Mijn manier om Ransomware tegen te gaan

[Ben1988]

Beste Tweakers,


Update 8-4-2020
De Software Restriction Policy zoals hier beschreven werkt nog steeds naar behoren.
Als je gebruik maakt van FSlogix dan staat er verder in deze post de juiste paden.

Update 18-7-2019
De Software Restriction Policy zoals hier beschreven werkt nog steeds naar behoren.
Ik heb nu ook simpele GPO settings en tips toegevoegd (Onderaan deze post) die er voor zorgen dat kwaadwillende niet zomaar kunnen sniffen in je netwerk. ( Dit betekend natuurlijk niet dat je dan in eens security audit proof ben)

Update 30-6-2017
Onderstaande lijst van GPO locaties en file extensies zorgen er voor dat de WannaCry niet kan worden uitgevoerd(C:\Windows\mssecsvc.exe en dan dus niet gebruik kan maken van de SMBV1 leak) en de laatste Jaff ( .PDF die een .DOCM open en dan .exe download en uitvoert) die nu ook op duikt ook niet. Ik heb geen wijzigingen hoeven aan te brengen voor Petya aangezien deze ook gebruik maak van de EternalBlue Exploid.
Wikipedia: EternalBlue

Uitleg Petya
https://www.malwaretech.c...e-attack-whats-known.html


Ik wil mijn manier van Ransomware preventie met jullie delen omdat deze manier voor mij goed werkt.
Kleine achtergrond:
Ik ben een systeembeheerder die ook bij andere bedrijven over de vloer komt ( Consultant)

Kennis: Dit is bedoeld voor mede beheerders
Geschatte implementatie duur: 10 ~ 15 min (Alleen de GPO! De duur tot het bij de clients werkt kan wel langer zijn. of je moet gpupdate /force gebruiken)

Wat is mijn manier:

Ik werk graag met GPO en ik maak gebruik van een Software Restriction Policy ( in dit geval Computer Policy)
In de paden hier onder zal je een map zien : Content.Outlook Dit is een map die wordt gebruikt door Outlook om daar temp files neer te zetten(kleine uitleg: https://www.slipstick.com/outlook/securetemp-files-folder/). Dit gebeurt zodra je dubbel klik op een bijlage dit is een geheel random aangemaakte map vandaar de variable \*
Zodra er een .zip wordt geopend en je dubbel klik het bestand wat hier in zit dan komt dit in je "normale temp" te staan %temp% of terwijl: %USERPROFILE%\AppData\Local\Temp
Meestal bevat zo .zip een script extensie zoals .vbs dit script zal van alles gaan uitvoeren en waarschijnlijk downloaden van internet. mijn idee is dus om de scripting files te blocken! (Met succes)

De onderstaande paden zouden misschien aangepast moeten worden aan je eigen omgeving
Denk aan redirected folders ect ect maar over het algemeen ziet het er zo voor mij uit.

Dit is voor mij altijd een combi van Windows met Outlook

- Maak een nieuwe GPO en noem deze "Software Restriction Policy"
- Maak een nieuwe Restriction onder: -Computer Configuration - Windows Settings - Security Settings - Software Restriction Policy
-Ga naar Additional Rules en voeg de volgende paden + extensie toe:
User Temp:
%USERPROFILE%\AppData\Local\Temp\*\*.bat
%USERPROFILE%\AppData\Local\Temp\*\*.dll
%USERPROFILE%\AppData\Local\Temp\*\*.js
%USERPROFILE%\AppData\Local\Temp\*\*.lnk
%USERPROFILE%\AppData\Local\Temp\*\*.ps1
%USERPROFILE%\AppData\Local\Temp\*\*.scr
%USERPROFILE%\AppData\Local\Temp\*\*.svg
%USERPROFILE%\AppData\Local\Temp\*\*.vbs
%USERPROFILE%\AppData\Local\Temp\*\*.wsf
%USERPROFILE%\AppData\Local\Temp\*\*.html
%USERPROFILE%\AppData\Local\Temp\*\*.exe
%USERPROFILE%\AppData\Local\Temp\*\*.hta ( Voor Wannacry en Petya)
%USERPROFILE%\AppData\Local\Temp\*.exe (Voor Jaff)
C:\Windows\mssecsvc.exe ( Voor Wannacry en Petya)
C:\Windows\tasksche.exe ( Voor Wannacry en Petya)
C:\programdata\*\mssecsvc.exe ( Voor Wannacry en Petya)
C:\programdata\*\ tasksche.exe ( Voor Wannacry en Petya])


