Ransomware .wallet

[Verwijderd]

Beste,

Op het werk zijn wij helaas de dupe geworden van ransomware, alleen betreft het hier niet de
Wana Decrypt0r 2.0 waar het de laatste dagen over gaat, maar om volgens mij een Dharma / Crysis variant.
bestanden zien er nu zo uit ; IMG_1730.JPG.id-949D9DEC.[[e-mail]].wallet.
Er is 1 executable die steeds probeerd te openen, Skanda42.exe en de taalbalk loopt vol met pop-ups
exact zoals deze; https://www.google.nl/sea...ted&imgrc=_LVx6chGAa9FtM:. Meer info heb ik nu niet, morgen weer een dag.

Nu heb ik alleen 3 vragen.

Is het normaal dat ransomware je virusscanner en malwarescanner volledig verwijderd van het systeem ?
Eset & Malwarebytes
Zijn dit nieuwe varianten die echt alles encrypten dus niet alleen maar documenten. maar ook .exe .dll enz.
Dit is beide bij ons het geval namelijk.
Betreft het hier nu om een oude ransomware varaint of niet ? Zelf denk ik dat we de pech hebben en een oude variant te pakken hebben.

Ik heb tevens nog een mail gestuurd naar [e-mail], dit was het antwoord,

Good day! We have encrypted your computer to indicate on the vulnerabilities and holes in Your system security! Company specializing in the search of exploits (vulnerabilities in a simple way) charge for their services tens of thousands of euros! We , as remuneration, will ask you if you pay 1.5 BTC today, but tomorrow the price will increase up to 3BTC.
As pay, will send you a program that will return everything as it was.
To guarantee I can decrypt two file .send me two file (up to 50MB)

The instructions will receive after payment 1.5 BTC. After payment please Send the decoder, which will return all as was.
https://localbitcoins.com/faq
Read the paragraphs 1.How to buy bitcoins?2.How to send bitcoins and I can pay by bitcoins after their purchase?
Bitcoins buys here https://localbitcoins.com/ our purse 14o68MbhYgurw2HkZxGYz5y6US9tNbX3wC

Uiteraard betalen we niet en zetten we onze back-ups van een paar dagen geleden weer terug.

[Squ1zZy]

Ransomware is software. Die zou na privilege escalation alles kunnen doen wat die wilt. Dus ook de virusscanner verwijderen ja. Of deze variant dat specifiek doet weet ik niet. Ik neem aan een nieuw (of transformed) ransomware? Anders werd het wel geblocked door de AV?

9 van de 10 keer is het inderdaad een backup terug zetten na je hebt uitgezocht waar het vandaan kwam. Anders kan je morgen weer restoren

[ongekend41]

Het kan om een nieuwe variant gaan maar met een beetje geluk heb je hier wat aan. Aangezien je back-ups hebt niet heel relevant voor de restore, maar wel handig voor het identificeren van de malware.

[ Voor 28% gewijzigd door ongekend41 op 15-05-2017 00:43 ]

[EricJH]

Ik wil adviseren naast de AV ook een sandbox of HIPS te draaien om onbekende programma's verstandig te begrenzen.

[Verwijderd]

Echt, de NSA had nooit zulke tools mogen maken / gebruiken / in mogen zetten. Nu dat de source files op straat zijn beland kunnen hier duizenden varianten van gaan komen. Dit kan leiden tot wereldwijde schade, en MS is daar de hoofdoorzaak nummer 1 van voor het openbaren van een ontzettend onveilig OS wat niet eens fatsoenlijk aan het internet kan hangen.

[Verwijderd]

Verwijderd schreef op maandag 15 mei 2017 @ 03:46:
Echt, de NSA had nooit zulke tools mogen maken / gebruiken / in mogen zetten.

Ze hebben letterlijk catalogi vol met soortgelijke software. Na Stuxnet is de geest uit de fles en kan je er de donder op zeggen dat andere landen razendsnel soortgelijke capaciteiten hebben ontwikkeld, voor zover ze die niet al hadden.

Maar goed, was het de NSA niet geweest, dan had iemand anders het vroeg of laat wel gedaan.

