shares van de server die besmet zijn.

Dus m.i. het beste om deze shares volledig te verwijderen, daarna server goed te scannen (je weet maar nooit) en daarna de bestanden van de schone back-up terug te zetten.

Anyway, iets voor een IT-er dus.

[Arunia]

Idd, de computer welke de besmetting startte bevat het virus.
Het enige wat dat doet is zoeken naar aangesloten devices en kijken of er specifieke bestanden zijn (vaak film en foto bestanden en documenten aangezien daar vaak geld voor betaald zal worden) en deze dan encrypten.
Zolang die pc aan staat, zal het virus blijven zoeken.
Voor zover (weet niet of het anders is tegenwoordig) kan zo'n virus ook niet op netwerk shares mits hier geen drive letter aan gekoppeld staat.
Dat zal in dit geval wel zo zijn geweest.

[Ducksy88]

Heel erg bedankt voor het meedenken allemaal.

@Erwin; dat we twee schijven hebben Is geen geluk, dat Is precies om deze reden zo gedaan Ik begreep dat dit virus zich lokaal op het workstation heeft geëxecuteerd en vanaf daar vrij toegankelijke bestanden ge-encrypt. Het virus zelf lijkt -niet- uitgevoerd te zijn op de server. Edit: ja dus, dat wordt hierboven bevestigd.

Toen de case vanmorgen uiteindelijk bij het juiste team lag Was er van mijn kant gelukkig geen input meer nodig.

Laatste update vanuit hen heeft wel aangetoond dat er mogelijk updates in het verleden niet gedraaid hebben voor onze virus definities.... Dat gaat nog een staartje krijgen. Huidige scan heeft meer dan 1 threat gevonden, is over een uurtje of wat klaar...

Heren bedankt ik ga weer met een redelijk gerust hart naar huis.

[ Voor 8% gewijzigd door Ducksy88 op 08-02-2016 19:16 . Reden: updates okay ]

[oheng]

Ducksy88 schreef op maandag 08 februari 2016 @ 16:13:


Laatste update vanuit hen heeft wel aangetoond dat er mogelijk updates in het verleden niet gedraaid hebben voor onze virus definities.... Dat gaat nog een staartje krijgen. Huidige scan heeft meer dan 1 threat gevonden, is over een uurtje of wat klaar...

Virusscanners houden dit soort cryptolockers niet tegen hoor. Meestal vinden slechts 10% van de virusscanners een cryptolocker.

Het probleem zit hier bij de gebruiker, en wat hij wel/niet mag. Dit probleem ga je nooit oplossen met virusscanners.

[SannrHerr]

Bij mijn vrouw op werk hebben ze betaald en daarna zijn alle bestanden ontsleuteld. Gewaagd, maar voor hen heeft het goed uitgepakt.

Een hogeschool niet ver hier vandaan heeft hetzelfde opgelopen. Zij zijn met back-ups aan de slag gegaan. Al met al misschien nog wel een duurde oplossing qua manuren.

[Orion84]

Ducksy88 schreef op maandag 08 februari 2016 @ 09:24:
[...]
@rukapul, die afkortingen ken ik niet maar er Is wel degelijk echte global support. De bereikbaarheid en hun vermogen om de situatie naar ernst in te schatten stelt ons zeer teleur. Maar dat Is voor later en ik heb uitgebreid geregistreerd wat de bevindingen tot nu zijn geweest en dat ik hun die zelfde bevindingen heb overlegt. Die evaluatie zal onze directeur na afloop zeker met hoofdkantoor bespreken.

CIRT=computer incident response team
CISO=chief information security officer

Oftewel: een afdeling die zich bezighoudt met IT security. Dus niet je reguliere IT support team. Al zouden die natuurlijk dit soort zaken ook gewoon moeten herkennen en naar het juiste team moeten doorzetten.

[Shinoki]

Ik schrik wel even dat de hoofd IT helpdesk niet getrained is voor dit soort situaties.... Mocht er bij ons er ook enig vermoeden ontstaan dat er een crypto bezig is dan worden meteen alle shares dichtgezet om de schade te beperken....