Windows XP /2003:
C:\Documents and Settings\%username%\Local Settings\Temporary Internet Files\*\*.bat
C:\Documents and Settings\%username%\Local Settings\Temporary Internet Files\*\*.dll
C:\Documents and Settings\%username%\Local Settings\Temporary Internet Files\*\*.lnk
C:\Documents and Settings\%username%\Local Settings\Temporary Internet Files\*\*.ps1
C:\Documents and Settings\%username%\Local Settings\Temporary Internet Files\*\*.scr
C:\Documents and Settings\%username%\Local Settings\Temporary Internet Files\*\*.svg
C:\Documents and Settings\%username%\Local Settings\Temporary Internet Files\*\*.vbs
C:\Documents and Settings\%username%\Local Settings\Temporary Internet Files\*\*.wsf
C:\Documents and Settings\%username%\Local Settings\Temporary Internet Files\*\*.hta ( Voor Wannacry en Petya)
C:\Documents and Settings\%username%\Local Settings\Temporary Internet Files\*\*\*.js
C:\Documents and Settings\%username%\Local Settings\Temporary Internet Files\*\*.js
C:\Documents and Settings\%username%\Local Settings\Temporary Internet Files\*.js

W8/W10/2012/2016:
C:\users\%username%\Appdata\Local\Microsoft\Windows\INetCache\Content.Outlook\*\*.bat
C:\users\%username%\Appdata\Local\Microsoft\Windows\INetCache\Content.Outlook\*\*.dll
C:\users\%username%\Appdata\Local\Microsoft\Windows\INetCache\Content.Outlook\*\*.exe
C:\users\%username%\Appdata\Local\Microsoft\Windows\INetCache\Content.Outlook\*\*.html
C:\users\%username%\Appdata\Local\Microsoft\Windows\INetCache\Content.Outlook\*\*.js
C:\users\%username%\Appdata\Local\Microsoft\Windows\INetCache\Content.Outlook\*\*.lnk
C:\users\%username%\Appdata\Local\Microsoft\Windows\INetCache\Content.Outlook\*\*.ps1
C:\users\%username%\Appdata\Local\Microsoft\Windows\INetCache\Content.Outlook\*\*.scr
C:\users\%username%\Appdata\Local\Microsoft\Windows\INetCache\Content.Outlook\*\*.svg
C:\users\%username%\Appdata\Local\Microsoft\Windows\INetCache\Content.Outlook\*\*.vbs
C:\users\%username%\Appdata\Local\Microsoft\Windows\INetCache\Content.Outlook\*\*.wsf
C:\users\%username%\Appdata\Local\Microsoft\Windows\INetCache\Content.Outlook\*\*.hta ( Voor Wannacry en Petya)
C:\users\%username%\Appdata\Local\Microsoft\Windows\INetCache\*\*\*.js
C:\users\%username%\Appdata\Local\Microsoft\Windows\INetCache\*\*.js
C:\users\%username%\Appdata\Local\Microsoft\Windows\INetCache\*.js


W7/2008:
C:\Users\%username%\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\*\*.bat
C:\Users\%username%\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\*\*.dll
C:\Users\%username%\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\*\*.exe
C:\Users\%username%\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\*\*.html
C:\Users\%username%\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\*\*.js
C:\Users\%username%\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\*\*.lnk
C:\Users\%username%\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\*\*.ps1
C:\Users\%username%\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\*\*.scr
C:\Users\%username%\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\*\*.svg
C:\Users\%username%\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\*\*.vbs
C:\Users\%username%\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\*\*.wsf
C:\Users\%username%\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\*\*.hta ( Voor Wannacry en Petya)
C:\Users\%username%\AppData\Local\Microsoft\Windows\Temporary Internet Files\*\*\*.js
C:\Users\%username%\AppData\Local\Microsoft\Windows\Temporary Internet Files\*\*.js
C:\Users\%username%\AppData\Local\Microsoft\Windows\Temporary Internet Files\*.js


