Ransomware preventie en schade beperken

[maarud]

Er zijn al topics die het hoofdstuk behandelen ná besmetting, maar ik kom niet zo snel een topic tegen voor mensen die nog niet (afkloppen) besmet zijn. Onder het mom van 'de vraag is niet óf, maar wanneer' wilde ik inventariseren welke voorzorgsmaatregelen genomen kunnen worden.

Omdat dat natuurlijk causaal verband houdt met het budget wilde ik me vooral richten op particulieren/zelfstandigen/kleine bedrijven (lees: geen grote netwerkstructuren met AD en/of hardwarematige firewalls e.d.) en het stukje preventie en schade beperken.

Preventie

Een groot deel is te filteren met goede kennis van spam-mailtjes. Het gros filter ik persoonlijk er zo uit, ook onder het mom van 'is het echt, dan bellen ze wel'. Maar zo denkt niet iedereen, en de mailtjes worden steeds beter en het gaat een keer gebeuren dat een klant een schijnbaar legit mailtje van KPN gaat openen en besmet wordt met ransomware.

Tot voor kort had ik niet zo'n hoge pet op van (betaalde) AV, vanwege het feit dat a) elke virusscanner de standaardvirusjes er wel uit filtert en b) de ruigere virussen binnenkomen via spam, malvertising, of exploits waar geen AV tegen bestand is. Sterker nog, als ik een rogue bijlage scan op virustotal, herkent geen enkele AV de ransomware.

Dus van daar dat ik erg sceptisch ben over (betaalde) AV. Maar misschien een beetje té.

Als ik op internet kijk kom ik de volgende tegen die redelijk hoog aangeschreven zijn over ransomwareprotectie:
- HitManPro.Alert
- Tooltje van BitDefender
- ...?

Ik ben erg benieuwd of het de moeite waard is om hierin te investeren.

Schade beperken

En wat als het nu eenmaal zover is? Het toverwoord wat vaak valt, is 'backups', logisch.
'Vroeger' had je wat aan VSS, maar de ransomware van tegenwoordig schijnt ook de schaduwkopieën te verwijderen. Dus een goede offline backup lijkt me wel een vereiste.

Tot nu toe werk ik met harde schijven die 1x per week aangesloten worden, rsyncen, en daarna weer afgekoppeld worden. Dat werkt tot nu toe prima, maar mijn grootste angst is dat de ransomware pas later actief wordt en de backup dus waardeloos is. Ik zit dus te denken aan versiebeheer.

Voor de mensen zonder NAS heb ik nagedacht over cloud-diensten als Dropbox, Google Drive en OneDrive (zit vaak bij O365 waar ik mee werk bij bedrijven). Echter, Google Drive schijnt alleen versies bij te houden van hun eigen documentformaat, OneDrive alleen met office-bestanden. Dropbox werkt wel met versies van alle soorten bestanden. Qua clouddiensten zou Dropbox dan overblijven als backup waar je iets aan hebt.

Laatst kwam ik Crashplan tegen die ook versies bijhoudt, waarbij de gratis versie lokale backups en naar andere PC's toestaat, en de betaalde ook richting de cloud. Dat zou dan maken dat Dropbox en Crashplan samen een goed cloud alternatief zijn voor backup.

Voor de mensen in mijn kring met een NAS zag ik dat er nu voor DSM 6.0 (Synolgoy) Hyper Backup bestaat. Ook dit is versiebeheer dus zou waarschijnlijk voldoen als goede backup. Maar is het veilig? Als er een cryptolocker wordt uitgebracht voor Synology zoals eerder is gebeurd, is de data nog wel safe?

Waarschijnlijk komt het er op neer dat versiebeheer-backup voor de 'dagelijkse' backups is, en dat ik 1x per week/maand een volledige backup moet doen op een schijf in de kast, wil ik redelijk goed safe zijn geloof ik. Afhankelijk van de belangrijkheid van de data natuurlijk.

Ik ben benieuwd naar jullie ideeën en of ik terecht sommige zaken over één kam kan scheren (de clouddiensten waar ik het over had) of dat de één toch daadwerkelijk beter is dan het andere.

