19/02/08 15:08:28.91 A8nBlsWp0.net
捜査情報の入ったCD-Rからウイルス感染、福岡県警がイントラを一時停止
URLﾘﾝｸ(tech.nikkeibp.co.jp)
780:名無しさん＠お腹いっぱい。
19/02/09 13:50:31.63 k99BYj5L0.net
>>779
ファイルをコピーした事実が正しいのならその後に.exeを実行しているからだ
コピーなどしていなくてもCD-R内にあった.exeファイルを直接実行しているかも知れない
781:名無しさん＠お腹いっぱい。
19/02/09 15:19:29.65 EGQ0N0PNa.net
>>780
そこまでアホじゃないんじゃないか
俺の妄想では、捜査情報ってのは押収した電子メールで、添付ファイルがWord形式
開いてマクロが実行されてランサムウェアを呼び込んだパターンかな、とか
782:名無しさん＠お腹いっぱい。
19/02/10 05:29:53.53 XueuUh6X0.net
福岡県警に入っているセキュリティソフトはウイルスバスターらしい
URLﾘﾝｸ(twitter.com)
(deleted an unsolicited ad)
783:名無しさん＠お腹いっぱい。
19/02/10 06:10:02.49 3T0ojNil0.net
ウイルスでPCがバスターされちまったな
784:名無しさん＠お腹いっぱい。
19/02/10 06:24:54.51 7U5a5ZDd0.net
やっぱランサム対策にはそれ専用のアンチランサム入れないと
駄目か？
win10の設定が飛んじゃって、面倒臭いからしばらくほっぽって
Linuxを使ってたら、いつの間にかサイバーリーズンのアンチラ
ンサムのサポートも終わってたしなぁ、どうしよう・・・
785:名無しさん＠お腹いっぱい。
19/02/11 17:10:03.93 /QT8wrc/0.net
最終的にはユーザーアカウント制御画面の警告確認画面が表示されているのに
(添付ファイルでも展開後に最終的には実行ファイルに対しては確認画面が表示されます)
どの実行ファイルに対して制御が掛かっているのかも確認しないで使用ユーザーがOKしてしまうんだからムダです
786:名無しさん＠お腹いっぱい。
19/02/11 17:25:19.14 aFJg+uUo0.net
UAC回避のランサムウェアなんて数年前から出回ってるけどな
787:名無しさん＠お腹いっぱい。
19/02/12 00:29:01.32 bNXrcuC50.net
特権昇格の穴と組み合わせているのに引っかかっているんなら
さっさと穴を埋めるの方が先だよな
そんなヤツらは勝手にどんなものにでも引っかかっていて下さい
788:名無しさん＠お腹いっぱい。
19/02/12 00:35:36.82 IeymP5Zz0.net
何言ってんだこいつ
789:名無しさん＠お腹いっぱい。
19/02/12 01:08:18.23 bNXrcuC50.net
意味不明ならもっと知識が必要だな
こんな所でアドバイスなんてしていないでもっと勉強しましょう
790:名無しさん＠お腹いっぱい。
19/02/12 08:17:02.55 962eN6bt0.net
ぼくのかんがえた系の発言は無意味 だからｗ
791:名無しさん＠お腹いっぱい。
19/02/12 19:35:46.68 nsOdCpT7d.net
ユーザーアカウント制御を回避するランサムウェアやマルウェアなんてなんて数年前から出てるのに
URLﾘﾝｸ(www.mbsd.jp)
URLﾘﾝｸ(tech.nikkeibp.co.jp)
＞最終的にはユーザーアカウント制御画面の警告確認画面が表示されているのに
(添付ファイルでも展開後に最終的には実行ファイルに対しては確認画面が表示されます)
＞どの実行ファイルに対して制御が掛かっているのかも確認しないで使用ユーザーがOKしてしまうんだからムダです
とかしたり顔で言う無能
792:名無しさん＠お腹いっぱい。
19/02/12 20:13:10.83 ELTlLJPf0.net
Windowsの仕様ザルすぎて草
793:ID:zb/4U/do0
19/02/13 02:43:29.96 9rYQzuO00.net
>>775
仰る通り。
そもそも >>758 は何故上から目線なのか？非常に不愉快。
794:名無しさん＠お腹いっぱい。
19/02/13 04:13:11.39 HqOOINJT0.net
ユーザーアカウントの制御画面をパスするって事はsysytem権限で実行されるって事だぞ
管理者権限で実行されていたら確認画面は表示されます
その最初の画面でOKしてしまっているから感染しているのですよ
それらのサイトの内容は全く信用なりませんw
795:名無しさん＠お腹いっぱい。
19/02/13 04:25:04.02 HqOOINJT0.net
脆弱性の穴を突いて実行して権限昇格ってのは管理者権限で実行すると
勝手にウィルスなどの実行プログラムがsystem権限に昇格されて実行されちまうって事だぞ
だから、ユーザーアクセス制御画面をスルーする
嘘っぱちな記事なんて信用しているんじゃないよ
まあ、今の所サイト閲覧だけで実行されるようなものはここのところずっと発生していないようだから