FSlogix (getest met RDS 2016):
User Temp:
C:\Users\local_%username%\Temp\*\*.bat
C:\Users\local_%username%\Temp\*\*.dll
C:\Users\local_%username%\Temp\*\*.exe
C:\Users\local_%username%\Temp\*\*.hta
C:\Users\local_%username%\Temp\*\*.html
C:\Users\local_%username%\Temp\*\*.js
C:\Users\local_%username%\Temp\*\*.lnk
C:\Users\local_%username%\Temp\*\*.msi
C:\Users\local_%username%\Temp\*\*.ps1
C:\Users\local_%username%\Temp\*\*.scr
C:\Users\local_%username%\Temp\*\*.svg
C:\Users\local_%username%\Temp\*\*.vbs
C:\Users\local_%username%\Temp\*\*.wsf
C:\Users\local_%username%\Temp\*\*\*.bat
C:\Users\local_%username%\Temp\*\*\*.dll
C:\Users\local_%username%\Temp\*\*\*.exe
C:\Users\local_%username%\Temp\*\*\*.hta
C:\Users\local_%username%\Temp\*\*\*.html
C:\Users\local_%username%\Temp\*\*\*.js
C:\Users\local_%username%\Temp\*\*\*.lnk
C:\Users\local_%username%\Temp\*\*\*.msi
C:\Users\local_%username%\Temp\*\*\*.ps1
C:\Users\local_%username%\Temp\*\*\*.scr
C:\Users\local_%username%\Temp\*\*\*.svg
C:\Users\local_%username%\Temp\*\*\*.vbs
C:\Users\local_%username%\Temp\*\*\*.wsf
C:\Users\local_%username%\Temp\*\*\*\*.bat
C:\Users\local_%username%\Temp\*\*\*\*.dll
C:\Users\local_%username%\Temp\*\*\*\*.exe
C:\Users\local_%username%\Temp\*\*\*\*.hta
C:\Users\local_%username%\Temp\*\*\*\*.html
C:\Users\local_%username%\Temp\*\*\*\*.js
C:\Users\local_%username%\Temp\*\*\*\*.lnk
C:\Users\local_%username%\Temp\*\*\*\*.msi
C:\Users\local_%username%\Temp\*\*\*\*.ps1
C:\Users\local_%username%\Temp\*\*\*\*.scr
C:\Users\local_%username%\Temp\*\*\*\*.svg
C:\Users\local_%username%\Temp\*\*\*\*.vbs
C:\Users\local_%username%\Temp\*\*\*\*.wsf

Outlook Temp:
C:\Users\local_%username%\INetCache\Content.Outlook\*\*.bat
C:\Users\local_%username%\INetCache\Content.Outlook\*\*.dll
C:\Users\local_%username%\INetCache\Content.Outlook\*\*.exe
C:\Users\local_%username%\INetCache\Content.Outlook\*\*.hta
C:\Users\local_%username%\INetCache\Content.Outlook\*\*.html
C:\Users\local_%username%\INetCache\Content.Outlook\*\*.js
C:\Users\local_%username%\INetCache\Content.Outlook\*\*.lnk
C:\Users\local_%username%\INetCache\Content.Outlook\*\*.msi
C:\Users\local_%username%\INetCache\Content.Outlook\*\*.ps1
C:\Users\local_%username%\INetCache\Content.Outlook\*\*.scr
C:\Users\local_%username%\INetCache\Content.Outlook\*\*.svg
C:\Users\local_%username%\INetCache\Content.Outlook\*\*.vbs
C:\Users\local_%username%\INetCache\Content.Outlook\*\*.wsf


Je zult zien dat er minder snel wat gebeurt als er een Factuur.pdf.zip binnen komt
Als je dan een .vbs wil starten uit zo Factuur.pdf.zip krijg je het volgende te zien:
GPO Block:


Crypto die JS via HTML download:


Overzicht hoe deze GPO er uit ziet in een Combi Domein van OS:



Tevens een mooie blog van een van de andere tweakers die laat zien hoe een Document ( kwaadaardig) met een Macro werkt.
Title TK: A dissection of a malicious Excel macro: obfuscation FTW
Thanks YellowOnline

Update 18-7-2019

De volgende tips en settings bemoeilijken het sniffen in je netwerk

1. Disable LLMNR en Netbios

Netbios
In je DHCP scope is dit simpel te doen namelijk door het volgende:

Disable NetBIOS on the DHCP server

Click Start, point to Programs, point to Administrative Tools, and then click DHCP.
In the navigation pane, expand the server_name, expand Scope, right-click Scope Options, and then click Configure Options.

Note In this step, the server_name placeholder specifies the name of the DHCP server.
Click the Advanced tab, and then click Microsoft Windows 2000 Options in the Vendor class list.
Make sure that Default User Class is selected in the User class list.
Click to select the 001 Microsoft Disable Netbios Option check box, under the Available Options column.
In the Data entry area, type 0x2 in the Long box, and then click OK.