[St@m]

Shinoki schreef op maandag 08 februari 2016 @ 20:40:
Ik schrik wel even dat de hoofd IT helpdesk niet getrained is voor dit soort situaties.... Mocht er bij ons er ook enig vermoeden ontstaan dat er een crypto bezig is dan worden meteen alle shares dichtgezet om de schade te beperken....

Hoe kom je daarbij? Maak ik niet op uit het verhaal.
Daarnaast, een hoofd IT helpdesk? Servicedeskcoordinator dus eigenlijk? Volgens mij hoeft die ook niet getraint te zijn voor dit soort situaties, daar heb je je specialisten voor.

[Orion84]

Een Servicedesk zou zoiets op zijn minst moeten herkennen en het naar die specialisten moeten doorzetten.

[St@m]

Orion84 schreef op maandag 08 februari 2016 @ 21:09:
Een Servicedesk zou zoiets op zijn minst moeten herkennen en het naar die specialisten moeten doorzetten.

Klopt, maar een servicedeskmedewerker is iets anders dan hoofd servicedesk / manager servicedesk / servicedeskcoordinator of wat je het ook noemt (ook al komt die helemaal niet voor in dit verhaal volgens mij). Net alsof een servicedeskmanager weet heeft van alle calls die binnenkomen.

[Orion84]

Bedoelde hij niet gewoon de centrale Servicedesk ipv het hoofd van de Servicedesk?

[ndonkersloot]

Om herhaling te voorkomen is het wel verstandig om daar ook maatregelen voor te nemen. Ik weet niet hoe 'vrij' jullie gebuikers zijn op het netwerk maar een Applocker policy maken met daarin alleen vertrouwde applicaties op basis van hash voorkomt een hoop!

[Ducksy88]

Heej; das raar. Ik heb mijn vorige post niet daadwerkelijk verzonden; alleen getypt.....Hier nog een keer. Ik kom later in deze post terug op het IT-support/CISO/CIRT verhaal.

Vraag:
In mijn uitleg naar leden van het management wat er gebeurd was kreeg ik, natuurlijk, regelmatig de vraag "Hoe is het uberhaupt mogelijk dat deze user iets mag installeren?". Ik heb ze gezegd dat ik dat niet 100% zeker weet; maar dat het mogelijk is omdat de gebruiker SilverLight probeerde te installeren; een browser addin, en niet een stand-alone programma. En dat de rechten/elevation die daarvoor nodig is, anders in de policy staat.

Is het mogelijk dat policy/rechten inderdaad een user wel kan toestaan Silverlight te instaleren maar andere programmas niet? Of zal deze user blijkbaar "te hoge" rechten hebben gehad?

Terugkomend op het verhaal van helpdesk en support.

Inderdaad is er een verschil tussen een IT Support desk, en het CISO/CIRT-team (bedankt voor uitleg van de afkortingen). Wij hebben inderdaad beide. Ik had gebeld met de IT Support desk; deze dame had geeeen idee. Ik heb haar moeten uitleggen wat Ransomeware was en zij had intern een case aangemaakt met Priority: LOW, Impact: Medium, Importance: LOW. Iets in die richting.

Gelukkig had ik daarvoor al een voicemail achtergelaten bij wereldwijde Risk Management Team. Zoals het aan ons personeel getraind wordt is dit team echt alleen in ZEER risicovolle situaties te gebruiken; denk aan de aanwezigheid van een bom, een gijzelingssituatie, terreuraanslag; dat is het niveau waarmee dit risk team zich bezig houd.

Op de dag van infectie waarbij ik het als eerste ontdekte; kon ik geen telefoon verbinding krijgen met de normale, low-level IT-Support (telefoon lijn was dood ?!). Ik heb toen besloten gewoon te bellen naar RiskManagement, en daar een voicemail achtergelaten. Een collega van me keek me aan zo van; moet je dat nou wel doen, is het zo serieus; ik had schijt. Gewoon gebeld.

