nieuwe crypto extensie eojiorc

[furian88]

Klant heeft een mail gekregen van "kpn" met factuur, hoog bedrag dus hebben ze het rar bestand geopend.
Backup wordt al terug gezet.

extensie: eojiorc

Niks te vinden op google over deze.

Indien ik mij vergis hoor ik t uiteraard graag!

[DJMaze]

De extensie is random. Het is de CTB locker.

Net ook een klant verteld dat hij alles kwijt is, inclusief zijn nas, icloud, dropbox, etc.

De RAR: https://www.virustotal.co...04b4/analysis/1457441141/
De EXE: https://www.virustotal.co...04b4/analysis/1457441141/

Klant vroeg zich af of een virusscanner zou helpen: heb gezegd dat dat niet werkt.
Klant vroeg zich af waarom niet: nou omdat virusscanners hem niet herkennen

[ Voor 60% gewijzigd door DJMaze op 09-03-2016 11:46 ]

[furian88]

DJMaze schreef op woensdag 09 maart 2016 @ 11:43:
De extensie is random. Het is de CTB locker.

Net ook een klant verteld dat hij alles kwijt is, inclusief zijn nas, icloud, dropbox, etc.

ahhhh kijk dat was een klein detail dat ik nog niet wist, in dat geval kan dit topic gesloten worden

[Paul]

CBT Locker is al zeker een jaar oud, het lijkt me heel sterk als anti-malware-pakketten die niet zouden zien?

Mailtjes met attachments over facturen zijn überhaupt al ZEER verdacht, en dat mensen nog steeds geen .exe van .pdf kunnen onderscheiden is half bijzonder treurig en half de schuld van MS die standaard bekende extenties verbergt...

DJ Maze: Ik neem aan dat je die klant hebt uitgelegd wat de voordelen van een fatsoenlijke backup zijn?

[KipInBraadzak]

Paul schreef op woensdag 09 maart 2016 @ 13:41:
CBT Locker is al zeker een jaar oud, het lijkt me heel sterk als anti-malware-pakketten die niet zouden zien?

Mailtjes met attachments over facturen zijn überhaupt al ZEER verdacht, en dat mensen nog steeds geen .exe van .pdf kunnen onderscheiden is half bijzonder treurig en half de schuld van MS die standaard bekende extenties verbergt...

DJ Maze: Ik neem aan dat je die klant hebt uitgelegd wat de voordelen van een fatsoenlijke backup zijn?

Zie dat meer als een familienaam. Er komen nog dagelijks nieuwe varianten uit welke niet door antivirussignatures herkend worden. Na een dag of twee herkennen deze de variant wel maar staat de opvolgende variant alweer in de mailboxen. Een kat en muisspel dat met alleen een virusscanner niet goed te bestrijden is.

[DJMaze]

Paul schreef op woensdag 09 maart 2016 @ 13:41:
Ik neem aan dat je die klant hebt uitgelegd wat de voordelen van een fatsoenlijke backup zijn?

Nou half, ik zei dat hij een externe USB schijf in de kluis moet leggen.
Maar ja, als hij deze vervolgens een maand niet aanraakt....

Heb hem toen langzaam verteld over incremental backups van zijn NAS naar een andere plek.
Maar dat is natuurlijk allemaal veel te moeilijk.

[maratropa]

DJMaze schreef op woensdag 09 maart 2016 @ 11:43:
De extensie is random. Het is de CTB locker.

Net ook een klant verteld dat hij alles kwijt is, inclusief zijn nas, icloud, dropbox, etc.

De RAR: https://www.virustotal.co...04b4/analysis/1457441141/
De EXE: https://www.virustotal.co...04b4/analysis/1457441141/

Klant vroeg zich af of een virusscanner zou helpen: heb gezegd dat dat niet werkt.
Klant vroeg zich af waarom niet: nou omdat virusscanners hem niet herkennen

Als hij dropbox mailt binnen 30 dagen dan zetten ze gewoon alles terug toch naar een aangegeven moment?

[Opifex]

Paul schreef op woensdag 09 maart 2016 @ 13:41:
CBT Locker is al zeker een jaar oud, het lijkt me heel sterk als anti-malware-pakketten die niet zouden zien?

Mailtjes met attachments over facturen zijn überhaupt al ZEER verdacht, en dat mensen nog steeds geen .exe van .pdf kunnen onderscheiden is half bijzonder treurig en half de schuld van MS die standaard bekende extenties verbergt...

DJ Maze: Ik neem aan dat je die klant hebt uitgelegd wat de voordelen van een fatsoenlijke backup zijn?

Hij vroeg of een Virusscanner iets zou uithalen. Maar eens de files geëncrypteerd zijn kan je met een virusscanner niet veel meer uithalen...