問題なさそうだけどoffice製品の穴辺りは放って置くとヤバいかも知れないけどさ・・・
796:名無しさん＠お腹いっぱい。
19/02/13 04:26:12.77 HqOOINJT0.net
>ユーザーアカウントの制御画面をパスするって事はsystem権限で実行されるって事だぞ
797:名無しさん＠お腹いっぱい。
19/02/13 23:26:14.37 t7Hg+FB60.net
>>791
URLﾘﾝｸ(tech.nikkeibp.co.jp)
> 1）Dridexが、アプリケーション互換性データベース（$$$.sdb）、バッチファイル（$$$.bat）、Dridexのコピー（edg3FAC.exe）を作成する。
> 2）アプリケーション互換性データベースのインストール・アンインストール用コマンド「sdbinst」を使用して、$$$.sdbをインストールする。
> 3）iSCSIイニシエータのコマンドラインツール「iscsicli」をDridexが起動。$$$.sdbの設定に従って、iscsicli.exeが$$$.batを管理者権限で実行する。
> 4）$$$.batがedg3FAC.exeを管理者権限で実行する。
>
> 以上が可能になるのは、sdinst.exeやiscsicli.exeのような自動昇格プログラムは、プログラム起動時にUACの警告を表示することなく管理者権限に自動的に昇格するためだという。
>
> JPCERT/CCでは、今回紹介した新手法は従来の手法によりもシンプルなので、今後Windowsの仕様が変更されたとしても、継続して用いられる可能性があるとしている。
> また、Dridexだけでなく、別のウイルスで使われていることも確認しているという。
シンプルに悪質な手口で草生える
ユーザーアカウントの制御画面はいつも使っているアプリケーションでも毎回表示される設定なせいで
そもそも動作が習慣化しやすい人間が毎日継続して使うことを前提にした設計になってないし
いつか自分も被害に遭う可能性を考えると頼りないな
798:名無しさん＠お腹いっぱい。
19/02/16 11:42:55.06 PTwGyVpx0.net
>信頼できる企業・組織にデジタル署名されているプログラムと、
>sysprep.exeのような自動昇格プログラムを組み合わせて、ウイルスを管理者権限で実行させるという。
これは、いつも問題になっているバッファオーバーフローなどの脆弱性を利用しているものと推測される
こいつはいつもsystem権限に特権昇格して実行されてしまうので、決して管理者権限としての実行ではない
管理者権限で実行されたものはUACアカウント制御の画面が必ず表示されます
でも、マイクロソフトのOSなので確実ではない可能性は十分にありますよ
799:名無しさん＠お腹いっぱい。
19/02/17 12:49:56.90 zRjxT2I20.net
GANDCRAB v5.1用の複合ツールはまだか！？
800:名無しさん＠お腹いっぱい。
19/02/18 17:29:05.43 lr59pHYU0.net
UAC回避機能を複数搭載したランサムウェア「HkCrypt」
URLﾘﾝｸ(www.mbsd.jp)
たったのこれだけでUAC回避って・・・
801:名無しさん＠お腹いっぱい。
19/02/18 17:44:54.33 lr59pHYU0.net
まあ、UACなんて80％くらいの人が無効にしてるだろう
802:名無しさん＠お腹いっぱい。
19/02/18 18:13:25.89 QhAjX/dnM.net
検索したんだけど「HkCrypt」の実態がわからん
これは自体は実行ファイルですよね？
普通にクリックしたのでは、最初に一度だけUAC制御画面が表示されると思いますよね
脆弱性を利用して普通の実行ファイル以外のものが走った際に主にやられてしまうものなんでしょうかね？
実行しちまうとUAC制御画面をスルーするだけですか？
この説明を見る限りは各ベンダーがリアルタイムスキャンで対応していて当たり前の挙動だと思いますが
未対応なんですかね？
803:名無しさん＠お腹いっぱい。
19/02/18 20:26:20.96 VpRVR3Ey0.net
『「HkCrypt」が実装していたUACバイパスの手法は、今年になり海外のウイルス対策ソフトウェアベンダーの
セキュリティ情報サイトで言及(※)されたUACバイパスの手法と同一であることが判明しました。』
Fileless UAC Bypass Uses Windows Backup and Restore Utility
URLﾘﾝｸ(threatpost.com)
>>This attack, similar to a UAC bypass using the Event Viewer feature disclosed
>>by Nelson last summer, is fileless
>> “From an attackers perspective, this reduces the risk of their malware/payload getting detected
>>and quarantined by different security products.”
