Ransomware

du skal 'bare' have firewall og viruskontrol kørende. Og så lave en backup /image af HELE disken en gang, og derefter opdatere den løbende - disken må ikke være sat til hele tiden, da den så også bliver ramt - den bruges kun når du opdaterer image.
http://www.macrium.com/reflectfree.aspx
det er gratis - men du skal have en ekstern disk til backup og huske at lave en nødstart cd/usb i reflect, så du kan boote på den og indlæse dit image.
Hvis du så bliver ramt af randsomware, så slukker du ned, sætter ekstern disk til og booter på cd/usb og indlæser dit image - så er du tilbage til før uden snavs.

Tak for dit svar.
Jeg har Avast, den gratis udgave og windows firewall - er det godt nok eller skal jeg købe antivirus?
Hvordan giver jeg dig point?

det er ok med avast og windows firewall. Men du bør også tænke på, hvilke sider du kommer ind på. Hvis man bare søger noget på fx google, så kan nogle sider med populære søgeord være bygget netop for at få dig derind - så se på link inden du klikker videre.

Du kan give point her

Ransoware kan du ikke beskytte dig imod med software.
Ransomware er ændret ofte af udviklerne, så virus scannerne ikke kan følge med og de benytte ikke sikkerhedshuller i dine programmer eller dit styresystem til at komme ind.

Ransomware er simple programmer, der læser en fil, ændrer den og skriver den ændrede fil tilbage igen.
Det samme som Word, Excel og en masse andre programmer og derfor er de næsten umulige at stoppe med en virus scanner.

Måden de kommer ind på er ved såkaldt social engineering, hvilket vil sige at man finder ud af noget om modtageren og så prøver at luske den ind ved at få modtageren selv til at hente filen og kører den.

Lige for tiden er det med falske emails, der ser ud til at komme fra PostNord, Post Danmark (Nogen gange har de oversat det med Dansk Post i stedet for :)), GLS og UPS.
Email forklarer på gebrokkent dansk at man har uafhentede pakker (eller uforløste pakker :)) og man skal hente en adresselapp.
Når man klikke på adresselapp-link, så hentes programmet ned og når man så dobbeltklikker på denne fil, så starter ransomwaren.

Måden man beskytter sig på er ved at være skeptisk og kritisk.

- Forventer du ikke noget med posten, så vær kritisk.

- Er der stavefejl, så vær kritisk.

- Påstår mailen at være fra et firma af og du skal bruge nogle informationer, men de ikke direkte står i mailen, så vær kritisk.

- Står der informationer i mailen, så vær kritisk og åben selv en browser og tast hjemmesiden ind og prøv så at bruge informationerne fra mailen direkte på hjemmesiden.

- Ring evt. til firmaet og forhør dig om de har sendt mailen.

- Et lille ekstra trick er at trykke på besvar knappen og se hvilken mail-adresse der sender tilbage til. Dette kan ikke alene bruges til at sige om en mail ikke er ok, men det kan sige om en mail ikke er ok, f.eks. når der står vlad@russian-brides.ru, som adresse og den påstår at komme fra PostNord. :)

Wally73 - var det ikke det, jeg skrev? alm viruskontrol og firewall er rigeligt - hvis man altså har et image-backup til at redde maskinen, hvis man skulle blive ramt.
Man kan være nok så kritisk - men kommer man til at klikke en gang for meget, så hjælper det ikke - og så tager man fat i backup/image, og ruller det ud. Så er man tilbage til en 100% ren maskine.

Hvad er din løsning, hvis man har klikket...?

#5 Når jeg læste din kommentar, så virkede det som om Antivirus og firewall var en beskyttelse.
Det er de ikke.

Og når man tager backup, så kører man altid med mindst 2 medier, som der skiftes imellem.

Her er 2 muligheder:

Hitmanpro.alert:
http://www.surfright.nl/en/cryptoguard

Heimdal:
https://heimdalsecurity.com/da/

De to muligheder giver kun meget begrænset beskyttelse mod ransomware.
De beskytter nemlig kun mod den type ransomware der forsøger at skjule sig.
Det meste ransomware forsøger idag ikke at skjule sig og det er umuligt at se om det er med bilje eller ej at brugeren kryptere sine filer.

Den forklaring må du gerne uddybe.

Heimdal bruger f.eks. sin egen DNS som blokerer for de sider der spreder ransomware. Og det er som oftest den vej skidtet kommer ind.

Grunden til at det ikke virker er at koden bliver skrevet om med få dages mellemrum, så anti-virus signaturer kan nå at blive opdateret.
På samme måde så er de hjemmesider der linkes til kun online i en uge eller mindre, så på det tidspunkt, hvor virus scanner-udbyderne kan se trenden, da er det allerede ved at være ovre.