[aZuL2001]

Ook een klant die zo "handig" was er op te klikken.
Schade lijkt mee te vallen, maar de getroffen XP machine weer schoon installeren heb ik ze toch maar afgeraden. Goedkopere oplossing is een nieuwe pc te kopen in dit geval

Van het mailtje viel de Avast footer me op. Alsof KPN die mee zou sturen.


Verder mailtje zag er op zich netjes uit.

[ Voor 27% gewijzigd door aZuL2001 op 10-03-2016 01:22 . Reden: plaatjes ]

[Jester-NL]

Afzender: @kpnmail.nl (??)
En een .rar als bijlage... van een gerenommeerd bedrijf? Alleen daar zouden de alarmbellen al van moeten afgaan...

[Firefly III]

-

[ Voor 99% gewijzigd door Firefly III op 21-10-2019 09:14 . Reden: Leeg ivm privacy ]

[Jester-NL]

Hmm,, zie nu pas dat de mail een "ik ook"-post is

[Kavaa]

FYI als er een omgeving is waar een Server2012 R2 File server draait of een Synology NAS Blokkeer dan de bestandstypes.

https://www.petri.com/blo...types-windows-server-2012

----
Zoekende naar een Synology Manual Iemand? Ik weet waar het zit (Bestandsservices > Geavanceerde Instellingen > Bestanden Blokkeren Plaats hier: /*.locky/ en /*.eojiorc/

[Vinales]

Hallo djkavaa,
Dank voor je tip mbt de synology. (Zojuist toegevoegd).

[FlipFluitketel]

Dat helpt misschien tegen locky ja, maar niet tegen CTB-locker aangezien die een willekeurige extensie eraan plakt. Succes met alle willekeurige extensies in je Synology te blokkeren

HitmanPro.Alert en Malwarebytes Anti-Ransomware zouden deze rotzooi wel tegen moeten kunnen houden (die van Malwarebytes is nog een beta).

[Kavaa]

FlipFluitketel schreef op donderdag 10 maart 2016 @ 08:35:
Dat helpt misschien tegen locky ja, maar niet tegen CTB-locker aangezien die een willekeurige extensie eraan plakt. Succes met alle willekeurige extensies in je Synology te blokkeren

HitmanPro.Alert en Malwarebytes Anti-Ransomware zouden deze rotzooi wel tegen moeten kunnen houden (die van Malwarebytes is nog een beta).

Klopt, maar iets is beter als niets natuurlijk;)

[Paul]

KipInBraadzak schreef op woensdag 09 maart 2016 @ 21:17:
Zie dat meer als een familienaam. Er komen nog dagelijks nieuwe varianten uit welke niet door antivirussignatures herkend worden.

Op die manier klinkt het een stuk aannemelijker

DJMaze schreef op woensdag 09 maart 2016 @ 22:30:
Maar dat is natuurlijk allemaal veel te moeilijk.

Online backup? Je kunt voor heel veel maanden online backup afnemen voordat je een keer een USB-disk, kluis en NAS hebt betaald

azziplekkus schreef op donderdag 10 maart 2016 @ 00:00:
Maar eens de files geëncrypteerd zijn kan je met een virusscanner niet veel meer uithalen...

...natuurlijk niet, maar zo lees ik de vraag ook niet... Een Virusscanner had het echter mogelijk wel van te voren al kunnen stoppen...

[dukejan]

Wij blokkeren wegens de randsomware op onze fileservers al actief .mp3 en .locky, maar tegen random extensies wordt het wel lastig. Heeft iemand een suggestie hoe ik mijn fileservers hier toch z.g.a.m. tegen kan beschermen?

[Mx. Alba]

Je zou extensies langer dan 4 karakters kunnen blokkeren? Krijg je ook een aantal false positives natuurlijk maar vrijwel alles gebruikt toch extensies van 3 of 4 karakters. Die false positives moet je dan maar voor lief nemen - en wellicht kan je specifieke langere extensies die je wel nodig hebt "whitelisten". /brainstorm

[redfoxert]

https://www.frankysweb.de...-crypto-locker-schuetzen/

Weet niet hoe goed je Duits is maar er zullen vast ook wel engelse guides zijn voor de File Resource Manager van Windows 2012+

[dukejan]

redfoxert schreef op donderdag 10 maart 2016 @ 11:15:
https://www.frankysweb.de...-crypto-locker-schuetzen/

Weet niet hoe goed je Duits is maar er zullen vast ook wel engelse guides zijn voor de File Resource Manager van Windows 2012+

Hier ga ik wel uitkomen. Bedankt voor de tip!. De optie voor het blokkeren van lange extensies kan ik niet vinden in de FRM. Ik ga dit topic zeker in de gaten houden voor meer preventies.

Extra functionaliteiten die wij hebben is de Vorige versie functionaliteit. Zo kunnen wij na besmetting gemakkelijk terug gaan ( is al tweemaal gelukt ).