[vosss]

Interessant onderwerp. Ik heb veel en veel te veel data om dat om de zoveel tijd offline te backuppen. In de cloud opslaan gaat ook niet werken met zoveel terrabytes denk ik.

Ik vraag me ineens wel af wat zo een ransomware doet; maakt dat alleen je C schijf ontoegankelijk? Of doet het dat met alle schijven in je computer?

Indien alleen de C schijf dan is het zo een ramp nog niet; gewoon een kwestie van even opnieuw installeren. Dat ik dan eventueel wat savegames ofzo kwijt ben boeit me niet zoveel.

Ik zou het een stuk vervelender vinden als al mijn andere schijven ook ontoegankelijk gemaakt worden.

Iemand die daar wat zinnigs over kan zeggen wellicht?

[maarud]

De ransomware van tegenwoordig versleutelt alle bestanden op alle schijven, dus ook netwerkschijven. Overal waar jij (en dus het virus) schrijfrechten toe hebt. Dit duurt vaak ook even dus zodra je het door hebt moet je het proces zien te stoppen. Echte encryptie kost heel veel tijd, dus vaak versleutelen ze alleen het eerste kleine stukje van het bestand, of alleen 'dierbare' bestanden, zoals documenten en foto's e.d., maar hte zal me niets verbazen als er varianten zijn die alles versleutelen.

[ Voor 54% gewijzigd door maarud op 12-04-2016 09:37 ]

[Frogy]

Interessante vraag, zeker gezien er meer mensen thuis ook een nas hebben staan met enkele TB's aan opslag waar je inderdaad niet zomaar even een offline backup van kunt maken. Ik loop een beetje tegen het zelfde probleem. Ben benieuwd naar de reacties.

[MicGlou]

vosss schreef op dinsdag 12 april 2016 @ 09:31:
Interessant onderwerp. Ik heb veel en veel te veel data om dat om de zoveel tijd offline te backuppen. In de cloud opslaan gaat ook niet werken met zoveel terrabytes denk ik.

Dat is natuurlijk 1x veel werk en vervolgens gewoon bijhouden... geen goede backups maken is not done, zelfs als je dan slachtoffer wordt behoor je ook jezelf flink wat te verwijten. Als je een incremental backup methode hanteert hoef je na 1x een volledige backup alleen nog maar de wijzigingen te doen. Ik (en velen met mij) kan niet duidelijk genoeg benadrukken dat je gehele voorraad data staat of valt bij een goed backup beleid... het hoeft niet eens ramsomware te zijn, hardware kan ook zomaar onverwachts de geest geven. En het is helaas zo, als je veel data hebt moet je ook veel investeren om er een backup van te maken,,, dat gaat hand in hand.

Overigens versleutelt ransomware alles waar het bij kan, niet alleen de C: schijf... netwerkschijven, aangesloten usb-opslag etc.

[vosss]

Leuk en aardig allemaal, maar waarom zou ik tig TB's moeten backuppen? Het meeste is muziek, games, films en porno.

Dat is allemaal jammer als ik het kwijt raak, maar niet jammer genoeg om eenzelfde hoeveelheid TB's als in mijn computer zitten er nog eens offline als backup naast te houden.

Dat van die andere schijven wist ik overigens niet, vandaar ook mijn vraag. Dankje

[MicGlou]

vosss schreef op dinsdag 12 april 2016 @ 09:47:
Leuk en aardig allemaal, maar waarom zou ik tig TB's moeten backuppen? Het meeste is muziek, games, films en porno.

Dat is allemaal jammer als ik het kwijt raak, maar niet jammer genoeg om eenzelfde hoeveelheid TB's als in mijn computer zitten er nog eens offline als backup naast te houden.

Dat van die andere schijven wist ik overigens niet, vandaar ook mijn vraag. Dankje

Je zei er in eerste instantie niet bij dat het 'minder' belangrijke data is... zo pak ik het uiteraard ook aan, ik backup mijn documenten+mail, foto's en muziek en de rest is dan ook maar jammer dat het dan eventueel verloren gaat.

[Koetjeboe]

Zakelijke documenten syncen we in ons bedrijf vanaf een lokale NAS naar Amazon S3, waar we hebben ingesteld dat elke update een nieuwe versie is. Maar bijna alle echt belangrijke dingen staan tegenwoordig hiervoor online.