804:名無しさん＠お腹いっぱい。
19/02/18 20:48:10.25 WNZcE86c0.net
読む限りrootにsetuidされたプログラムが走らせるスクリプトのパーミッションが777に設定されてるようなもんだと思うんだけど
修正されずに放置されてんの？
805:名無しさん＠お腹いっぱい。
19/02/18 20:56:31.91 5lDc55r30.net
お前のセキュリティーソフトは新種・亜種すべてに対応してる、完璧なものなのか？
実行ファイル？？？
お笑いものだな
806:名無しさん＠お腹いっぱい。
19/02/18 21:02:18.61 5lDc55r30.net
totalvirusってあるよね
あれのハッカー版があるんだよ
作ったウイルス検知されないか調べるHPがある
807:名無しさん＠お腹いっぱい。
19/02/18 21:14:14.03 5lDc55r30.net
URLﾘﾝｸ(www.mbsd.jp)
ランサムウェア対策の難しさ
ここ読めばいい
808:名無しさん＠お腹いっぱい。
19/02/18 22:30:55.25 axy8JlTo0.net
>>805
>脆弱性を利用して普通の実行ファイル以外のものが走った際に主にやられてしまうものなんでしょうかね？
この言ってる意味がわかるか？
トリガーになる「HkCrypt」になる実体ファイルは実行ファイルなのか？あんたにはわかっているのか？
それならば説明が欲しい
私が >>800 の最初にexplorer.exeの配下で起動されているものを見る限りは
実行ファイルだと思われる
てことは、一般的な感染ルートとして何らかの脆弱性の基でこの実行ファイルが起動されていると考えます
809:名無しさん＠お腹いっぱい。
19/02/24 11:45:54.65 VS23RV160.net
ランサムウェア「GandCrab」の復号ツールが機能強化 - 最新版にも対応
URLﾘﾝｸ(www.security-next.com)
810:名無しさん＠お腹いっぱい。
19/02/24 12:02:23.52 VS23RV160.net
なお、5.1までの復号ツールがリリースされたため、2/19に復号ツールが効かない5.2がリリースされた模様
811:名無しさん＠お腹いっぱい。
19/02/24 14:30:21.49 LhK5+Wn00.net
おー 5.1対応してるみたいだね。
812:名無しさん＠お腹いっぱい。
19/02/24 15:06:15.54 +FPZjn0w0.net
RSA-2048の鍵をどうやって生成するのかよく分からんけど
1ファイルは無料で復号できるってのが穴になってるんだろうか？
813:名無しさん＠お腹いっぱい。
19/02/24 15:29:54.57 sS/Hd8nI0.net
GandCrab 5.1の複合ツールで早速復号させて頂きました。
ありがたやありがたや。
814:名無しさん＠お腹いっぱい。
19/02/24 15:57:03.49 VS23RV160.net
>>812
それは関係ないんじゃないかな
一時猛威をふるったLockyも1ファイル無料で復元サービスあったけど、結局、復号ツール出なかったし
GandCrabも流行ってるけど、復号ツールと新バージョンのいたちごっこになっている
脆弱性が見つかりやすいのかな
815:名無しさん＠お腹いっぱい。
19/02/24 15:58:12.73 VS23RV160.net
>>813
ホントによかった
復号にはそれなりに時間かかるの？
816:名無しさん＠お腹いっぱい。
19/02/24 16:18:10.43 PIClsbWf0.net
>>813
ワロタ
感染する人いるんだな
817:名無しさん＠お腹いっぱい。
19/02/24 17:22:48.96 sS/Hd8nI0.net
>>815
物凄く速かったよ。バックアップ有り（オプション）でも。
ただ、セーフモード（＋ネットワーク）で実行しないと、途中で進まなくなる事があった。
818:名無しさん＠お腹いっぱい。
19/02/24 17:35:24.15 +FPZjn0w0.net
GandCrab 4/5はファイルの先頭1MBしか暗号化しないと書いてあるね
819:名無しさん＠お腹いっぱい。
19/02/24 18:44:10.98 VS23RV160.net
>>817-818
なるほど、そうなのね
ありがと
820:名無しさん＠お腹いっぱい。
19/02/25 13:16:59.22 NL+Zoam70.net
>>813