Helaas kan ik uit ervaring spreken dat het geen fijne bedreiging is.

Vergeet ook niet dat wanneer je getroffen bent als bedrijf, dit mogelijk onder een datalek valt wanneer hier BSN gegevens in staan, en je dit dus dient te melden.

[DJMaze]

FlipFluitketel schreef op donderdag 10 maart 2016 @ 08:35:
Dat helpt misschien tegen locky ja, maar niet tegen CTB-locker aangezien die een willekeurige extensie eraan plakt. Succes met alle willekeurige extensies in je Synology te blokkeren

Je kan in de Synology instellen dat gebruikers wel mogen schrijven maar niet mogen wissen.
Aangezien de extensie wijzigd kan je het zien als een: read -> write -> delete

Iemand zou wel moeten testen of het inderdaad dat is, ipv een rename

[ Voor 4% gewijzigd door DJMaze op 10-03-2016 11:54 ]

[Opifex]

Paul schreef op donderdag 10 maart 2016 @ 10:33:
...natuurlijk niet, maar zo lees ik de vraag ook niet... Een Virusscanner had het echter mogelijk wel van te voren al kunnen stoppen...

Een anti-virus had het van te voren kunnen detecteren. Een virusscanner biedt geen actieve bescherming. Het kijkt alleen of er bedreigingen aanwezig zijn op het systeem.

[Paul]

Virusscanner == Anti-virus == Anti-malware. Welkom in 2016, het is 1995 meer...

[Opifex]

Paul schreef op donderdag 10 maart 2016 @ 20:48:
Virusscanner == Anti-virus == Anti-malware. Welkom in 2016, het is 1995 meer...

Trend Micro Housecall is dus bijvoorbeeld een volledig Anti-Virus pakket volgens jou?

Dat houdt geen steek, dat besef je zelf toch ook?

[Paul]

Nee, maar daar noem je ook wel een buitenbeentje.

Als een klant mij vraagt een virusscanner te installeren en ik installeer er eentje volgens jouw definitie dan snap je toch hopelijk ook wel dat die klant pissig wordt op mij de eerstvolgende keer dat een van zijn medewerkers een malafide attachment opent...

[furian88]

Het vervelende vind ik gewoon dat de ontwikkeling voor virussen en cryptolocker sneller gaat dan de verdediging ertegen.

Ik hoop voor Surfright dat ze snel een abbo aan gaan bieden voor Servers inclusief de clients binnen een bedrijf. (1 die makkelijk uit te breiden is als je bijvoorbeeld meer clients erbij krijgt.)

Hitmanpro.alert van 2 jaar oud blokkeerde .locky gewoon, terwijl de nieuwe symantec cloud hem niet eens gezien heeft.. toen was het uiteraard al te laat.

[AMES]

Crypto bij een klant.

Extensie:.LPVYZSD-Bestand

Bron: no - reply @ kpnmail .nl (Uw factuur Internetdiensten)

Bijlage: Factuur 000002943.zip

20.019 bestanden besmet, onder extensie: LPVYZSD

Parkeer locatie virus:

c:\gebruikers\gebruiker\appdata\local\micorosft\windows\inetcache\contenct.outlook\20WMAIAA\Factuur 000002943

Factuur 000002943.pdf.exe

[ Voor 31% gewijzigd door AMES op 18-03-2016 11:41 ]

[Opifex]

Paul schreef op donderdag 10 maart 2016 @ 22:00:
Nee, maar daar noem je ook wel een buitenbeentje.

Als een klant mij vraagt een virusscanner te installeren en ik installeer er eentje volgens jouw definitie dan snap je toch hopelijk ook wel dat die klant pissig wordt op mij de eerstvolgende keer dat een van zijn medewerkers een malafide attachment opent...

Ken je die cartoon niet van "What the customer wanted" ?

In de IT wereld is er een enorm verschil tussen wat je klant je vraagt, en wat hij effectief bedoelt/nodig heeft. Als hij dus vraagt om een virusscanner, dan bedoeld hij uiteraard een anti-virus pakket, met daarin oa. een virusscanner.

[Paul]

Die ken ik heel goed. Maakt nog steeds van HouseCall een beetje een buitenbeentje

Ja, er zijn programma's die niks anders doen dan kijken of iets een virus is. En ja, als je er op gaat zoeken dan zijn er dat nog best veel (al was het maar omdat er heel veel "Heb ik specifiek virus X?"-tooltjes zijn).

Echter, voor 99% van de bevolking (ja, ook de techies) is een virusscanner en een anti-malwarepakket gewoon equivalent aan elkaar. Dat dit voor jou niet opgaat is op zich niet erg, maar je gaat er wel makkelijk aan voorbij dat dit voor anderen niet zo is