Prive wil ik met name mijn foto's niet kwijt raken. Deze sorteer ik in een boomstructuur met jaar/maand/event in een onedrive map. Periodiek vink ik dan oudere mapjes uit, zodat ze alleen nog maar online staan. Raws gooi ik af en toe op een externe hardeschijf die meestal ergens in een la ligt, maar die vind ik zelf minder belangrijk. Als ik ooit tijd vindt wil ik de foto's nog een keer vanuit onedrive naar S3 syncen, maar daar moet ik nog een goede oplossing voor vinden.

[ Voor 5% gewijzigd door Koetjeboe op 12-04-2016 10:12 ]

[MA®K]

Wat mij vooral verbaasd in een aantal topics/forumposts hier op t.net is dat vrijwel niemand gebruik lijkt te maken van bijv. Applocker. Binnen onze eigen omgeving en die van klanten is dit 1 van de eerste maatregelen geweest om ransomware te voorkomen.

De cryptolockers voeren (vrijwel) allemaal een .exe file uit welke de encryptie uitvoerd, door een Applocker o.i.d. te gebruiken wordt simpel voorkomen dat de encryptie uitgevoerd wordt.

Verkijk ik me er op of zijn er toch nog wel meer mensen die dit soort oplossingen inzetten?

N.B.: uiteraard geldt ook mijn devies: backup backup en nog eens backup to be sure, maar liever voorkomen dan genezen.

[wwwFan]

Probleem met applocker is dat het pas beschikbaar is in de enterpise of ultimate licentie van Windows. Dus voor de meeste thuisgebruikers niet beschikbaar en in bedrijven wordt ook vaak Windows professional gebruikt waarin applocker ook niet beschikbaar is.

[FlipFluitketel]

Nog 2 programma's die ik ken die het zouden moeten tegenhouden:
Malwarebytes Anti-Ransomware, is nog een beta.
CryptoPrevent, gratis (en betaalde versies zijn er ook)

[Trommelrem]

Software restriction policies houdt de meeste cryptolockers tegen. Dat in combinatie met het opvoeden van alle toegangsgerechtigden en goede vssadmins+backups is al heel wat.

Programma's die specifiek cryptolockers tegenhouden hebben namelijk een probleem: De cryptolocker moet eerst onderzocht zijn. Nieuwe crytolockers hebben dus altijd vrij spel. Bij Software restriction policies wordt dat beperkt. Ook het wegnemen van localadminrechten om geen vssadmin-acties mogelijk te maken helpt al heel goed.

[downtime]

MA®K schreef op dinsdag 12 april 2016 @ 16:04:
Wat mij vooral verbaasd in een aantal topics/forumposts hier op t.net is dat vrijwel niemand gebruik lijkt te maken van bijv. Applocker. Binnen onze eigen omgeving en die van klanten is dit 1 van de eerste maatregelen geweest om ransomware te voorkomen.

De cryptolockers voeren (vrijwel) allemaal een .exe file uit welke de encryptie uitvoerd, door een Applocker o.i.d. te gebruiken wordt simpel voorkomen dat de encryptie uitgevoerd wordt.

Verkijk ik me er op of zijn er toch nog wel meer mensen die dit soort oplossingen inzetten?

Ik gebruik privé al sinds de 90er jaren aparte user- en adminaccounts in Windows, aangevuld met een virusscanner, en sinds een paar jaar ook SRP's die alles blokkeren wat niet netjes in Program Files geïnstalleerd is.
Daarnaast ben ik voorzichtig met email-bijlages, gebruik ik een ad-blocker, en let ik op waar ik m'n software vandaan haal (al blijft dat wel de zwakste schakel). Resultaat: Zover mij bekend nog nooit last van malware gehad.

Wat me overigens ergert is dat grote partijen als Google, Apple en zelfs Microsoft het gebruik van SRP's frustreren door steeds meer executables vanuit data folders uit te voeren. De thuisversie van Chrome doet dat, iTunes doet het, en zelfs OneDrive in Windows 10 doet het.