MS is daar de hoofdoorzaak nummer 1 van voor het openbaren van een ontzettend onveilig OS wat niet eens fatsoenlijk aan het internet kan hangen.

Hoe is Microsoft hier de schuldige in? De NSA maakt er juist een sport van om voor iedere situatie een oplossing te hebben. Van fysieke laag tot applicatielaag, ze zitten overal aan. Niets is veilig.

Sowieso zou het nogal naïef zijn om te denken dat soortgelijke tools voor andere OS'en niet zouden bestaan. Een OS is een behoorlijk complex stuk software en het is momenteel absoluut onmogelijk om een enigszins modern OS te bouwen dat absoluut, of zelfs maar enigszins, waterdicht is. Dan negeren we nog dat de onkunde van gebruikers voor veel ellende zorgt.

[RGAT]

Verwijderd schreef op maandag 15 mei 2017 @ 03:46:
Echt, de NSA had nooit zulke tools mogen maken / gebruiken / in mogen zetten. Nu dat de source files op straat zijn beland kunnen hier duizenden varianten van gaan komen. Dit kan leiden tot wereldwijde schade, en MS is daar de hoofdoorzaak nummer 1 van voor het openbaren van een ontzettend onveilig OS wat niet eens fatsoenlijk aan het internet kan hangen.

Leg eens uit hoe MS hier een aandeel in heeft?...

[Verwijderd]

SMB Exploit > dit is vermoedelijk de reden waarom wereldwijd zoveel computers zijn geraakt. Heeft weinig meer met user input of phishing te maken gehad. MS moet hun OS eens zorgvuldig nalopen en de focus op een OS leggen dat praktisch en veilig is, zoals Mac of Linux.

Ik vindt het een serieus ernstige zaak. Of het nu aan NSA lag of een andere partij, het kernprobleem is en blijft nog steeds windows dat iedere week wel een nieuwe zero-day exploit inmiddels kent.

Wanneer men gewoon fatsoenlijke code schrijft, geen telemetry bullshit prioriteit geeft of geen browser ingebakken moet hebben in het OS dan valt mischien de kwaadaardigheid van exploits in de toekomst wat mee.

[RGAT]

Verwijderd schreef op maandag 15 mei 2017 @ 04:55:
SMB Exploit > dit is vermoedelijk de reden waarom wereldwijd zoveel computers zijn geraakt. Heeft weinig meer met user input of phishing te maken gehad. MS moet hun OS eens zorgvuldig nalopen en de focus op een OS leggen dat praktisch en veilig is, zoals Mac of Linux.

Goede grap
MS heeft deze backdoors zodat de NSA erin kan, MS = USA, Apple = USA. Apple = backdoors met NSA...
Linux heeft ook meer dan vaak genoeg lekken, ik hoop dat je probeert (slecht) te trollen...

Ik vindt het een serieus ernstige zaak. Of het nu aan NSA lag of een andere partij, het kernprobleem is en blijft nog steeds windows dat iedere week wel een nieuwe zero-day exploit inmiddels kent.

Iets met het meest gebruikte platform zijn enzo... Zo zijn er talloze auto ongelukken maar de vijftienwieler fiets die ik heb bedacht heeft nog nooit een ongeluk gehad, die is dus veiliger volgens jou...

Wanneer men gewoon fatsoenlijke code schrijft, geen telemetry bullshit prioriteit geeft of geen browser ingebakken moet hebben in het OS dan valt mischien de kwaadaardigheid van exploits in de toekomst wat mee.

Dat heeft letterlijk niks hiermee te maken...
Als je dan alleen maar kan bashen, laat dat dan maar voor wat het is, open een virtual machine met Windows erin en probeer het eens een keertje uit ipv alleen maar Mac/Linux te gebruiken...

[Oogje]

Verwijderd schreef op maandag 15 mei 2017 @ 04:55:
SMB Exploit > dit is vermoedelijk de reden waarom wereldwijd zoveel computers zijn geraakt. Heeft weinig meer met user input of phishing te maken gehad.

Als je zonder user input of phishing een smb virus oploopt dan begrijp je het nut van firewalls niet.