改善報告有り難い
よければURL載せていただけると助かります
821:名無しさん＠お腹いっぱい。
19/02/25 13:20:46.94 oWwMW3l30.net
本当にこれ国内で相当数の感染あるのかな？
どうもマッチポンプの気がするな
822:名無しさん＠お腹いっぱい。
19/02/25 13:49:36.87 ZUwfGoSXa.net
>>820
君は何を言ってるんだね？
823:名無しさん＠お腹いっぱい。
19/02/25 13:53:06.22 HElD2DMA0.net
The No More Ransom Project
URLﾘﾝｸ(www.nomoreransom.org)
824:名無しさん＠お腹いっぱい。
19/02/25 14:39:18.61 Eqr7vVgj0.net
最近、芸能人の名をカタり、圧縮ファイルを添付した変なメールが
くるもんなぁ。
いつも速攻で削除してるが、先週は「戸田恵梨香」、今朝も「金城武」
からメールが来てたｗ
825:名無しさん＠お腹いっぱい。
19/02/25 17:46:33.58 FvCCaJDb0.net
>>820
>>809の記事にリンクはってあるだろが
826:名無しさん＠お腹いっぱい。
19/02/25 18:00:28.56 FvCCaJDb0.net
>>824
日本語の壁は大きいよね
完璧な日本語で巧みに添付のマクロ入りWord文書を開かせるような文面だったらもっと感染者はもっと増えると思うわ
827:名無しさん＠お腹いっぱい。
19/02/25 19:16:16.01 Qtzczmoi0.net
>>823のサイト右下部にある「GandCrab (V1, V4 and V5 up to V5.1 versions)」で5.1の復号化できた
貴重なエロDVDのデータだから助かったわ
828:名無しさん＠お腹いっぱい。
19/02/25 19:35:08.70 hV+jN02Ud.net
「Takayuki Yamada!」など、日本の芸能人(男女を問わず)の件名の不審メール、午後もバラ撒かれています。
添付されたファイルは、GandCrabランサムウェアに感染させるマルウェア(広義にはウイルス)ですので、絶対に開かないよう、お気を付け下さい。
URLﾘﾝｸ(twitter.com)
これ、GandCrab 5.2を落としてくるマルウェアらしいが、新種（亜種）が出たばかりではセキュリティソフトの定義ファイルではほとんど検知できないな
URLﾘﾝｸ(www.virustotal.com)
ヒューリスティック検知とかで見つけてくれるのかしら
併用可能なランサムウェア専用のセキュリティソフトもいくつかあるけど効果があるのかいまいちよく分からない
(deleted an unsolicited ad)
829:名無しさん＠お腹いっぱい。
19/02/25 20:00:43.14 Eqr7vVgj0.net
さっきチェックしたら、また来てたわ～
今度は、「阿部寛」と「クリスタル・ケイ」ｗ
830:名無しさん＠お腹いっぱい。
19/02/25 21:32:27.87 j7KKRvG6d.net
天然痘のようにいつか根絶する日が来るんだろうか？
831:名無しさん＠お腹いっぱい。
19/02/25 22:08:28.51 Qtzczmoi0.net
挙動自体はファイルの暗号化＆元ファイルの削除一括処理.batだから
OSの機能として暗号化が行われる際はバックアップを取るようにして
削除含めた複数の処理が行われた場合はユーザーに確認を促して続行するか中止して復元するかを選ばせるだけでも止まるんだけどな
832:名無しさん＠お腹いっぱい。
19/02/25 22:15:45.47 4X9uQqPQa.net
ランサムウェアに感染するようなレベルのやつの言うことなんて説得力ゼロだわ
833:名無しさん＠お腹いっぱい。
19/02/25 22:22:34.36 P/orWXdl0.net
元ファイルが生のまま別途保存される暗号化処理って何の意味があるん？
834:名無しさん＠お腹いっぱい。
19/02/25 22:27:56.58 R8bOExJI0.net
暗号化処理するのはランサムウェアの挙動で
その暗号化処理が行われる前にOSがバックアップを作っておくってことじゃね
835:名無しさん＠お腹いっぱい。
19/02/25 22:33:56.00 AwCDXmp80.net
普通に考えて暗号化したブロック毎に逐一元ファイルに上書きだろうに
836:名無しさん＠お腹いっぱい。