[CyBeR]

vosss schreef op dinsdag 12 april 2016 @ 09:47:
Leuk en aardig allemaal, maar waarom zou ik tig TB's moeten backuppen? Het meeste is muziek, games, films en porno.

Dat is allemaal jammer als ik het kwijt raak, maar niet jammer genoeg om eenzelfde hoeveelheid TB's als in mijn computer zitten er nog eens offline als backup naast te houden.

Dat van die andere schijven wist ik overigens niet, vandaar ook mijn vraag. Dankje

Nouja als die data niet belangrijk is (danwel simpel vervangbaar is) dan hoef je 't niet te backuppen inderdaad. Enige wat je dan kwijt bent als er een cryptolocker langs komt is de tijd die 't je kost om opnieuw te downloaden wat je wilt hebben. M.a.w., dan hoef je je geen zorgen te maken

Maar ik neem aan dat er ook data op staat die wél belangrijk en onvervangbaar is, en de enige manier om zeker te zijn dat die bewaard blijft is een backup op een externe datadrager die niet vanaf je filesystem beschikbaar is. Denk aan zoiets als crashplan of backblaze, of een andere online storage dienst. (Maar níet zoiets als Google Drive wat zichzelf als filesystem beschikbaar maakt.) Zelfs rsync'en van je computer naar je NAS op een plek die niet geshared wordt zou al werken.

Overigens, een goede back-up biedt je zowel de mogelijkheid om alles in één keer terug te zetten bij een catastrofe of terug in de tijd te gaan -- die cryptolockers worden steeds uitgebreider en doen steeds meer om te zorgen dat je die data niet terug kunt krijgen zonder te betalen, zoals ook het vernietigen van back-ups. Liefst wil je dus ook dat back-ups uit het verleden read-only zijn zodat als je een cryptolocker hebt die snapt hoe je backups maakt, dat 'ie die niet ook kan verneuken door ze te overschrijven.

De ultieme preventie is natuurlijk zorgen dat onbekende executables niet kunnen uitvoeren met zulke dingen als AppLocker maar dat is voor een thuissituatie niet echt werkbaar denk ik.

[ Voor 8% gewijzigd door CyBeR op 13-04-2016 02:48 ]

[downtime]

CyBeR schreef op woensdag 13 april 2016 @ 02:46:
De ultieme preventie is natuurlijk zorgen dat onbekende executables niet kunnen uitvoeren met zulke dingen als AppLocker maar dat is voor een thuissituatie niet echt werkbaar denk ik.

Ik vind het eigenlijk prima werkbaar maar je moet er even voor gaan zitten om uit te vogelen hoe het werkt. Het is niet ingewikkeld maar veruit de meeste thuisgebruikers zijn daar te laks voor. Als je voor het installeren van een virusscanner meer moest doen dan next-next-finish zou ook niemand die gebruiken.

Eerlijk gezegd vind ik dat Microsoft meer security features van Windows standaard aan zou moeten zetten, en het aan gebruikers over moet laten om ze weer uit te zetten, zodat laksheid leidt tot een veiliger systeem en niet tot minder veiligheid.

[ Voor 17% gewijzigd door downtime op 13-04-2016 10:58 ]

[phantom09]

Rommel vanuit de browser kan je voorkomen dat deze virtueel te draaien met bijvoorbeeld comodo sandbox. Alles blijft in de sandbox totdat je het afsluit. Zo verklein je al dat je last krijgt van ransomware.

[SadisticPanda]

Ik heb op gehele netwerk alles uitgeschakeld wat met filesharing te maken heeft van windows. Zo vermijd ik toch dat het verder kruipt als 1 pc. 1 pc kapen is pijnlijk. Volledig nas encrypten is verschrikkelijk.

Alle transfers naar de nas gebeuren nu via klassieke ftp
Enigste pc die op de nas kan, via shares, is mijn linux plexserver.

Zo blijft een eventuele infectie toch maar beperkt tot 1 pc.