En maar goed ook, want toen zij eenmaal dat bericht hadden ontvangen ging het snel. Mijn directeur liet me mee kijken in haar mailbox toen ik binnen kwam en vanuit het hoogste global IT & Security werden er Engineers aangestuurd om onze property als de wiedeweerga te scannen en actie te ondernemen.

Het is dus niet zo dat onze organisatie geen support heeft; het duurde helaas even wat langer dan ik had gehoopt.

Ik had een kleine conference call gehad met mijn directe manager, de directeur en de grote baas Global IT waarin ik uitleg heb gegeven van mijn bevindingen bij infectie en ik ben best een beetje trots; iedereen was heel erg tevreden met mijn handelen

Directeur en ik hebben handen geschud op een nieuw training- en ontwikkelingtraject en de eerste ideeën gewisseld over mijn volgende stap in de organisatie. Met vanuit haar de nadrukkelijk toevoeging; daar zit ook een aantrekkelijker arbeidsvoorwaardepakket bij

Ik wil namelijk best doorgroeien/omscholen in een IT richting, maar het bredere Risk Management (hou ik me nu op property niveau al eenbeejte mee bezig) dat lijkt me echt interessant. Nieuwe paden zijn geopend!

[MisteRMeesteR]

En ook hier, Elk nadeel heeft zijn voordeel

[Shinoki]

Orion84 schreef op dinsdag 09 februari 2016 @ 06:55:
Bedoelde hij niet gewoon de centrale Servicedesk ipv het hoofd van de Servicedesk?

Was inderdaad niet geheel duidelijk lees ik nu:) maar inderdaad de centrale servicdesk.

Je verwacht toch wel voor iemand die op een IT servicedesk werkt zich inleest op actuele veel voorkomende problemen. Een probleem als een cryptolocker zal bij een IT servicedesk meteen herkend moeten worden.

[Ducksy88]

Shinoki schreef op dinsdag 09 februari 2016 @ 11:53:
Een probleem als een cryptolocker zal bij een IT servicedesk meteen herkend moeten worden.

100% waar. Ik was ook écht met stomheid geslagen toen ík moest uitleggen aan haar wat er aan de hand was. Toen ik het case ticket kreeg en er LOW/LOW/MEDIUM als prio aan hing werd ik echt gek.

Zorgde er ook voor dat ik me redelijk 'hopeloos' voelde; mijn enige echte supportlijn die me zo behandelde. Dat was een van de redenen dat ik dit topic gemaakt had, dan maar advies via Tweakers.

Gelukkig was de situatie de volgende ochtend bij de juiste partij aangekomen en is de situatie nu onder controle.

Servers hebben een full scan gekregen die inmiddels 12uur geleden klaar was (zou moeten zijn). De engineers die de zaak nu behandelen zijn competente IT'ers en dus is dat deel in goede handen maar nu is de communicatie terug naar ons weer wat minder; moet steeds zelf om info vragen. Gisteren ook 4uur op de zaak (op mn vrije dag) gezeten om vervolgens te horen dat ik niet nodig was..... Maargoed; its all part of the job Vandaag wel gewoon thuis

[ Voor 5% gewijzigd door Ducksy88 op 09-02-2016 12:09 ]

[HellBeast]

Je kunt vaak zien welke PC de besmetting heeft, omdat het virus alle netwerkschijven besmet. Als je met persoonlijke schijven werkt (vaak H:\), dan pik je het er zo uit.

Scan je file server op de extentie (*.micro bijvoorbeeld) en als er *.micro bestanden staan op iemand z'n persoonlijke schijf, dan is dat de PC/laptop die je moet hebben.

[Ducksy88]

@HellBeast
Het 'point of infection' is bekend; in dit geval zag ik dat alle door het virus aangemaakte bestanden (die met uitleg over de betaling) als 'Owner' dezelfde username hadden. Bij navraag bij desbetreffende gebruiker bleek al snel dat daar op vage sites geprobeerd was een illegale voetbal stream te kijken en daarvoor SilverLight geïnstalleerd waarna er allerlei errors/popups etc verschenen.

Toen besloten ze alles te sluiten en niet via die site te kijken. Het kwaad was al geschied...

