Роман (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

Шифровирусы шумной толпою

Сообщений: 31

Баллов: 15

Регистрация: 31.03.2015

Размещено 28.01.2016 09:07:57

[I]Здравствуйте. [/I]
[I]Нас очень интересует, проверили ли вы информацию о вашем рабочем (нам необходима справка о несудимости следующего формата:[/I]
[I]образец (тут ссылка)[/I]
[I]Ваше начальство уже было уведомлено по этому поводу, я не понимаю почему вы оттягиваете со сроками. [/I]
[I] Надеюсь в ближ. время получим ответ ваш (сверьтесь обязательно с образцом и заполните все как на скриншоте, иначе справка не будет принята)[/I]

приходило с разных адресов (spf не всегда нарушен), внутри письма ссылка на сайт grandstroy-n.ru, скачивается *.scr файл, детектируется как Filecoder.DI

Перейти

Шифровирусы шумной толпою

Сообщений: 31

Баллов: 15

Регистрация: 31.03.2015

Размещено 25.12.2015 14:15:10

Добавлю к тому, что 5ка EEA не детектила зловреда. На след день на этом же файле проверил и антивир справился. Наверно дело все же в базах.
Дело кстати было так. Отловил через мониторинг почты, что юзеру пришло плохое письмо. Позвонил и предупредил не трогать, а юзер ответил что уже пытался запустить и ничего не открылось. Тут же лезу удаленно, а он опять жмакает во вложение. Испугался, достал винт, оказался вроде банковский троян. После вручил здешнюю инструкцию лично в руки пользователю. И для себя некоторые выводы сделал.

Перейти

Шифровирусы шумной толпою

Сообщений: 31

Баллов: 15

Регистрация: 31.03.2015

Размещено 23.12.2015 11:31:53

Некоторые письма режем по SPF и DNSBL. Но бывает проскакивают, как одно сегодня утром, с домена @kmtn.ru, видимо взломали.
И странно то, что антивирус 6 удалил вложение (вирус Suspicious Object), а 5й не сработал.

Перейти

Шифровирусы шумной толпою

Сообщений: 31

Баллов: 15

Регистрация: 31.03.2015

Размещено 18.12.2015 09:31:49

вот такой текст совсем недавно был:

[I]Доброе утро, ОЛЬГА ИВАНОВНА[/I]
[I]У вас сменился тел.? Тел 79048607530 занят.[/I]
[I]Как и планировали, предоплата состоится 17 декабря, исходя из этого просьба подписать договора во вложении, до 18.12.[/I]

во вложении rar, а в нем scr

Изменено: Роман - 18.12.2015 09:32:22

Перейти

новый вариант VAULT от 2ноября 2015г., Filecoder.FH

Сообщений: 31

Баллов: 15

Регистрация: 31.03.2015

Размещено 13.11.2015 10:29:05

[QUOTE]mike 1 написал:
[QUOTE] Алексей филиппов написал:
А специалисты не могут связаться с коллегами из Док.веба и спросить у них как решить эту задачу?[/QUOTE]
Как Вы себе это представляете? Такими вещами обычно не делятся. Конкуренция все таки.[/QUOTE]
По поводу того, что не детектирует и нет 100% гарантии. А как же ответственность компании? Так можно всё упрощать и это не порядок.
По поводу дележа. А как на счет солидарности и общих усилий в борьбе со зловредами?
Вопросы конечно риторические, пардон за офтоп.

Перейти

[ Закрыто] VAULT. что делать?, bat encoder / CryptVault

Сообщений: 31

Баллов: 15

Регистрация: 31.03.2015

Размещено 12.11.2015 09:50:41

[QUOTE]santy написал:
3. Пробуйте с помощью HIPS запретить запись в файл %TEMP%\pubring.gpg.
[/QUOTE]
Запрещать на каждой машине по отдельности? через системные переменные вроде не работают правила.

Перейти

Тестируем HIPS

Сообщений: 31

Баллов: 15

Регистрация: 31.03.2015

Размещено 10.11.2015 09:44:29

вопрос по HIPS. Endpoint Antivirus 6.
если задать блокировку на все операции с файлами с маской *.* то срабатывает.
если например частный случай *.docx то не срабатывает.
и почему-то не срабатывает конструкция вида %TEMP%\bat\*.*
что делаю не так?

Перейти

новый вариант VAULT от 2ноября 2015г., Filecoder.FH

Сообщений: 31

Баллов: 15

Регистрация: 31.03.2015

Размещено 03.11.2015 08:50:44

[QUOTE]Юрий Поплаухин написал:
Приветствую всех..
Мдя.,.. вижу проблема ,.. вчера то же притащили два компа с такой заразой.. решения походу нет.. Видимо NOD вчера еще не был заряжен.., так как сегодня он эту заразу уже отлавливает. Но вот как расшифровать данные..[/QUOTE]
Вчера похоже была массированная атака. И в нашем случае (весной) нод очухался лишь на следующий день.

Перейти

Восстанавливаем файлы, удаленные после шифратора

Сообщений: 31

Баллов: 15

Регистрация: 31.03.2015

Размещено 13.07.2015 10:24:05

Alexandr Irtishev, у меня не получилось никак, основные методы в теме отписаны.

Перейти

Шифровирусы шумной толпою

Сообщений: 31

Баллов: 15

Регистрация: 31.03.2015

Размещено 12.05.2015 16:37:12

от - СНАБ-СЕРВИС - поставки сырья <[URL=mailto:[email protected]][email protected][/URL]> (Бухгалтер ООО СНАБ-СЕРВИС, Наталья Воронова)
тема - Рассчет за поставку

Тело:
День добрый!
Скидываю акты и накладные по прошлогодней поставке (во вложении).
В соответствии с нашей информацией за Вашим предприятием до сих пор числиться недоплата (примерно 15 тыс р.).
Прошу проверить нашу информацию и ответить по возможности оплаты.

С уважением,
Бухгалтер ООО СНАБ-СЕРВИС, Наталья Воронова

Во вложении zip с js.

Перейти