[itcouldbeanyone]

Puur om dezeredene heb ik in cold storage geinversteerd. Heb nu 3 servers staan. ik koppel ze helemaal los van het netwerk en stroom om zo ook tegen bliksem inslag te beveiligen.
heb een server zelfs op een externe locatie staan, in geval van brand.
ik maak in principe weinig back ups, eens in de kwartaal, afhankelijk hoeveel data er isbijgekomen.
ik heb daarnaast ook raid, tegen een schijfcrash.

heb een keer dat psolitie virus gehad, gelukkig werkte die niet goed onder windows 10. Maar moet er nieg aan denken mijn foto's kwijt te raken

[NVDS]

Je kan wel wat voorzorgsmaatregelen treffen tegen cryptolockers.
https://www.optiv.com/blo...nd-remediation-techniques . Door software restriction policies in te voeren, applocker: https://blog.matrixforce....es-against-business-loss/ Er bestaat ook Cryptoprevent: https://www.foolishit.com/cryptoprevent-malware-prevention/ (automatiseert alle preventie maatregelen)

[ Voor 0% gewijzigd door NVDS op 16-04-2016 12:40 . Reden: 2 broken links gefixt. Thx pacificocean om dit te melden ]

[pacificocean]

NVDS schreef op zaterdag 16 april 2016 @ 12:19:
Je kan wel wat voorzorgsmaatregelen treffen tegen cryptolockers. https://www.optiv.com/blo...and-remediation-technique. Door software restriction policies in te voeren, applocker: https://blog.matrixforce....es-against-business-loss/ Er bestaat ook Cryptoprevent: https://www.foolishit.com...prevention/(automatiseert alle preventie maatregelen)

2 links doen het niet.

[schaduw]

Een tijd geleden heb ik last gehad van ransomware, Coinvault volgens mij. Deze ransomware versleutelde alleen specifieke user-mappen, documents, afbeeldingen, desktop, video's. Gelukkig bleef mijn backup onaangetast en heb ik een groot deel van mijn documenten terug.
Tip 1: Nu sla ik deze documenten dus niet meer in de standaard-windows mappen op. Dat zou in mijn geval geholpen hebben, maar hangt natuurlijk af van de ransomware.
Tip 2: Als je getroffen bent; maak een foto van de betaalcode/sleutelcode die de ransomware toont. Dat heb ik niet gedaan. De makers van de ransomware zijn gepakt en er zijn ontsleutelopties, maar die vereisen de code die ik niet terug kan vinden.

[Baserk]

Zoals al gemeld, cryptoware via de browser is makkelijk tegen te houden met sandboxing.
Met Sandboxie klik loop je, na enige configuratie, vrijwel nul risico.
De meeste cryptoware draait niet eens als in de naam van de sandbox ook 'Sandbox' staat.
Voor thuisgebruikers prima preventieve bescherming.

[EricJH]

Met de sandbox van de gratis Comodo Internet Security heb je een goede bescherming tegen cryptoware. Je moet zelf instellen onder Protected Data Folders welke datamappen je beschermd wilt hebben.

[Verwijderd]

Een getrapt back-up-schema lijkt een goede maatregel. Zorg dat je je data regelmatig back-upt (zeg wekelijks), maar zorg dat je een aanvullende backup hebt met een aanzienlijk trager schema, al dan niet met nog een extra stap er ergens tussenin. Zo maak je de kans de besmetting mee te back-uppen aanzienlijk kleiner en verlies je toch niet enorm veel data als er iets anders aan de hand is.

[maarud]

Als ik het even voorzichtig samenvat dan kom ik op de volgende tips uit:

- AppLocker / SRP (helaas niet voor de ZZP'er / thuisgebruiker met Windows Home-versies))
- Specifieke softwareoplossingen (CryptoPrevent, Malwarebytes)
- Backups met een goed schema
- Useraccounts ipv administrator-accounts.

Die laatste drie kan ik toepassen in de omgevingen waar ik mee werk. Ik zal die software eens uit gaan testen en de accounts aanpassen, dat is het enige wat ik nog niet heb gedaan

[Verwijderd]

Tja ik ga toch weer BitDefender roepen. Al meerdere reports gezien in onze klantomgevingen waarin cryptolockers en degelijken werden tegen gehouden.