Voor static ip's kan je het ook scripten

# This script will take a list of systems
# and turn off Netbios from all the adapters
#
#
# The list #
$computers = Get-Content -Path C:\temp\servers.txt
#
#
#
# Changing the adapters setting #
$adapters=(gwmi win32_networkadapterconfiguration -cn $computers -EA Silently Continue)
Foreach ($adapter in $adapters){
Write-Host $adapter
$adapter.settcpipnetbios(2)
}

servers.txt staan dan dus je servers in.

LLMNR
Is een GPO setting
Computer Configuration > Administrative Templates > Network > DNS Client & enable 'Turn Off Multicast Name Resolution' by changing its value to 'Enabled'.


Waarom?
Deze protocollen kunnen makkelijk worden gebruikt door kwaadwillende die in je netwerk willen komen en al zitten (WPAD attack)
Lees volgende blog dan wordt het duidelijker.
https://www.notsosecure.c...onder-a-pentesters-guide/

2. Disable SMB1

Let op dit kan impact hebben in je omgeving dus check eerst even of SMB1 nog gebruikt wordt met bijvoorbeeld NMAP
Command is: nmap -p139,445 --script smb-protocols *hier je subnet*

Disablen doe ik via reg keys en niet het verwijderen van Windows Features (Computer Policy)

Key 1
Action Create
PropertiesHive HKEY_LOCAL_MACHINE
Key path SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
Value name SMB1
Value type REG_DWORD
Value data 0x0 (0)



Key 2
Action Update
PropertiesHive HKEY_LOCAL_MACHINE
Key path SYSTEM\CurrentControlSet\services\mrxsmb10
Value name Start
Value type REG_DWORD
Value data 0x4 (4)


Key 3
Action Replace
PropertiesHive HKEY_LOCAL_MACHINE
Key path SYSTEM\CurrentControlSet\Services\LanmanWorkstation
Value name DependOnService
Value type REG_MULTI_SZ
LinesLine Value
1 Bowser
2 MRxSmb20
3 NSI



3. Prevent Mimikatz Attacks

Wat is Mimikatz?
https://www.csoonline.com...ssword-stealing-tool.html

Kort: haalt uit het geheugen van je clients wachtwoorden.

De volgende GPO settings zullen dit tegenhouden

Key
Action Create
PropertiesHive HKEY_LOCAL_MACHINE
Key path SYSTEM\CurrentControlSet\Control\Lsa
Value name RunAsPPL
Value type REG_DWORD
Value data 0x1 (1)

Disable debug
Group Policy Management Editor -> Windows Settings -> Security Settings -> Local Policies -> User Rights Assignment -> Debug programs -> Define these policy settings:




Disable Credential Caching
Computer Configuration -> Windows Settings -> Local Policy -> Security Options -> Interactive Logon: Number of previous logons to cache -> 0



Door bovenstaande settings is/wordt je domain een stuk veiliger.

Groetjes,
Ben

[ Voor 78% gewijzigd door Ben1988 op 08-04-2020 15:55 ]

[marcop82]

Goede omvattende uitleg ! Software Restriction Policy (alles mag, behalve wat je opgeeft) en AppLocker (alles geblokkeerd, behalve wat je opgeeft) krijgen mijn voorkeur voor het aanpakken van Ransomware. Tenzij je kan beletten dat het zelfs niet binnenkomt via mail of web natuurlijk.

[ Voor 16% gewijzigd door marcop82 op 22-02-2017 14:59 ]

[Michidez]

De meeste cryptos die ik heb gezien zijn in Office Macro (docm, xlsm) formaat. Die stop je niet met enkel deze extenties, toch?

[Ben1988]

marcop82 schreef op woensdag 22 februari 2017 @ 14:59:
Goede omvattende uitleg ! Software Restriction Policy (alles mag, behalve wat je opgeeft) en AppLocker (alles geblokkeerd, behalve wat je opgeeft) krijgen mijn voorkeur voor het aanpakken van Ransomware. Tenzij je kan beletten dat het zelfs niet binnenkomt via mail of web natuurlijk.

Klopt helemaal maar in "grote" complexe omgevingen is heeft het wel een aardige impact op je omgeving als je AppLocker gaat gebruiken.

Wel is het ook een zeer goede manier om dit probleem aan te vliegen! thanks btw!

Groetjes,
Ben

[Ben1988]

Michidez schreef op woensdag 22 februari 2017 @ 15:07:
De meeste cryptos die ik heb gezien zijn in Office Macro (docm, xlsm) formaat. Die stop je niet met enkel deze extenties, toch?