DNS hjælper ikke en disse her.

#4 Ransoware kan du ikke beskytte dig imod med software.

HIPS forhindre ransomvare i at lægge sig ned i registringsdatabasen.

Spywarefri.dk
http://kortlink.dk/knkz

Malwarebytes
http://kortlink.dk/knm2

#10 Grunden til at det ikke virker er at koden bliver skrevet om med få dages mellemrum, så anti-virus signaturer kan nå at blive opdateret.

Et antivirus i dag er Signatur baseret og Heuristisk. Det ikke altid nødvendigt at blive opdateret for at stoppe ransomware.

Cert.dk
http://kortlink.dk/knm5
"Heldigvis har alle antivirusproducenter indført alternative metoder som supplement til signaturerne.

Heuristisk genkendelse virker på trusler, man ikke har set før, fordi den ser på typiske karakteristika ved malware."

Jeg forsøgte selv at få ransomware - det blev stoppet af mit Internet Security med HIPS. HIPS findes ikke i et gratis antivirus. Det har dog Heuristisk scanner.

Malwarebytes har lavet en pakke løsning imod ransomware.
http://kortlink.dk/knm6

MBARW
http://kortlink.dk/knma

MBAE
http://kortlink.dk/knmb

MBAM
http://kortlink.dk/facs

#10 DNS hjælper ikke en disse her

Det er et ekstra lag af sikkerhed.

#11

Ransomware lægger sig slet ikke i registreringsdatabasen.
Den køres som et bruger-program uden admin-rettigheder og uden nogen form for installation.

Anti-virus er heuristic, men kigger på handlinger, der adskiller sig fra standard brugerprogrammer.
Ransomware opfører sig som et hvert andet brugerprogram.

Hvis du har et program, der kan stoppe ransomware, så må du meget gerne fortælle hvad det er for et.
På mit job har vi haft fat i alle de store og de har intet forsvar mod moderne ransomware.

Jeg læste dine malwarebytes link igennem og de skyder desværre helt ved siden af.
Moderne ransomware er zero-day kode med zero-day command&control-server og leveret via email, der får brugeren til at downloade og køre et program.
Der er altså ingen installation eller exploits at genkende koden på.
Der er altså ingen mulighed for at kende og blokere koden.
Der er ingen mulighed for at kende og blokere command&control-serverne.
Jeg kan se en lille mulighed for at blokere ud fra opførsel, men og dette er et meget stort men. Det kræver at ransomwaren bliver nødt til at køre et stykke tid for at vise sin opførsel og dermed kryptere filer og så er skaden allerede sket.

#13 Jeg tror alt disksution med dig er meningsløs.

Jeg læste dine malwarebytes link igennem og de skyder desværre helt ved siden af.

Okay så du mener at dem der står bag Malwarebytes slet ikke forstår noget som helst.

Jeg mener at de links refererer til den gammeldags form for ransomware.
Den bølge af ransomware, som er skyllet ind over Danmark de sidste par dage i form af PostNord, Dansk Post, GLS og hvad de ellers bruger som indgangsbillet alle går direkte igennem deres filtre.
Vi har reinstalleret ca. 2400 maskiner de sidste 4-5 uger pga. disse inficeringer og vi har virkeligt haft fat i alle de store virus scanner firmaer for at høre hvad de kan tilbyde og de kan ikke rigtigt gøre noget, da disse ransomware kun eksisterer i få dage og kun bruger social engineering.

Hvis du læser denne tråd, så kan du se at kun 2 ud 54 virus scannere fandt den ransomware.
http://www.computerworld.dk/art/236382/posten-udnyttes-groft-i-spamb-lger-derfor-er-det-s-sv-rt-at-f-styr-p-problemerne

Vi er blevet ramt af mindst 4 forskellige af dem og hvis vi var heldige, så fangede en eller to af dem ransomwaren efter nogle dage, men aldrig de samme, og vores test kunne nok ikke helt bruges, da vi ret hurtigt fandt ransomwaren, da den jo som sådan ikke er specielt skjult og indsendte dem til de forskellige sikkerhedsfirmaer.

Klikker man på en mail der indeholder malware, svare det til at man lukker den Trojansk hest ind selv. Et antivirus program kan beskytte imod meget, men ikke folks højre hånd.
https://da.wikipedia.org/wiki/Trojansk_hest

Hvor mange ved om deres antivirus mail scanner er rigtig indtillet. Tre kommuner plus TDC viste det ikke. http://kortlink.dk/kqcb

Hvis man fra CSIS side mener, at 52 antivirus programmer mail scanner ikke stopper exekverbar filer forklædt som ZIP filer, kan det havde noget med indstillinger at gøre.