[NVDS]

Avecto Defendpoint is ook een echte aanrader in bedrijfsomgevingen. Dit is een combinatie van sandbox,application control,privilege management. Hier wat meer info: https://www.avecto.com/re...eets/defendpoint-brochure (hoofdwebsite: https://www.avecto.com/ )

[EricJH]

Verwijderd schreef op zondag 17 april 2016 @ 17:11:
Tja ik ga toch weer BitDefender roepen. Al meerdere reports gezien in onze klantomgevingen waarin cryptolockers en degelijken werden tegen gehouden.

Werden die door detectie tegengehouden of door een sandbox of HIPS?

[Verwijderd]

EricJH schreef op maandag 18 april 2016 @ 05:06:
[...]
Werden die door detectie tegengehouden of door een sandbox of HIPS?

Detectie.

[Verwijderd]

https://noransom.kaspersky.com/
deze gratis tool kan data decrypten.
October 28 update: ALL Coinvault and Bitcryptor keys (14k+) added to the database
April 29 update: 13 decryption keys added to the database
April 17 update: 711 decryption keys added to the database

[ArcticTiger]

NVDS schreef op zaterdag 16 april 2016 @ 12:19:
Je kan wel wat voorzorgsmaatregelen treffen tegen cryptolockers.
https://www.optiv.com/blo...nd-remediation-techniques . Door software restriction policies in te voeren, applocker: https://blog.matrixforce....es-against-business-loss/ Er bestaat ook Cryptoprevent: https://www.foolishit.com/cryptoprevent-malware-prevention/ (automatiseert alle preventie maatregelen)

Mooi dat ik dit topic ben tegengekomen.
De eerste link is voor mij even zeer nuttig geweest.
Meteen op het zakelijke netwerk maar even de policies toegevoegd die daarin staan.

Deze week thuis ook maar even toepassen
(Toch blij dat ik Windows 10 Pro heb draaien op mijn prive machines )

Wat ik mij ook afvraag.
Hoeveel nut zou het hebben om een cold storage te hebben die alleen lezen is?
En enkel te beschrijven door bijvoorbeeld een backup-service user?

[NVDS]

Op een file share heb je gebruikers sowieso modify rechten nodig. Dus een cryptolocker/ransomware kan nog altijd zijn werk uitvoeren. Zoveel mogelijk de NTFS rechten beperken is inderdaad een hele goede stap.

Veel van de cryptolockers komen binnen als e-mail bijlages. Dus zou je ook moeten investeren in E-mail security oplossingen zoals bijvoorbeeld Fire Eye Email Security: https://www.fireeye.com/p...il-security-products.html Je zou ook File Content Security kunnen implementeren: https://www.fireeye.com/p...t-security-datasheet.html Natuurlijk bestaan er nog andere oplossingen. Zo kan je kans op een cryptolocker verkleinen.

[EricJH]

Email bijlages zijn de laatste tijd vaak Javascript bestanden die in een zip archive zitten. Ik zag een tip om Notepad als standaardapplicatie voor JS bestanden in te stellen. Als gebruikers zo'n JS bestand openen wordt het niet uitgevoerd maar in Notepad geopend.

[Baserk]

Van Excubits uit Bonn, zijn de programma's 'Bouncer' en (nu nog in beta) 'Pumpernickel' de moeite waard om te overwegen in een (gelaagde) anti-ransom/malware preventie setup. Klik.
(zie hun 'Betacamp' voor 'Pumpernickel' en bijv. ook 'MemProtect').

[ Voor 10% gewijzigd door Baserk op 23-04-2016 21:03 ]

[FlipFluitketel]

Mocht het zover zijn gekomen dat er toch een virus de boel versleuteld heeft valt via deze site misschien uit te vinden welke van de tig varianten het is.