Om eerlijk te zijn heb ik nog geen onderzoek gedaan naar de code van zo macro.
Wel weet ik dat inderdaad zulke crypto,s bestaan maar ik weet niet wat zo macro doet.
Misschien wil hij wel een .js downloaden en die wordt geblockt of iets. Maar bedankt voor de tip!
Mocht ik er 1 in mijn handen krijgen dan zal ik dit uitzoeken en waarnodig dit topic aanpassen.

Tevens is mijn ervaring anders namelijk: 9 van de 10x is het een factuur.pdf.zip (invoice of 1124.zip ect ect)

Thanks voor je feedback!

Groetjes,
Ben

[Michidez]

Toen (8 maanden geleden ofzo) waren het emails waarvan de afzender gespoofd was zodat de mail van de persoon zelf kwam. Het bericht was leeg en er was een docm toegevoegd.

Ik heb er toen eens onderzoek heen gedaan en ik meen mij te herinneren dat het PowerShell code was dat men in de macro zelf plaatste.

[marcop82]

Ben1988 schreef op woensdag 22 februari 2017 @ 15:22:
[...]


Klopt helemaal maar in "grote" complexe omgevingen is heeft het wel een aardige impact op je omgeving als je AppLocker gaat gebruiken.

Ransomware heeft ook een aardige impact hoor In onze Remote Desktop omgeving is er weinig dat tegengehouden wordt omdat bijna alle applicaties in Program Files staan. Het houdt ook tegen dat men "ongeoorloofd" gebruik maakt van Spotify, Chrome, Dropbox en andere apps die admin-rechten omzeilen door (zoals Ransomware) zich in de AppData map te nestelen. Dat werkt natuurlijk niet in alle organisaties maar als men er enkel rudimentair tekstverwerking en registratie mee moet doen, is dit heel handig.

[Glashelder]

Wat overigens ook nog wel goed werkt is het uitzetten van het verbergen van bekende bestandsextensies. Dan hebben gebruikers nog kans te zien dat het geen PDF is.

Overigens worden bij ons *.pdf.zip en *doc.zip en dat soort dergelijk vage bestanden ongezien bij /dev/null geparkeerd . Is ook vrij effectief.

Macro's kun je overigens ook gewoon volledig blokkeren. Als je dan enkele mappen als 'trusted' aanmerkt dan zijn ze daar wel toegestaan. Het is dan wel zaak goede afspraken te maken. Anders gaat men bestanden daar in gooien op het moment dat er iets niet werkt..

[marnix1977]

Die applocker is leuk maar die werkt toch alleen op de enterprise versie

[Ben1988]

Beste,

Ik vind dat wel een boel goeie tips in de reacties zitten zoals *pdf.zip tegen te houden.
Alleen wat doe je dan voor dit bestand: 4536.zip ? dan kan het denk ik niet want dan zou je alles met *.zip moeten blocken en dat kunnen we als beheerder weer niet maken
Eigenlijk wat wij doen met dit soort preventie is alleen maar omdat er geen juiste proactieve oplossing is er voor. Ja Applocker en bijvoorbeeld de GPO die hier bovenstaat maar dat zijn dingen die zijn ontstaan door dat je als beheerder 100x een snapshot heb moeten terug zetten omdat gebruikers maar wat klikken..
In Enterprise omgevingen zullen er vast andere maatregelen genomen zijn zoals inderdaad Applocker. Of gewoon een geweldig IT Management (wat overigens zeer zeldzaam is) waar bij de juiste afspraken en eventuele consequenties worden afgesproken door middel van een IT Beleid.
Veder is het helaas gewoon : "dweilen met de kraan open" en moet je maar een beetje creatief zijn om het risico van besmetting zo klein mogelijk te houden.
Daarom stel ik voor dat iedereen die zich geroepen voelt hier in dit topic zijn oplossing zet tegen Ransomware zodat we misschien meerdere wegen naar Rome tegelijk kunnen configureren om onze omgevingen lekker strak en clean te houden.

Dus kom maar op met al de ideeën en oplossingen!

Groetjes,
Ben

[Ben1988]

Glashelder schreef op woensdag 22 februari 2017 @ 15:59:
Wat overigens ook nog wel goed werkt is het uitzetten van het verbergen van bekende bestandsextensies. Dan hebben gebruikers nog kans te zien dat het geen PDF is.