[unezra]

Verwijderd schreef op maandag 15 mei 2017 @ 03:46:
Echt, de NSA had nooit zulke tools mogen maken / gebruiken / in mogen zetten. Nu dat de source files op straat zijn beland kunnen hier duizenden varianten van gaan komen. Dit kan leiden tot wereldwijde schade, en MS is daar de hoofdoorzaak nummer 1 van voor het openbaren van een ontzettend onveilig OS wat niet eens fatsoenlijk aan het internet kan hangen.

Sorry Jism, maar Linux en andere operating systems kennen ook hun flaws.
Ooit gehoord van Heartbleed?

Je geeft nu Microsoft de schuld van iets, terwijl juist Microsoft zich ontzettend heeft ontwikkeld en al lang een prima, veilig en stabiel OS levert dat zonder problemen aan het internet gehangen kan worden.

Natuurlijk, met de nodige voorzorgsmaatregelen, maar hang jij een systeem aan internet zonder dingen als fail2ban om ellende te voorkomen?

[beve]

unezra schreef op maandag 15 mei 2017 @ 07:05:
[...]


Sorry Jism, maar Linux en andere operating systems kennen ook hun flaws.
Ooit gehoord van Heartbleed?

Je geeft nu Microsoft de schuld van iets, terwijl juist Microsoft zich ontzettend heeft ontwikkeld en al lang een prima, veilig en stabiel OS levert dat zonder problemen aan het internet gehangen kan worden.

Natuurlijk, met de nodige voorzorgsmaatregelen, maar hang jij een systeem aan internet zonder dingen als fail2ban om ellende te voorkomen?

Bij mijn weten was heartbleed een exploit op Open SSL en buiten dat het ook open source is heeft dit niets met linux of operating systems te maken?

[Louw Post]

Verwijderd schreef op maandag 15 mei 2017 @ 04:55:
SMB Exploit > dit is vermoedelijk de reden waarom wereldwijd zoveel computers zijn geraakt. Heeft weinig meer met user input of phishing te maken gehad. MS moet hun OS eens zorgvuldig nalopen en de focus op een OS leggen dat praktisch en veilig is, zoals Mac of Linux.

Ik vindt het een serieus ernstige zaak. Of het nu aan NSA lag of een andere partij, het kernprobleem is en blijft nog steeds windows dat iedere week wel een nieuwe zero-day exploit inmiddels kent.

Wanneer men gewoon fatsoenlijke code schrijft, geen telemetry bullshit prioriteit geeft of geen browser ingebakken moet hebben in het OS dan valt mischien de kwaadaardigheid van exploits in de toekomst wat mee.

Lekker kort door de bocht, Microsoft had vorige maand al een patch hiervoor vrijgegeven. Dat veel organisaties dan te laks zijn met hun updates (soms vanwege legacy applicaties e.d.) is niet de schuld van Microsoft. Tevens was Windows 10 niet gevoelig voor de zeroday die WannaCry gebruikte.

[unezra]

beve schreef op maandag 15 mei 2017 @ 09:36:
[...]
Bij mijn weten was heartbleed een exploit op Open SSL en buiten dat het ook open source is heeft dit niets met linux of operating systems te maken?

Ja en nee.
OpenSSL is technisch losse software, maar heeft nog altijd een OS nodig om van nut te zijn.

Daarbij is Linux zo'n beetje het meest gebruikte kwetsbare platform dankzij Heartbleed, ook vanwege de nodige apparaten wiens firmware onder water Linux is.

"Linux" is ook een beetje rare term, de puristen vinden Linux alleen de kernel, de rest van de wereld ziet Linux als wat het is, een compleet OS inclusief componenten die technisch niet tot de kernel behoren.

Maar inderdaad, heartbleed was niet Linux specifiek. Alles dat die versie van OpenSSL draaide was kwetsbaar.

[Verwijderd]

unezra schreef op maandag 15 mei 2017 @ 07:05:
[...]


Sorry Jism, maar Linux en andere operating systems kennen ook hun flaws.
Ooit gehoord van Heartbleed?