This service currently detects 61 different ransomwares. Here is a complete, dynamic list of what is currently detected:
7ev3n, AutoLocky, BitMessage, Booyah, Brazilian Ransomware, BuyUnlockCode, Cerber, CoinVault, Coverton, Crypt0L0cker, CryptoDefense, CryptoFortress, CryptoHasYou, CryptoJoker, CryptoTorLocker, CryptoWall 2.0, CryptoWall 3.0, CryptoWall 4.0, CryptXXX, CrySiS, CTB-Locker, DMA Locker, ECLR Ransomware, EnCiPhErEd, Hi Buddy!, HOW TO DECRYPT FILES, HydraCrypt, Jigsaw, JobCrypter, KeRanger, KimcilWare, KryptoLocker, LeChiffre, Locky, Lortok, Magic, Maktub Locker, MireWare, Mobef, NanoLocker, Nemucod, OMG! Ransomcrypt, PadCrypt, PClock, PowerWare, Radamant, Radamant v2.1, RemindMe, Rokku, Samas, Sanction, Shade, SuperCrypt, Surprise, TeslaCrypt 0.x, TeslaCrypt 2.x, TeslaCrypt 3.0, TeslaCrypt 4.0, UmbreCrypt, VaultCrypt, WonderCrypter

En grote kans dat nog niet eens alle varianten herkend geidentificeerd worden.

Van een aantal heb ik nog nooit gehoord en voor de wat "kleinere" zijn er toch al redelijk wat "decrypters" te vinden.

[Pen en papier]

Baserk schreef op zaterdag 16 april 2016 @ 16:21:
Zoals al gemeld, cryptoware via de browser is makkelijk tegen te houden met sandboxing.
Met Sandboxie klik loop je, na enige configuratie, vrijwel nul risico.
De meeste cryptoware draait niet eens als in de naam van de sandbox ook 'Sandbox' staat.
Voor thuisgebruikers prima preventieve bescherming.

Wat ik mij afvroeg bij een document dat ik gesandboxed gedownload had, was dit.
Ik kon het document namelijk niet op malware scannen zolang het nog in de sandbox zat. Kun je dan het beste het document gesandboxed maar ongescand lezen, of het document uit de sandbox halen (herstellen), dan scannen en dan openen om te lezen?

[Baserk]

Pen en papier schreef op dinsdag 31 januari 2017 @ 21:44:
[...]

Wat ik mij afvroeg bij een document dat ik gesandboxed gedownload had, was dit.
Ik kon het document namelijk niet op malware scannen zolang het nog in de sandbox zat. Kun je dan het beste het document gesandboxed maar ongescand lezen, of het document uit de sandbox halen (herstellen), dan scannen en dan openen om te lezen?

Een AV/AM zou toch geen probleem moeten hebben om een bestand in een Sandboxie downloads map te scannen.
Dan wellicht uploaden naar Virustotal. link
Nb. Het zijn alleen de commandline versies van de AV's, geen volledige.

[Pen en papier]

Via Verkenner en een mappenstructuur uitvouwen kon het weer wel. (Ik heb Bullguard)
Maar misschien dat ik iets niet goed ingesteld had.

[Guabendof]

Bedankt voor de tips. Ik zal vasthouden aan een soortgelijke strategie Ik kan een extra instrument te adviseren voor het decoderen van data

code:

http://myspybot.com/pclock-ransomware/

[ Voor 2% gewijzigd door iisschots op 05-04-2017 17:40 ]

[iisschots]

Sinds deze site niet als de beste bekend staat hem tussen code tags gezet. Wees vrij hem te gebruiken maar wees gewaarschuwd

[Guabendof]

PClock is one of the few present-day ransomware samples whose timeline goes back to early 2015. What is more, its look and feel has hardly changed over time. It is one of the numerous copycats of the ill-famed CryptoLocker strain.

code:

http://myspybot.com/pclock-ransomware/

[ Voor 2% gewijzigd door FlipFluitketel op 21-10-2017 10:31 ]

[Squ1zZy]

Iemand ervaring met Snort?

https://www.snort.org

[_360_]

Ik geloof dat het structureel maken van redundante backups een hoop leed kan voorkomen.

Hiervoor gebruik ik een dedicated Synology NAS met CloudStation.
CloudStation biedt vergelijkbare functionaliteit als dropbox, het ondersteund versionering en werkt realtime.

Ik gebruik bewust geen netwerk shares naar de Synology en gebruik 2FA voor alle accounts, om besmetting van netwerkschijven door ransomware te voorkomen.

De synology wordt vervolgens realtime gebackup naar Crashplan dmv. een headless client.

Op deze manier staat alles wat ik maak en wijzig binnen 1 a 2 minuten op de NAS en off-site encrypted op een Crashplan server.