Overigens worden bij ons *.pdf.zip en *doc.zip en dat soort dergelijk vage bestanden ongezien bij /dev/null geparkeerd . Is ook vrij effectief.

Macro's kun je overigens ook gewoon volledig blokkeren. Als je dan enkele mappen als 'trusted' aanmerkt dan zijn ze daar wel toegestaan. Het is dan wel zaak goede afspraken te maken. Anders gaat men bestanden daar in gooien op het moment dat er iets niet werkt..

Goeie tip!!

Thanks!

Groetjes,
Ben

[Ben1988]

marcop82 schreef op woensdag 22 februari 2017 @ 15:48:
[...]

Ransomware heeft ook een aardige impact hoor In onze Remote Desktop omgeving is er weinig dat tegengehouden wordt omdat bijna alle applicaties in Program Files staan. Het houdt ook tegen dat men "ongeoorloofd" gebruik maakt van Spotify, Chrome, Dropbox en andere apps die admin-rechten omzeilen door (zoals Ransomware) zich in de AppData map te nestelen. Dat werkt natuurlijk niet in alle organisaties maar als men er enkel rudimentair tekstverwerking en registratie mee moet doen, is dit heel handig.

Hoi Marco,

Je zegt dat mensen "ongeoorloofd" gebruik maken van Spotify,Chrome,Dropbox en andere apps die in je appdata komen.
Wat je kan doen is *.exe /*.msi blocken in je download map en temp folders zodat deze apps niet geinstalleerd kunnen worden.
Ook moet je UAC aan zetten op een wat hoger niveau zodat users dus een promt krijgen.
En voor Chrome zou ik gewoon de "Enterpise" versie gebruiken want dan kan je Chrome managen met je GPO.
https://www.google.nl/chrome/business/browser/admin/ ( wel voor 32bit kiezen want 64 werkt niet lekker met GPO)
GPO templates:
http://dl.google.com/dl/e...licy/policy_templates.zip

Groetjes,
Ben

[Michidez]

Ben1988 schreef op donderdag 23 februari 2017 @ 08:33:
Beste,

Ik vind dat wel een boel goeie tips in de reacties zitten zoals *pdf.zip tegen te houden.
Alleen wat doe je dan voor dit bestand: 4536.zip ? dan kan het denk ik niet want dan zou je alles met *.zip moeten blocken en dat kunnen we als beheerder weer niet maken

Je blokkeert alles dat eindigt op *.pdf.zip, dus een echte .pdf en een echte .zip werken nog steeds. Alleen een .pdf die zich verhult als een .zip is nu gestopt.

Verder raad in je aan om al je reacties in 1 post te typen, anders gaan de mods aan je oren komen trekken.

[Ben1988]

Michidez schreef op donderdag 23 februari 2017 @ 09:05:
[...]


Je blokkeert alles dat eindigt op *.pdf.zip, dus een echte .pdf en een echte .zip werken nog steeds. Alleen een .pdf die zich verhult als een .zip is nu gestopt.

Verder raad in je aan om al je reacties in 1 post te typen, anders gaan de mods aan je oren komen trekken.

Thanks! zal ik doen

Ja ik begrijp wat *pdf.zip doen natuurlijk alleen er komen ook mails met 4564.zip of in iedergeval een random getal wat dan alleen eindigt op .zip en dat kan je dan dus niet blocken.

Groetjes,
Ben

[S-A-I-N-T]

Goed bezig Bender

Nuttige info

thx

[PromWarMachine]

Bij ons op kantoor hebben ze *.zip geblokkeerd voor inkomende e-mails.
Ze komen dan in quarantine te staan en IT kan de attachment eventueel handmatig doorsturen.

Tot nu toe was het hier altijd ZIP namelijk

[Ben1988]

PromWarMachine schreef op vrijdag 3 maart 2017 @ 11:49:
Bij ons op kantoor hebben ze *.zip geblokkeerd voor inkomende e-mails.
Ze komen dan in quarantine te staan en IT kan de attachment eventueel handmatig doorsturen.

Tot nu toe was het hier altijd ZIP namelijk

Ja dat is natuurlijk wel een optie. Maar als je hosting Exchange heb met 500+ mailboxen wordt je daar niet vrolijk van haha. Dan zullen er veel mensen *.zip files moeten controleren.
Nou kan je volgens mij met de attachment filter die je in transport rules op je Exchange instel ook nog wel andere leuke dingen instellen. Maar volgens mij is dit pas vanaf 2013/2016 wat beter uitgewerkt.
Eigenlijk wat je wil hebben is content filtering op attachment dus dat je Spamfilter en of Firewall kijkt wat er in de .zip staat. En als dat dan een .html is of een andere extensie wat schade kan aanrichten blockt.
Ben ik nog niet tegen gekomen.