19/02/25 22:37:15.95 AwCDXmp80.net
別にOSに暗号化をお願いするわけでもないから
ファイルを読んで読み込んだ内容を何か処理して上書きするってプログラムにしか見えないよ
もちろん誤爆を恐れないならそういう挙動をヒューリスティックに検出するってのはありうるけど
837:名無しさん＠お腹いっぱい。
19/02/25 22:38:57.21 DvT2eTBDa.net
>>834
暗号化処理がランサムウェア由来か判断できないから
OS側で暗号化処理を察知したら毎回元データのバックアップを取るようにしろって話やぞ
838:名無しさん＠お腹いっぱい。
19/02/25 22:45:19.95 hXmPISfA0.net
ファイル上書きの場合はユーザーに確認獲れるまで別途バックアップ領域に一時保管しておくってのは良い線行ってるかもな
OneDrive/GoogleDrive/iCloud普及させたい思惑とも一致するだろうし
839:名無しさん＠お腹いっぱい。
19/02/25 23:07:20.50 XyZt6AIT0.net
そもそもアプリのアップデートでファイル更新される事との違いすらOSにはわからんだろう
一体何Gのバックアップが必要になるんだよと
840:名無しさん＠お腹いっぱい。
19/02/25 23:17:02.47 l7WGQGsR0.net
GB程度で済むなら設定する人多そう
アプリケーションのアップデートの時もどの領域が書き換えられているのか明示されたら
偽のアップデーターとかアドウェア混入の判別も付きやすいだろうし
841:名無しさん＠お腹いっぱい。
19/02/25 23:55:52.01 P/orWXdl0.net
GBオーダーの上書きと削除を毎回ユーザーに続行するか中止するか確認せるのか
842:名無しさん＠お腹いっぱい。
19/02/28 11:18:19.48 NpGefovmM.net
スナップショット系のバックアップで5分ごとにバックアップをとる製品はあるから無謀ではないよね
843:名無しさん＠お腹いっぱい。
19/02/28 14:01:20.98 ejiWxO6M0.net
今朝もいろんなやつからメール来てたな、「中森明菜」や「新垣結衣」
既に故人の「藤圭子」からも来てた (^^;
844:名無しさん＠お腹いっぱい。
19/03/23 23:31:43.07 ALkvn05m0.net
拡張子がqweuirtksdに代わってしまった。それとビットコインで支払えというｔｘｔが貼られている
845:名無しさん＠お腹いっぱい。
19/03/23 23:36:14.47 j7uqtH+u0.net
バックアップから復元して犯人たちをあざ笑ってやればいいだけ
846:名無しさん＠お腹いっぱい。
19/03/24 01:08:14.72 d3UP6WR0a.net
NASでpassなしor簡易なpass?
モスクワの子がまたヒマになったか
847:名無しさん＠お腹いっぱい。
19/03/24 01:34:06.02 ViGkslJN0.net
>>846
はい、これはNASでPASSなしでした。
qweuirtksdはNASを狙ってくるんですか？
848:名無しさん＠お腹いっぱい。
19/03/24 02:44:00.41 d3UP6WR0a.net
yes
URLﾘﾝｸ(www.bleepingcomputer.com)
849:名無しさん＠お腹いっぱい。
19/03/24 11:21:15.91 ViGkslJN0.net
>>848
情報ありがとうございます。
NASの中にできたexeファイルを何回も削除しても生成されちゃって困ってましたが、
PASSを掛けたら 止まりました。
ということは外部からずっと入ってきたんでしょうか。。
とりあえず復元できる情報がなかったので
qweuirtksdの拡張子を消してそのまま使えるか試しました。
結果 mp3ファイルは 出だしの数秒が消えていましたが他は再生できました。
850:名無しさん＠お腹いっぱい。
19/04/09 14:07:32.03 Ievsk4360.net
日本の芸能人の名前を件名にした悪質メールが拡散、ダウンロードされるのはランサムウェア「GandCrab」やスパムボット「Phorpiex」など
URLﾘﾝｸ(internet.watch.impress.co.jp)
851:名無しさん＠お腹いっぱい。
19/04/17 01:49:24.21 mvBOJw9P0.net
cryptotesterがkasumiとかmistyにも対応してくれてたらなぁ