Je geeft nu Microsoft de schuld van iets, terwijl juist Microsoft zich ontzettend heeft ontwikkeld en al lang een prima, veilig en stabiel OS levert dat zonder problemen aan het internet gehangen kan worden.

Natuurlijk, met de nodige voorzorgsmaatregelen, maar hang jij een systeem aan internet zonder dingen als fail2ban om ellende te voorkomen?

Zie bovenstaande reactie.

Louw Post schreef op maandag 15 mei 2017 @ 09:59:
[...]

Lekker kort door de bocht, Microsoft had vorige maand al een patch hiervoor vrijgegeven. Dat veel organisaties dan te laks zijn met hun updates (soms vanwege legacy applicaties e.d.) is niet de schuld van Microsoft. Tevens was Windows 10 niet gevoelig voor de zeroday die WannaCry gebruikte.

Dat was het wel. Dat staat notabene op de website van MS zelf. Enkele W10 builds zijn kwetsbaar hiervoor! Volgens mij was deze hele bug in 2016 al 'bekend' en pas in maart dit jaar gepatched. Sommige systemen kan je niet updaten want anders stort mogelijk de hele / halve infrastructuur in elkaar. MS moet zorgen dat de meest basis versie van hun OS gewoon veilig out of the box is. Specifieke regels ingevoerd moet krijgen alvorens het uberhaubt iets mag doen op het internet.

[Jester-NL]

Verwijderd schreef op maandag 15 mei 2017 @ 10:58:
Dat was het wel. Dat staat notabene op de website van MS zelf. Enkele W10 builds zijn kwetsbaar hiervoor! Volgens mij was deze hele bug in 2016 al 'bekend' en pas in maart dit jaar gepatched.

Het is dus de schuld van Microsoft dat een patch - die ze geruime tijd VOOR het grootschalig misbruiken van een exploit, en voor alle courante versies - niet door iedereen is geinstalleerd? En vervolgens is het ook Microsoft aan te rekenen dat ze geen patches hebben uitgebracht voor een aantal versies van hun software die ze al geruime tijd niet meer ondersteunen? En vervolgens is het Microsoft ook nog eens aan te rekenen dat ze toch besloten hebben deze patches alsnog uit te rollen.

Sommige systemen kan je niet updaten want anders stort mogelijk de hele / halve infrastructuur in elkaar.

Dat is niet de schuld van de bouwer van het OS, maar ook (en vooral) de verantwoordelijkheid van de eigenaar van de infrastructuur. Het uitfaseren van XP of Server2003 is ruim van te voren aangekondigd...

MS moet zorgen dat de meest basis versie van hun OS gewoon veilig out of the box is.

Met andere woorden... jij verwacht op het moment dat je een oldtimer koopt ook dat deze een moderne rolkooi heeft, driepunts-gordels, een katalysator en een ingebouwde boordcomputer die je verteld over hoeveel kilometer je je olie moet verversen?
Over het algemeen IS de basis-versie van een OS out-of-the-box veilig. In ieder geval op basis van de kennis op het moment dat het spul in die doos werd gestopt. Wat er daarna (op basis van voortschrijdend inzicht) extra nodig is, krijg je... middels patches. OOK bij Linux en Apple. En ook daar zijn versies van die niet meer ondersteund worden.

[robertpNL]

Verwijderd schreef op maandag 15 mei 2017 @ 04:55:
SMB Exploit > dit is vermoedelijk de reden waarom wereldwijd zoveel computers zijn geraakt. Heeft weinig meer met user input of phishing te maken gehad. MS moet hun OS eens zorgvuldig nalopen en de focus op een OS leggen dat praktisch en veilig is, zoals Mac of Linux.

Ik vindt het een serieus ernstige zaak. Of het nu aan NSA lag of een andere partij, het kernprobleem is en blijft nog steeds windows dat iedere week wel een nieuwe zero-day exploit inmiddels kent.

Het gaat niet of "Windows iedere week een zero-day exploit" kent: Windows is populairder.