Groetjes,
Ben

[Glashelder]

Postfix kan dat gewoon. Exim ook.

Wij hebben meerdere Postfix server voor onze Exchange dozen staan die dat afhandelen

[Qwerty-273]

Voor het blokeren van mail, de gangbare scripting extenties blokkeren we op de mail gateway. Maar we kunnen helaas niet .doc en andere mogelijke attachments blokkeren waar een marco in zou kunnen zitten. Want de business kant wil natuurlijk wel makkelijk documenten uit kunnen wisselen met anderen (leveranciers en klanten).
Maar het uitwisselen van documenten met macro's is natuurlijk niet nodig - en kan door de meeste mail gateways op een of andere manier afgevangen worden. Als je bijvoorbeeld een ESA / IronPort gebruikt: https://supportforums.cis...cuments-containing-macros

De macro's van Locky bijvoorbeeld deden het zelfde als de vbs / ps scripts. Die probeert een bestand van het internet binnen te halen. De macro zelf bevat dus geen "schadelijke" acties, alleen download bestand x en voer het uit.

Alle attachments met een macro er in, worden er uitgefilterd en doorgestuurd naar onze security afdeling. Die vervolgens de bestanden controleerd en al dan niet door zet naar de bedoelde ontvanger.

[Ben1988]

Glashelder schreef op dinsdag 7 maart 2017 @ 11:21:
Postfix kan dat gewoon. Exim ook.

Wij hebben meerdere Postfix server voor onze Exchange dozen staan die dat afhandelen

Ik probeer al een tijdje uit te vinden hoe ik dat kan fixen met Postfix in combi met Amavis. Maar ik heb het nog niet duidelijk gevonden.
Want wij willen niet alle *.html files blocken maar alleen als die in een *.zip staat.
De extensie zelf blocken is geen probleem maar een combi is een uitdaging.
If *.html ( en al de andere extensies) is in *.zip then bounce.

Maar jullie hebben dat op die manier draaien? dat is cool!

Groetjes,
Ben

[Ben1988]

Na wat weken veder kan ik jullie mededelen dat er op het moment van schrijven : 28-3-2017 geen enkele vorm van ransomware bij de klanten zijn uitgebroken sinds de GPO policy. Het werkt dus zeer goed.
Ook de HTML variant ben ik niet meer tegen gekomen.
Het is natuurlijk wachten op een nieuwe manier van ransomware maar tot die tijd use it it works.

Groeten,
Bender

[YellowOnline]

Als aanvulling: mijn blogpost van meer dan een jaar geleden toont goed hoe die macro's hun werk doen: Title TK: A dissection of a malicious Excel macro: obfuscation FTW

[Ben1988]

YellowOnline schreef op dinsdag 28 maart 2017 @ 14:55:
Als aanvulling: mijn blogpost van meer dan een jaar geleden toont goed hoe die macro's hun werk doen: Title TK: A dissection of a malicious Excel macro: obfuscation FTW

Die heb ik inderdaad gelezen was mooie info!.

Maar die macro probeer toch deze te downloaden en te openen? ( die zet die dan in je %temp% neem ik aan):

http://steveyuhas.com/~st...43wedf.exe.old.nietopenen

Ik heb hem in de post er bij gezet! Thanks!


Groetjes,
Bender

[ Voor 6% gewijzigd door Ben1988 op 28-03-2017 16:28 ]

[Ben1988]

Update 15-5-2017:

-Wannacry
-Nieuwe Jaff

[mutsje]

Mag aan mij liggen maar waarom gebruik je niet bij alle paden %localappdata% die verwijst al naar appdata\local en wordt resolved door de restriction policy?

PS wel erg dankbaar voor deze waslijst aan zaken die we kunnen blokkeren

[ Voor 19% gewijzigd door mutsje op 18-05-2017 12:10 ]

[Nakebod]

Het nadeel van deze handmatige acties, die best zullen werken, je loopt altijd achter de feiten aan, en je moet ze goed bijhouden.