Vandaag zijn de laatste scans op de Fileserver uitgevoerd, updates gecontroleerd etc. Daar zijn wellicht enkel nog een paar reboots voor nodig en als het goed is zijn onze systemen dan 'officieel' schoon.

Echter moeten de gelockte bestanden wél nog terug gezet worden naar hun originele staat voor de infectie.

=vraag over back-ups schijven=

We hebben 2 externe HDDs waar backups op staan. Schijf A en schijf B.

Ten tijden van infectie was Schijf-A verbonden met de Fileserver.
Ten tijden van infectie was Schijf-B veilig opgeborgen in een kluis.

Schijf-A hing aan de server, maar er is -geen- backup naartoe geschreven. (Draaien v/d backup staat in de nacht gescheduled en voor die tijd heb ik 'm los gehaald)
Schijf-B heeft na de infectie -nooit- aan de server, of andere PC, gehangen. Schijf-B is compleet airgapped gebleven tijdens dit verhaal.

Schijf-A bevat ons meest recente backup data
Schijf-B is 24 uur ouder dan A.

Nu weet ik dat dit virus zélf zich hoogst waarschijnlijk niet heeft verspreid van het geïnfecteerde workstation naar de server zelf. Het heeft enkel de bestanden gelockt. Echter was de HDD backup drive-A wel verbonden met de server en is er een theoretische mogelijkheid van besmetting.

Ik ben daarom huiverig om Schijf-A te gebruiken voor de back-up. Echter is dat natuurlijk wel het meest praktische gezien deze backup tot minder data verlies leidt.

Helaas zijn onze global support ITers niet heel communicatief en zijn mijn vragen omtrent deze back-ups tot op nu onbeantwoord gebleven. Ik kan ze wel bereiken, daar niet van, maar ik gebruik ook graag jullie expertise als een soort van 'second opinion'.

Als ik Schijf-A wil gebruiken, zal ik deze eerst willen scannen op een standalone computer. Dan moet de gebruikte scan software natuurlijk wel in staat zijn om dit specifieke virus te herkennen; hoe verifieer ik dat? Mag ik dit zelf doen of moet dit ook behandeld worden door een getraind persoon?

Schijf-B was "airgapped" en zou onmogelijk besmet kunnen zijn geraakt; toch scannen alvorens te gebruiken?

[Orion84]

Of er op de backupschijf ook bestanden versleuteld zijn zou je moeten kunnen zien aan de extensies toch? Hopelijk was het zo ingericht dat de betreffende user wel schrijfrechten had op de normale opslag, maar niet op de backup disk. Dan is er weinig risico dat het virus überhaupt bij de backups kon.

Ik zou die schijf-B voorlopig even fijn offline houden. De backup op schijf-A grondig onderzoeken op corruptie en indien OK die gebruiken voor herstel. Vind je dan toch nog wat geks, dan heb je schijf-B nog achter de hand. Misschien ook handig om die schijf-B dus de komende dagen even niet te overschrijven met een verse backup. Regel even een schijf-C die je dan samen met schijf-A weer om en om gebruikt.

[Baserk]

^Zoals Orion84 schrijft, wees voorzichtig met BackupHDD B.
Ik zou als ik jou was oppassen met besluiten nemen over het wel of niet gebruiken van Backup A of B ivm de meest recente data.
Door je acties heb je krediet opgebouwd, laat de beslissing over het gebruik van de backup data (met 24-48 uur aan verschil) lekker over aan de huidige verantwoordelijke.
Mocht er om wat voor reden toch gelazer ontstaan tijdens het terugzetten van de backup (helemaal los van de crypto ellende) dan wordt jij er niet op aangekeken (bijv. als blijkt dat net toevallig de laatste 'Backup B' niet helemaal correct is gegaan).

[Bor]

SannrHerr schreef op maandag 08 februari 2016 @ 19:37:
Bij mijn vrouw op werk hebben ze betaald en daarna zijn alle bestanden ontsleuteld. Gewaagd, maar voor hen heeft het goed uitgepakt.