Want voor jouw beeldvorming over het aantal vulnerabilities per OS, Android, Debian en Ubuntu staan in de top 3 voor wat betreft het aantal gevonden vulnerabilities in 2016 volgens de CVE statistieken. Meer dan Windows. Maar omdat Linux minder populair is dan Windows, ligt de focus bij Windows.

[Verwijderd]

Verwijderd schreef op maandag 15 mei 2017 @ 10:58:
[...]


Zie bovenstaande reactie.


[...]


Dat was het wel. Dat staat notabene op de website van MS zelf. Enkele W10 builds zijn kwetsbaar hiervoor! Volgens mij was deze hele bug in 2016 al 'bekend' en pas in maart dit jaar gepatched. Sommige systemen kan je niet updaten want anders stort mogelijk de hele / halve infrastructuur in elkaar. MS moet zorgen dat de meest basis versie van hun OS gewoon veilig out of the box is. Specifieke regels ingevoerd moet krijgen alvorens het uberhaubt iets mag doen op het internet.

Euhm, er zijn al wekenlang patches van Microsoft in de omloop om betreffende issues op te lossen. Dat mensen hun infra niet op orde hebben ligt natuurlijk niet aan Microsoft.

[Dennism]

Verwijderd schreef op maandag 15 mei 2017 @ 10:58:


Dat was het wel. Dat staat notabene op de website van MS zelf. Enkele W10 builds zijn kwetsbaar hiervoor! Volgens mij was deze hele bug in 2016 al 'bekend' en pas in maart dit jaar gepatched. Sommige systemen kan je niet updaten want anders stort mogelijk de hele / halve infrastructuur in elkaar. MS moet zorgen dat de meest basis versie van hun OS gewoon veilig out of the box is. Specifieke regels ingevoerd moet krijgen alvorens het uberhaubt iets mag doen op het internet.

Not sure if Serious plaatje zou hier goed passen....

(bijna) geen enkel stuk software is 100% veilig, al helemaal niet zoiets complex als een OS, Ieder OS heeft zijn veiligheidslekken, zo ook Windows, maar ook Linux, OSX en noem ze allemaal maar op, en zaken die nu veilig geacht worden kunnen in de toekomst alsnog onveilig zijn. Geen enkel OS is veilig genoeg om zonder omkijken direct aan internet te hangen.

Machines die je niet kan updaten omdat anders je infra in elkaar stort mogen sowieso al niet (direct) met internet verbonden zijn (en zou je eigenlijk helemaal niet moeten willen hebben).

En als je SMB openzet naar internet toe ben je al helemaal een prutser.

Daarnaast komen de meeste infecties met de "worm" van dit weekend niet door machines met SMB direct aan het internet, maar komen deze binnen via phishing / foute links aanklikken, waarna de worm zich intern verspreid via de SMB exploit.

[Verwijderd]

robertpNL schreef op maandag 15 mei 2017 @ 12:14:
[...]


Het gaat niet of "Windows iedere week een zero-day exploit" kent: Windows is populairder.

Want voor jouw beeldvorming over het aantal vulnerabilities per OS, Android, Debian en Ubuntu staan in de top 3 voor wat betreft het aantal gevonden vulnerabilities in 2016 volgens de CVE statistieken. Meer dan Windows. Maar omdat Linux minder populair is dan Windows, ligt de focus bij Windows.

Windows is populairder op de desktop en bij de standaard gebruiker. GNU/Linux varianten worden doorgaans door technisch onderlegde mensen beheerd.

Windows faalt zwaar voor zijn doelgroep. Standaard gebruikers moeten ingewikkelde handelingen doen en 3rd party programmatuur aanschaffen om alles in orde te houden.

Voor de rest is deze discussie een beetje off-topic.

[Jester-NL]

Kul... Een Windows-gebruiker die gewoon automatisch update is over het algemeen behoorlijk veilig.
Nou voorkomt dat in geen geval de 'gevalletjes PEBKAC', maar de meeste gevallen waar 3rd party software en ingewikkelde handelingen noodzakelijk zijn, betreft geen thuisgebruikers. Meestal zijn dat gebruikers in een infrastructuur, waar die handelingen terug (horen te) komen bij... technisch onderlegde mensen.