In de basis zeg ik een goede virusscanner die cryptolockers stopt voordat ze schade aanrichten.
Sophos Endpoint InterceptX. (InterceptX is onderliggend wat Surfright's HitmanPro is/was voor de overname)

Als je al een cryptolocker binnenkrijgt (Ook nieuwe varianten) ziet CryptoGuard dat, grijpt in en zet automatisch de orginele bestanden terug.
https://news.sophos.com/e...cry-ransomware-in-action/

[joenevd]

Wij hebben voor alle RDS omgevingen van onze klanten Applocker ingesteld.
Dit houdt de boel goed tegen!

Ook zijn we met een klant bezig om Applocker te implementeren op client machines.
Het nadeel voor clients is dat je een enterprise versie van Windows nodig hebt.

Als je Applocker gaat gebruiken, kom je er achter hoeveel 'bagger' applicaties er zijn.
Vaak wordt niet eens publisher informatie aan de bestanden toegevoegd en bij veel waarbij de informatie er wel in zit, is dit niet consequent over de bestanden van dezelfde applicatie.

[powerboat]

Als ik het goed lees gebruik je SRP met blacklisting, in mijn ogen is dat security technisch niet de juiste manier. Je kan beter SRP met whitelisting gebruiken.

https://www.bleepingcompu...telist-policy-in-windows/

[Glashelder]

Whitelisting is beter maar kost echt wel heel veel meer tijd om goed te implementeren dan blacklisting. Voor veel organisaties (waar vaak honderden applicaties in gebruik zijn) is whitelisting veel te arbeidsintensief en daardoor eigenlijk niet echt (goed) bruikbaar.

Blacklisting implementeer je in een paar minuten en blokkeert echt al heel veel. Whitelisting ben je als je pech hebt weken of maanden mee bezig.

[Ben1988]

mutsje schreef op donderdag 18 mei 2017 @ 12:09:
Mag aan mij liggen maar waarom gebruik je niet bij alle paden %localappdata% die verwijst al naar appdata\local en wordt resolved door de restriction policy?

PS wel erg dankbaar voor deze waslijst aan zaken die we kunnen blokkeren

Klopt helemaal er zijn natuurlijk meerdere wegen naar Rome en dat was misschien wat mooier geweest.
Maar ik weet ook dat sommige variabelen niet werkte. ( nou weet ik niet of %localappdata% daar ook onder viel) Maar goed ik weet zeker dat wat ik heb geschreven werkt. Maar laat gerust even weten of het bij jou met de variabelen wel goed werkt.

PS geen punt ben blij dat ik kan helpen.

Groeten,
Bender

[Ben1988]

Update 30-6-2017
Ik heb geen wijzigingen hoeven aan te brengen voor Petya aangezien deze ook gebruik maak van de EternalBlue Exploid.
Wikipedia: EternalBlue


Uitleg Petya
https://www.malwaretech.c...e-attack-whats-known.html

[ Voor 15% gewijzigd door Ben1988 op 30-06-2017 13:22 ]

[Verwijderd]

%USERPROFILE%\AppData\Local\Temp\*\*.bat

Je kunt het wat simpeler maken door de regels in te korten:
%Temp%\*\*.bat

In de Ransomware Prevention Kit staan nog meer locaties om uit te sluiten.

[Ben1988]

Verwijderd schreef op dinsdag 11 juli 2017 @ 10:12:
[...]

Je kunt het wat simpeler maken door de regels in te korten:
%Temp%\*\*.bat

In de Ransomware Prevention Kit staan nog meer locaties om uit te sluiten.

Beste,

Ja alleen ik vraag er geen 25 dollar voor
Maar inderdaad je kan ook andere variables gebruiken.
Lijst:
Wikipedia: Environment variable

Groetjes!
Ben

[Verwijderd]

Ja alleen ik vraag er geen 25 dollar voor

Ik wel. het is een verzameling documenten en wat GPO's. Staan wel wat handige zaken in de documenten, maar is veel open-deur-werk. Met de GPO's worden wat paden afgedekt, waarvan je de meeste al te pakken hebt. Verder een stuk om de 'File Server Resource Manager' te laten controleren / alarmeren op aan ransomware gerelateerde bestanden.

Wat Windows ontbeert is een wildcard voor mappen. Dat zou het uitsluiten van bestanden een stuk makkelijker maken. Met bijvoorbeeld %UserProfile%*.exe zou je het uitvoeren van alle exe bestanden in het gebruikersprofiel uit kunnen schakelen. Maar helaas......

[Ben1988]

Update 18-7-2019
De Software Restriction Policy zoals hier beschreven werkt nog steeds naar behoren.
Ik heb nu ook simpele GPO settings en tips toegevoegd

[Ben1988]

Update 8-4-2020

-FSlogix paden toegevoegd