на 6.2 при отключенной постоянной защите
и при отключенном расширенном модуле сканирования в памяти
сработала очистка в оперативной памяти Крякла, т.е. до шифрования файлов не дошло.


а вот VAULT (js) запустился, и благополучно обошел проверку в памяти, и зашифровал документы, за исключением тех папок, которые были защищены правилом в HIPS.
(c:\doc)
(надо проверить еще vault в режиме включения расширенного модуля сканирования памяти -обойдет или нет)


+
включение в HIPS расширенного модуля сканирования памяти не помогло. ВАУЛТ все равно обошел проверку.

по VAULT:
1. блокирование в HIPS записи и удаления pubring.gpg в %TEMP% юзера вырубает процесс шифрования.
2. можно разрешить эти действия для определенных приложений.
3. блокирование записи и удаления для определенной папки (..dir\*.*) защищает все файлы в данной папке от изменения и удаления.
4. ъх, хорошо бы можно было задавать маску для файлов (dir\pub*.*) и относительный путь %TEMP% для файлов, тогда бы не было цены HIPS
поскольку правила без относительных путей %dir% невозможно раскатить на много машин через сервер ERA

но в принципе, это стоит проверить в HIPS: будет работать защита каталога, если указан относительный путь или нет.

Shanty, о какой версии продукта речь? Было дело по пятой корпоратив отписывал в поддержку, а вот шестерку особо не тестил, хотя заметил, что правила изменились.

NickM, речь о шестерке. 6.2.
в предыдущей версии 6.1 была недоработка в редакторе HIPS, когда нельзя было задать в правилах защиту от удаления, и модификации для каталога. Надо было указать имя файла, причем, обязательно существующего файла, через выбор его пути из диалога. (крайне неудобная процедура.)

сейчас можно выбрать имя каталога, и добавить в поле редактирования имя файла.

так же сейчас можно в поле редактирования ввести и полный путь файла, и путь на папку (и тем защитить их в том числе и от шифраторов).

чего не хватает сейчас, так это возможности задать относительный путь %TEMP%, чтобы хипс это понимал. При наличии сотни и более машин в домене, каждому юзеру не пропишешь его учетку, тем более часто бывает, что садится новый человек уже под новой учеткой работает.

а так же не хватает для гибкости правил возможность задавать имя по маске: pub*.* или \*.exe, \*.js
-----------
раз система это понимает (в правилах ограниченного запуска программ можно так прописывать файлы и каталоги), то и антивирус научить этому думаю не сложно.

Все эти шифраторы попадают в систему только посредством эл. почты, то есть, социальной инженерии, когда жертву удаётся убедить, что тут неопасно?

Уже давно читаю здесь, что люди пострадали от этих шифраторов, и тем не менее продолжают открывать письма и запускать приложенные файлы, не будучи уверенными в их происхождении.

Или у этих зловредов есть ещё какой-то путь проникновения?

люди в данном случае разные,
одним достаточно одного раза зашифровать документы, чтобы они перестали открывать в почте все подряд, другим 10 раз надо зашифровать, тогда начнут что-то понимать.
VAULT, Crjakl, CTBlocker  распространяются через вложения исполняемых файлов в архивах, just - через внедреннные объекты в документы (в рассылках почты), xtbl - возможно через браузеры.
почта в данном случае удобна тем, что позволяет гарантированно выполнить целевые рассылки.
а большой объем ежедневной почты например для менеджеров  + грамотно составленный соц_инженерами тест значительно снижает у них барьер осторожности.

странные вещи выяснились сегодня.
на v6 HIPS не блокирует сетевые папки если они указаны в правилах по защите от удаления или модификации файлов таким образом: U:\*.*, N:\*.*
здесь U, N  - это смонтированные как диски сетевые папки.
возможно надо указывать полный сетевой путь на защищаемую папку с документами.
защищены подобными правилами только локальные папки физических дисков.

проверю еще раз завтра, а так же проверю, работают ли эти правила для v 5 Endpoint.
если не работают, то очень плохо, для домашних версий может быть и достаточно защиты локальных папок, а вот для корпоративных версий здесь что-то не так.
можно конечно переложить защиту папок на серверный антивирус, но часто файловые сервера могут быть и не на win платформе.

на пятерке Endpoint правила работают и для сетевых дисков:
20.08.2015 8:29:25 C:\Program Files\Far\Far.exe Получить доступ к файлу \\server\f\users\user\Documents\DATA\MTB.txt определенный доступ заблокирован block access to folder doc Удалить файл
при этот антивир  правильно транслирует букву смонтированного диска в полный сетевой путь (и имя файла)

20.08.2015 8:41:24 C:\Program Files\GNU\GnuPG\gpg.exe Получить доступ к файлу E:\Data\test\август.xlsx.gpg определенный доступ заблокирован block access to folder doc Выполнить запись в файл
и все таки для сетевых дисков видимо правильнее записывать в правило блокирования не имя смонтированного диска, а  полный сетевой путь к документам

шифрованный файл не был создан, и соответственно данное правило не разрешит удаление исходного файла.
------------------------

хм, а вот шестерка Endpoint (6.2) не умеет так работать.
не понимает сетевые пути (и тем более буквы сетевых дисков).
возможно блокировать только локальные папки. И это не есть хорошо. Все таки это корпоративный продукт, а не для домашнего пользования. Должен уметь работать с сетевыми ресурсами.

>>>хм, а вот шестерка Endpoint (6.2) не умеет так работать.
NickM,
здесь по идее не должно быть разницы какой ресурс соответствует сетевому пути: или эта шара или это смонтированный диск.
Если Endpoint 5 умеет определить по букве смонтированного сетевого диска его сетевой путь, то что мешает endpoint 6.2 сделать это.
---------
видео -примеры,записаны в увскамере:
Endpoint 6.2
и
Endpoint 5.0

кстати,  в 6.2 еще и импорт кривой из файлов в блок-листы URL
вместо адреса *янке.рф/*     добавляетcя строка *./*