Fra Computerworld
"Og du kan ikke forvente, at dit antivirusprogram fanger problemerne.
I dette eksempel var det to ud af 54 testede antivirusprogrammer, der slog alarm"

Hvad har man testet
Hvor gode deres mail filter er til at opdage spammails, eller hvor gode de er til at fange ransomware. Det fremgår ikke at udtalelsen.

#15 Hvis du læser denne tråd, så kan du se at kun 2 ud 54 virus scannere fandt den ransomware.

Står der det.

Den moderne ransomware bruger ikke spam-teknikker.
Den er sendt som en fuldt ud legitim email med mailserver og mailadresse, der kan afprøves med SPF-record og DKIM-opsætning på server.
Trykker man på Svar på mailen, så vil man også få den rigtige mailadresse op, så det er ikke sådan at mailen udgiver sig for at være fra en mailadresse fra f.eks. PostNord.
Det der er gjort er at afsenderen navn er sat til at være PostNord og mange email-programmer viser i dag kun afsenderens navn, når dette er tilgængeligt, så kildens mailadresse er skjult for modtageren.
Mailfiltrene fanger altså ikke mailen med ransomware, medmindre der specifikt er sat regler op for dette og det kan kun gøre når ransomwaren allerede er modtaget.

Selve mailen indeholder ikke en zipfil, men et link til en hjemmeside, hvor den hentes ned under påskud af at være f.eks. en ny adresselabel til en pakke man har sendt eller skal modtage fra PostNord.
Den hentes ned som exe-fil og køres når brugeren dobbeltklikker på den.
Den skal ikke bruge administratorrettigheder eller andet og behøves ikke installeres eller lave trick for at snyde operativsystemet.
Den skal sådan set bare kryptere en vigtig fil på systemet, så er dens mission lykkedes, alle ekstra filer, der krypteres derefter er bare bonus.

Ang. artiklen fra ComputerWorld, så har jeg igen og igen sagt at disse sites kun bruges aktivt i nogle få dage før de udskiftes.
Det vil sige den tid der går fra trenden opdages til artiklen skrives og testes betyder at disse forhold allerede er ændret.
Dvs. på det tidspunkt, hvor artiklen skrives, der har mange af de professionelle, der er blevet ramt, allerede sendt deres filer
ind til sikkerhedsfirmaerne for undersøgelse og sikkerhedsfirmaerne har fået den inkluderet i deres programmer.
Sikkerhedsfirmaerne er på bagkanten på denne type trussel.
Når de hører om den, så er det allerede for sent og det samme er sådan set oftest tilfældet med journalisterne.

Hvorfor så linke til artiklen, hvis indholdet er for gammelt.

Alle andres meninger og kommentar er åbenbart forkerte. Nu er dine egne meninger og kommentar åbenbart også forkerte.Jævnfør #15.

Jeg tror ikke du ved noget som helst om dette emne. Det virker som om du copy and paster en hel del fra internettet.

Jeg afmelder overvåg af tråden.

Indholdet er ikke gammelt, men testen er sandsynligvis.

Den test svarer lidt til en journalist, der hører om et ophørsudsalg, hvor alt skal væk i løbet af en dag.
Det er startet kl 8 om morgenen, men han hører først om det kl. 10 og ankommer først kl. 12.
Den anmeldelse af ophørsudsalget vil være påvirket af at de gode tilbud sandsynligvis allerede er røget tidligere på dagen.

Samme her.
Ransomwaren har kørt i et stykke tid og filer er blevet sendt ind til sikkerhedsfirmaerne, hvor nogle har nået at opdatere.

Og jo, jeg kender desværre til ransomware.
Jeg har indtil videre sendt 8 infektioner med moderne ransonware og heraf var 5 af dem med forskellige parameter, så anti-virus ikke kunne fange dem, selvom, der var op til 3 uger i mellem den første og den seneste.

Tak for jeres hjælp.
Jeg er ny her, hvordan fungerer det med at give points?

Jeg er ikke interesseret i point.
Jeg ved ikke med de andre, men point tildelingen foregår ved at en lægger et svar i stedet for en kommentar og så acceptere du et eller flere af de svar, der er lagt.
Kommer der ikke nogen svar i den nærmeste fremtid, så læg selv et svar og accepter det.
Du kan altid lav et nyt indlæg og bede en bestemt person om at svare med et svar-indlæg og så tildele pointene, hvis der pludselig skulle være en der bare må have pointene. :)

Hej Wally73.

Tak for svaret. :-)