Gewaagd en je helpt direct bij de instandhouding van Cryptoware. Slecht advies om te volgen. Zelfs bedrijven als Microsoft adviseren niet om te betalen. De enige reden dat er steeds meer en geavanceerdere cryptoware bestaat is omdat er simpelweg veel geld valt te verdienen. Meer dan eens komt er na betaling geen oplossing.

[Gomez12]

Ducksy88 schreef op woensdag 10 februari 2016 @ 12:49:
Helaas zijn onze global support ITers niet heel communicatief en zijn mijn vragen omtrent deze back-ups tot op nu onbeantwoord gebleven. Ik kan ze wel bereiken, daar niet van, maar ik gebruik ook graag jullie expertise als een soort van 'second opinion'.

Is er niet een soort van communicatie stoornis tussen jou en het support team ontstaan over dit onderwerp?

Ik zou namelijk zeggen : Support team is ook verantwoordelijk voor het zo goed mogelijk terug zetten van de backup.
Immers als jij de inschatting moet maken en jij gaat de restore starten en er is weer een cypto-uitbraak vanuit de backup dan is niemand daar bij gebaat en jij bent simpelweg niet de expert.

Oftewel ik zou even heel duidelijk navragen of het wel de bedoeling is dat jij de backup gaat terugzetten als je support IT'ers er geen uitdrukkelijke toestemming voor geven.

Want persoonlijk zou ik als IT'er eerst die schijf 100% willen scannen op een losse pc maar wel met exact dezelfde methode waarop de servers gescanned zijn en daarna zou ik alles behalve de bestanden van die gebruiker restoren in een VM (die gebruiker zijn bestanden zou ik sowieso verloren verklaren en die is maar meer werk kwijt) en dan op verzoek vanuit die VM naar live kopieren om het risico te minimaliseren.

Puur ideaal zou ik het liefste die backup wegmieteren en verloren beschouwen, maar dat is zakelijk niet te doen dus dan maar via zo'n omslachtige weg.
Alleen ik zou nooit willen dat een gebruiker dit soort acties gaat starten net na een virus-attack, hoe goed bedoeld door de gebruiker ook, de kans dat het fout gaat is imho te groot.

Dus ik vermoed dat er ergens een communicatie stoornis oid is waardoor je support IT niet helemaal begrijpt wat je wilt gaan doen oid.

[SannrHerr]

Bor schreef op woensdag 10 februari 2016 @ 18:53:
[...]


Gewaagd en je helpt direct bij de instandhouding van Cryptoware. Slecht advies om te volgen. Zelfs bedrijven als Microsoft adviseren niet om te betalen. De enige reden dat er steeds meer en geavanceerdere cryptoware bestaat is omdat er simpelweg veel geld valt te verdienen. Meer dan eens komt er na betaling geen oplossing.

Ben het helemaal met je eens. Er was op dat moment echter geen fatsoenlijk systeem van back-ups e.d.
Hun vorige IT-mannetje was een regelrechte zot die al begon te schreeuwen wanneer je zonder overleg een nieuwe professionele printer had gekocht om een kapotte te vervangen. Bij de wisseling van de wacht heeft hij alles slordig achter gelaten.

Nadat die ellende toe had geslagen, kon de nieuwe IT'er nog voor zijn eigenlijke aanvangdatum beginnen met redden wat er te redden viel... En dat was niet veel.

Het is een kleine culturele instelling, die midden in een fusie, een verbouwing en meer zit. De hele server was besmet. Jaren van werk, maar ook belangrijke subsidieaanvragen e.d. waren niet meer terug te krijgen.

Betalen was nogal een gok, maar dit was zo'n beetje erop of eronder voor ze.

Zowel de nieuwe IT'er als ikzelf hebben ze gewaarschuwd dat het ook fout zou kunnen gaan.

[DJMaze]

Ik zie dat het volgende nog niet is beantwoord.

Ducksy88 schreef op dinsdag 09 februari 2016 @ 09:08:
Vraag:
In mijn uitleg naar leden van het management wat er gebeurd was kreeg ik, natuurlijk, regelmatig de vraag "Hoe is het uberhaupt mogelijk dat deze user iets mag installeren?". Ik heb ze gezegd dat ik dat niet 100% zeker weet; maar dat het mogelijk is omdat de gebruiker SilverLight probeerde te installeren; een browser addin, en niet een stand-alone programma. En dat de rechten/elevation die daarvoor nodig is, anders in de policy staat.