En in een niet onaanzienlijk deel van de gevallen hebben die (als een gevalletje als dit de kop op steekt) een steekje of wat laten vallen.

[Verwijderd]

Volgens mij overschat je de gemiddelde gebruiker en onderschat je wat die als ingewikkeld ervaart ernstig. Maar neem het niet van mij aan, ik heb op service- en helpdesken gezeten.

[Jester-NL]

Ik heb dezelfde ervaring opgedaan
Desalniettemin is het up-to-date houden van je Windows thuis (en vooral sinds W10) echt geen rocketscience. Het zijn juist Tweakers die een probleem hebben met die updates...
Jij haalt er service- en helpdesken bij, en die doe ik meer en makkelijker verbinden aan een zakelijke omgeving (waar de updates door een systeembeheerder tegengehouden worden, of waar bedrijfskritische software nog steeds op een verouderde omgeving draait) die een probleem hebben. Dat kan en mag je de gebruiker niet aanrekenen. En nee... het feit dat softwarepakket X alleen op XP draait, en nog steeds niet geupgrade is (of kan/mag worden) is ook de gebruiker niet aan te rekenen. En die keuze (want dat is het... een keuze) mag je ook niet gebruiken als stok om MS mee te slaan en te zeggen dat zij zwaar falen.
MS heeft al jaren terug de "Wij zijn MS, wij weten het beter"-instelling vervangen door een instelling waarbij ze naar de klant gingen luisteren. Het rotte is, dat er nog talloze klanten zijn die het vervolgens vertikken om naar de leverancier van hun OS te luisteren.

[FlipFluitketel]

Decrypter voor .wallet-Dharma/Crysis-variant is door Avast uitgebracht, geen idee of ie werkt
https://blog.avast.com/av...ree-ransomware-decryptors

[Verwijderd]

Squ1zZy schreef op zondag 14 mei 2017 @ 22:22:
Ransomware is software. Die zou na privilege escalation alles kunnen doen wat die wilt. Dus ook de virusscanner verwijderen ja. Of deze variant dat specifiek doet weet ik niet. Ik neem aan een nieuw (of transformed) ransomware? Anders werd het wel geblocked door de AV?

9 van de 10 keer is het inderdaad een backup terug zetten na je hebt uitgezocht waar het vandaan kwam. Anders kan je morgen weer restoren

Back-up is inmiddels terug gezet, ( kon niet eerder reageren, zat in het buitenland.) Waar het precies vandaan kwam is niet 100% duidelijk.

[Verwijderd]

FlipFluitketel schreef op donderdag 18 mei 2017 @ 17:34:
Decrypter voor .wallet-Dharma/Crysis-variant is door Avast uitgebracht, geen idee of ie werkt
https://blog.avast.com/av...ree-ransomware-decryptors

Was het eerste wat ik had geprobeerd maar doet er niks mee, geeft alleen maar unknown errors.

[jordeeeh]

Als je ESET hebt zou ik sowieso met hen even contact opnemen, zijn erg behulpzaam in zulke cases.

Misschien dat zij ook nog kunnen achterhalen waar het vandaan is gekomen.
Lijkt me niet erg wenselijk dat er niet bekend is wat het lek is, dan is de kans groot dat je binnenkort weer geïnfecteerd wordt.

[Stoelpoot]

Verwijderd schreef op maandag 15 mei 2017 @ 03:46:
MS is daar de hoofdoorzaak nummer 1 van voor het openbaren van een ontzettend onveilig OS wat niet eens fatsoenlijk aan het internet kan hangen.

Microsoft hoofdschuldige? Waarvoor? Menselijke fouten in een van de grootste softwareproducten ter wereld? Of een goed systeem bouwen waar zo veel klandizie voor is dat organisaties hun tijd toeleggen op het vinden van zo veel mogelijk kwetsbaarheden?

Als Apple nou de grootste OS bouwer was geworden, had de NSA daar net zo hard op ingezet en waren daar ook evenveel bugs voor gevonden, omdat daar namelijk de meest lucratieve data uit was te halen. En was Windows misschien IPV Apple de maker van het veiligere systeem omdat dat minder gebruikt zou worden.