Názory k článku Analýza crypto-ransomware Linux.Encoder.1

Ještě by to chtělo návod jak automaticky spouštět služby pod jinými uživateli než root. Spoustu "návodů" si s tím totiž hlavu neláme.

Se divím, že po nich nešla policie, když vlastně měli k dispozici DNS serveru a účet k platbě.

Bohuzel obe tyto informace jsou dostatecne anonymizovane, URL je ve skutecnosti pouze pristup k "hidden service" v siti TOR pomoci verejne brany "onion.to", neni pomoci ni mozne jednoduse zjistit realne umisteni serveru. Stejne tak bitcoinovy ucet neni mozne jednoduse propojit s konkretni osobou nebo pocitacem.

To už bylo zde: http://www.root.cz/zpravicky/ransomware-linux-encoder-1-sifruje-predvidatelnymi-klici/

Nemám s tím zkušenost tak mě zajímá ochrana.

Co data na jiných partišnách? Ty to zacryptuje taky?
Ten bod 5 "/" .... to znamená že to prochází všechny adresáře?
Způsob šíření : přes webové stránky?
Co třeba truecryptový container s nějakou šílenou koncovkou např. *.fds, je v bezpečí?

Jiné partitions, které nejsou namountované, nenajde a nechá být.

Ano, poté co projde "zajímavější adresáře" se pustí do všech adresářů. Nejspíš jde o pojistku, aby aspoň něco "pro uživatele cenného" bylo zašifrovano dřív než si někdo všimne podivné aktivity a šifrovaní zastaví. Tímto způsobem se pak může dostat i na namountovaná sdílená úložiště apod.

Z nám dostupných dat (dešifrovací balíček) způsob šíření zjistit nejde, podle jiných zdrojů se tento malware šíří zneužitím zranitelnosti CMS Magento.

Analyzovaná verze nechá všechny přípony mimo uvedený seznam být, obecně na to spoléhat nelze.

Tak to jsi mě nepotěšil. Ale v každém případě díky za info.

najistejsou ochranou pred tymito "wannabe" hackermi je pravidelne zalohovanie. moze si potom sifrovat co chce, ked spravim restore zo zalohy.

nebo pravidelný ZFS snapshoty pokud nejste fanouškem DragonFly...

Zda se, ze podpora sifrovani v ramci ext4 muze usnadnit temto podivnym lidem praci.

Tomuhle odpadu jde akorat o rychle vydelany prachy...

A staty chteji smirovat, ne sifrovat cizi dokumenty...

omyl, nejjistější způsob je mít řádného admina a nepoužívat tyhle divné CMS.

1. webserver nikdy nesmí mít přístup jinám než k aplikaci (ani ke svým configům)
2. webserver a ani aplikace sama nesmí mít právo se přepsat (ideálně jí mít mountlou na read-only fs)
3. všechna místa, kam aplikace zapisuje musí být samostatně s řádnými právy (to bohužel je občas s CMS obrovský problém, když mají přepis vlastních souborů jako jednu z funkcí) a ideálně na copy-on-write fs
4. nutností je mít aplikaci a datové složky nad noexec fs
5. appArmor či jiné "chrániče" jsou více než vhodné, můžete s nimi přesně vymezit zdroje a příkazy, které aplikace a webserver může dělat

Správně nastavený server totiž nikdy nedovolí ani samotné aplikaci, aby se samovolně zničila nebo mohla kompromitovat systém. Smutné je, už připravené obrazy s apachem a wordpressem jsou k pláči (zdravím český oblíbený hosting).

Kdyby jen webhostingy...co clovek vidi primo ve firmach, je obcas k placi (a migrace je zdlouhova na dlouhe roky).

Otazak k bodu 1 - je to skutecne nutne? funguje to? (jeste jsem to nezkousel)
Otazka k bodu 4 - je k necemu noexec, kdyz lze spustit soubor pomoci shellu?

Zdravím,
tohle jenom potvrzuje dávno známou věc, že i linux je napadnutelný (stejně jako všechny ostatní systémy).

Pokud je správce blbec, který na bezpečnost kašle nebo bezpečnost "zajistí" instalací linuxu, tak to dopadne přesně tímto způsobem.
Těchto "odborníků" je bohužel více než dost.

Už jsem viděl i případy kdy podobný odborník "zabezpečil" firemní server tím, že ho přeinstalovat na linux. Bohužel v kvalitě odpovídající danému odborníkovi. Firewall připouštějící prakticky vše, primitivní root heslo, open relay mailserver a squid, apache běžící pod rootem a další podobné chuťovky.

P.S.: Dotyčná firma už o linuxu nechce ani slyšet. Nijak se jim nedivím.

Tahle informace mi v článku nějak chybí. Je to součást nějakého balíku nezbytných programů nebo samostatný program, který se dá prostě vymazat?

CMS = Centrální Mozek pro Slimáky?

Jinými slovy, pokud nekonstruuji e-shop na Webu a nemám nainstalovaný příslušný SW, tak bych měl být v bezpečí?

Budete se možná divit, ale tohle chápu. Jde mi jen o to, že se v rámci závislostí balíků nainstaluje kdejaký brak (byť je situace na linuxu nestovnatelně lepší než na Windows), takže by mě zajímalo, nakolik je tento děravý software unikátní (= pokud ho explicitně nenainstaluji, tak ho v počítači nemám), nebo zda může být, přes nějaké knihovny např., vázán i na jiné programy.

Hi, i get a decripter file but not work.
Please help me!

how to decrypt file without a host file using a key.pem?
is possible with openssl? how to? please help me!