Is het mogelijk dat policy/rechten inderdaad een user wel kan toestaan Silverlight te instaleren maar andere programmas niet? Of zal deze user blijkbaar "te hoge" rechten hebben gehad?

Ja en nee
Om SilverLight te installeren moet er een ".exe" worden uitgevoerd voor de installatie. Dat kan je blokkeren door gebruikers geen admin rechten te geven.

Malware, trojans en virussen werken anders. Die willen meestal via Flash en Java proberen zichzelf te installeren. Geen flash en java op de PC werkt.

Heb je flash/java nodig in de browser? Dan wordt het lastig.
Je kan in de browser configuratie de "click to activate" aanzetten zodat flash/java alleen werken zodra er op wordt geklikt.
Je kan ook browser plugins blokkeren in de configuratie.
Nadeel hier is dat de gebruiker zelf dit in de configuratie weer kan terug draaien en het gat weer open staat.
Het is veel lastiger om dit te forceren, niet onmogelijk.

[HellBeast]

Even inhakend op dit probleem qua preventie van Ransomware; Bestaat er software die aanpassingen van bestanden op grote schaal kan tegengaan door bijvoorbeeld de AD user te blokkeren? Ik kom veel tools tegen die alleen monitoren, maar aangezien ik deze week bij een klant na 15 minuten al meer dan 22.000 besmette bestanden had, is dat geen optie.

[GerardVanAfoort]

HellBeast schreef op donderdag 11 februari 2016 @ 10:53:
Even inhakend op dit probleem qua preventie van Ransomware; Bestaat er software die aanpassingen van bestanden op grote schaal kan tegengaan door bijvoorbeeld de AD user te blokkeren? Ik kom veel tools tegen die alleen monitoren, maar aangezien ik deze week bij een klant na 15 minuten al meer dan 22.000 besmette bestanden had, is dat geen optie.

Het blokkeert niet de AD user maar voorkomt wel een uitbraak/verspreiding: http://www.surfright.nl/nl/alert
Die 11,54 per user per jaar is natuurlijk peanuts tov een recovery op tig werkplekken.

[Kaalus]

Executie rechten op de userprofile\temp wegenemen zodat daar niets uit gedraaid kan worden. Eventueel kun je ook nog met een white/blacklist werken op je fileserver. Whitelist is best veel werk, maar als het eenmaal draait blokkeert het alle andere extenties.
Al zal er vast ook wel ransomware komen die de boel versleuteld zonder de extentie aan te passen. Dan heeft het blokkeren weinig zin meer en is het eerder tot last.

[Ducksy88]

Weer een dagje verder en ik kan jullie het volgende vertellen hoe de zaak nu verder is verlopen.

Gelukkig heb ik gisteravond een mail naar het voltallige personeel kunnen sturen dat ze weer gebruik kunnen maken zoals tevoren van de fileserver. Het daadwerkelijk dataverlies valt voor de meeste te overzien (en voor sommige is er zelfs helemaal niets verloren), behalve voor sommige uit de usergroup waar de infectie is gestart; daar is het e.e.a. verdwenen, waarover later meer.

Ik ben uiteindelijk niet zelf met de back-ups in de weer geweest, dit heeft een andere collega gedaan onder telefonische begeleiding van onze eigen IT manager (die nu gelukkig weer bereikbaar was (hij gaat nu op vakantie dus we moeten hem nog wel ruim een week missen)). Inderdaad zijn eerst beide schijven gescand op een losstaande machine en daarna is besloten om de meest recente schijf te gebruiken en de andere (de 'airgapped' schijf) ligt nog altijd opgeborgen. Komende tijd draaien we de back-ups enkel op de huidige schijf en pas na een aantal dagen gaan we weer rouleren. Een overweging wordt nu gemaakt om een schijfje of 2 erbij te kopen; voor een schamele 200 euro hebben we dan toch wat meer zekerheid. You never know.

DJMaze schreef op donderdag 11 februari 2016 @ 10:37:
Ik zie dat het volgende nog niet is beantwoord.
Ja en nee
Om SilverLight te installeren moet er een ".exe" worden uitgevoerd voor de installatie. Dat kan je blokkeren door gebruikers geen admin rechten te geven.
*knip*

Deze gebruiker zou zeker geen admin rechten moeten hebben; nergens voor nodig. Dit is wel een medewerker die hier lang werkt en wiens account aangemaakt is door een andere IT manager. In een periode zonder IT manager is er ook e.e.a. aan de AD/rechten gewerkt door iemand die het er tijdelijk bij nam; grote kans dat er ergens een keer iemand in een verkeerde groep heeft gehangen. Dat zullen we moeten uitzoeken...

Maar als deze infectie niet via de .exe van SilverLight maar Flash/Java plugins, had het dan ook gebeurd als de user lagere rechten had?

Wat gebeurd er gisteravond. Er komt een andere medewerker naar mij toe die normaal werkt op het workstation dat besmet is geraakt. Hij slaat zijn werk op het bureaublad op.
Als hij nu op een andere workstation inlogt, is hij al zijn werk van pakweg 12maanden kwijt. Dit alles stond op het bureaublad (zeg maar niets... I told him...)

Echter lijkt mij dit eerder een probleem met zijn roaming profile dan door het virus veroorzaakt, niet? (ons bedrijf heeft een historie met roaming-profile issues).

Enige echt gevoelige wat nog open staat is de geïnfecteerde PC behandelen... (ging al bijna fout gisteren nadat ik had gemaild dat de server weer up and running was. Stuurt een ander naar de afdeling van de geinfectie dat die PC ook weer ingeplugd kon worden. Wat ben ik blij dat ik die PC fysiek uit hun kantoor heb weggehaald!)

GerardVanAfoort schreef op donderdag 11 februari 2016 @ 11:08:[...]Het blokkeert niet de AD user maar voorkomt wel een uitbraak/verspreiding: http://www.surfright.nl/nl/alert Die 11,54 per user per jaar is natuurlijk peanuts tov een recovery op tig werkplekken.

Als je kijkt naar hoeveel manuren er bij ons ingestoken zijn is 11,54 per jaar inderdaad peanuts! Niet alleen on-site maar ook vanuit het global support team... Duur grapje dit hoor. De verloren productiviteit omdat sommige niet bij hun bestanden konden daarbij opgeteld....

Ik weet dat het niet nodig is maar bij deze een bedankje aan alle reagerende Tweakers Much appreciated!
De zaak is zo goed als rond, dringende zaken zijn afgehandeld dus dit boekwerk van een topic wordt hierna met rust gelaten

[CaptJackSparrow]

Voor het hopelijk onwaarschijnlijke geval dat de malware niet goed verwijderd zou worden zou het nog nuttig kunnen zijn om de backupschijven eerst te klonen op een ander systeem evt. met een live CD met backup software zodat in elk geval schijf B nooit fysiek aangesloten hoeft te worden op een mogelijk nog niet schone PC maar dat de backup vanaf de kloon teruggezet wordt.

Ook kan een additionele Cloud-backup service nuttig zijn waar je ook een veel langere backuphistorie kunt bewaren dan 2 dagen. Ik weet niet hoe groot de hoeveelheid data is die gebackupt moet worden. Wordt er alleen met volledige backups gewerkt of ook met incrementele? Met incrementele kun je ook makkelijker een langere historie bewaren en kun je kiezen tot welke datum je data terugzet. Met alleen twee volledige backups heb je snel dat er in een situatie als deze geen onverdachte data meer voorhanden is.

Ik maak zelf privé momenteel gebruik van de gratis 1 TB Stack van TransIP [Cloud storage] "Stack" van TransIP in combinatie met Duplicati. Standaard maakt dat maandelijks volledige backups en elke dag een incrementele maar dat is vrij instelbaar natuurlijk. Kan wellicht geen kwaad om zoiets erbij te hebben.