7050
Aleksandr Litreev about cybersecurity, blockchain & other joys of life. litreev.com
Павел Дуров не против внесения Telegram в реестр ОРИ (организаторов распространения информации) Роскомнадзора, но категорически отказался выдавать личную переписку пользователей и выполнять требования властей, идущие вразрез с политикой конфиденциальности Telegram. Об этом Дуров заявил на своей странице ВКонтакте.
«Если на этом желания регулятора [речь о предоставлении информации о юр. лице, владельце Telegram] действительно ограничиваются, у меня нет возражений против использования этих данных для регистрации Telegram Messenger LLP в реестре организаторов распространения информации, однако мы не будем выполнять антиконституционный и нереализумый технически "закон Яровой" – равно как и другие законы, не совместимые с защитой частной жизни и политикой конфиденциальности Telegram.» — Павел Дуров
https://vk.com/wall1_1854483
⚡️ АНОНС — КОНФЕРЕНЦИЯ CIF
Уже очень скоро, 1 июля, в Москве пройдет четвертая ежегодная конференция CIF.
Что такое CIF? CIF (CryptoInstallFest) - это практическая конференция, во время которой специалисты IT-индустрии, юристы и общественные деятели обсуждают текущее положении дел. На CIF говорят о свободе слова и цензуре в сети, гос. регулировании интернета (привет, РКН) и самоорганизации отрасли. Также обсуждаются вопросы сохранения анонимности и защиты персональных данных пользователей, новых технологиях децентрализации, которые помогают интернету защищаться от внешних воздействий сегодня, и о тех, которые придут завтра. Одним словом — интересно.
Итак, CIF 4 — Интернет и Государство. Всё больше и больше государство проникает в интернет. Предложения по регулированию сети всё жестче и звучат всё чаще. Антипиратский закон/Закон о блокировках, Пакет Яровой, «Интернет по паспорту» и др. Что это? Реальная забота государства о гражданах? Защита информационного суверенитета? Или попытка получить контроль над свободным виртуальным пространством?
В общем, всё пройдет
🗓 1 июля в 13.00,
📍 в Сахаровском центре (г. Москва, ул.Земляной вал, д.57, стр.5).
Обязательно приходите, ведь ВХОД БЕСПЛАТНЫЙ.
Сайт конференции: https://cif.pirate-party.ru/
Доброе утро! Сегодня 28 июня.
Начнём с новости про Петю: Петя добрался до берегов Индии.
https://vedomosti.ru/technology/news/2017/06/28/700182-virus-vimogatel
Коллеги из Positive Technologies нашли Kill Switch для Пети: https://twitter.com/ptsecurity/status/879779327579086848
Читать полностью…
Для обсуждений новостей моего канала существует чатик — @alexlitreev_chat. Присоединяйтесь!
Читать полностью…
Самое время напомнить, что я также есть в Твиттере. Обязательно подпишитесь, нет времени объяснять: https://twitter.com/alexlitreev
Читать полностью…
Но вернёмся к теме Роскомнадзора. К жаровне тоже принесли цветы. Не так много, как к Минсвязи, но тем не менее.
Читать полностью…
🚨ИНФОРМАЦИЯ ОБ АТАКЕ
Сегодняшний вирус — это новая версия Petya. Ей присвоено название Win32/Diskcoder.Petya.C. Поведение вируса следующее: если Petya успешно инфицирует MBR (главную загрузочную запись), то НАЧИНАЕТ ШИФРОВАТЬ ВЕСЬ ЖЕСТКИЙ ДИСК. В противном случае, он шифрует файлы, как это делает известный вирус Mischa.
Поэтому сразу после первых признаков заражения (поражение MBR, самопроизвольная перезагрузка) необходимо:
1) Полностью выключить компьютер (принудительно)
2) Загрузиться с помощью LiveCD любого Linux-дистрибутива или извлечь жесткий диск и подключить его к другому компьютеру.
3) Скопировать все данные в безопасное место (облачное хранилище, внешний HDD)
Также напоминаю, что Windows 10 атаке не подвержена.
Вирус использует уязвимость SMB (EternalBlue, прямо как WannaCry) для попадания в сеть и затем использует PsExec для распространения внутри сети. Такая опасная комбинация приводит к очень быстрому распространению зловреда в сети. Достаточно иметь всего один уязвимый, непропатченный компьютер и это поставит под удар всю сеть предприятия — вирус попадает в сеть, получает права администратора и распространяется на другие устройства.
Вероятно, Win32/Diskcoder.Petya.C использует какую-то новую, ранее неивестную, незакрытую уязвимость (0-day). Крайне рекомендуется установить все последние обновления Windows и отключить все неиспользуемые сервисы.
Мы еще будем проверять эту информацию и, думаю, свяжемся с Microsoft.
Maersk тоже грустит от новой модификации Petya.
Читать полностью…
Наш замечательный подписчик из Чехии принёс цветочки к консульству. Минсвязи там, увы, нет :)
Читать полностью…
Мне написал технический директор ESET Israel и подтвердил, что это новая модификация Petya.
Читать полностью…
Или Petya...
В общем, разбираемся. Какая-то дичь.
Вы прикиньте, парня задержали за то, что он просто принёс цветы. https://ovdinfo.org/express-news/2017/06/27/v-moskve-za-vozlozhenie-cvetov-k-zdaniyu-minkomsvyazi-zaderzhali
Читать полностью…
UPD: По просьбе подписчиков, попробуем организовать прямую трансляцию с CIF для тех, кто не сможет прийти сам. Но лучше приходите — будет интересно.
Напоминаю: 1 июля в 13.00, МСК, Сахаровский центр.
Надо отдать должное Microsoft, они очень охотно сотрудничают сейчас с вирусными аналитиками со всего мира. Так и надо.
Читать полностью…
Если во время ночной прогулки меня не придавит дерево, не выдержавшее шторма, то завтра продолжим препарировать Петю и других злодеев.
Читать полностью…
Подписчикам из Москвы: Хотели бы ли вы принять участие во встрече подписчиков канала? Может быть бар, гайд-парк или что-то типа того.
Я не из МСК – 2K
👍👍👍👍👍👍👍 69%
Нет – 540
👍👍 16%
Да – 483
👍 15%
👥 3315 people voted so far.
Подписчик прислал видео: https://m.youtube.com/watch?v=Tx6r5ZyVwRg&feature=youtu.be
Читать полностью…
https://twitter.com/packet_wire/status/879731738569842688
Читать полностью…
Информация о 0-day в Windows не подтвердилась (и слава богу).
Читать полностью…
К такому же выводу пришли мои коллеги из двух зарубежных антивирусных компаний.
Читать полностью…
⚡️ BREAKING
Чернобыльская АЭС перешла на ручной мониторинг радиации из-за кибератаки.
Помогу всем, кто пострадал от вируса. Выключайте компьютеры и пишите на security@litreev.com, обязательно разрулим.
Читать полностью…
Присылает подписчик:
В связи с масштабной атакой вредоносного ПО Petya напоминаем о бесплатном инструменте защиты от перезаписи MBR
(это делают программы-вымогатели перед шифрованием), разработанном Cisco TALOS:
http://blog.talosintelligence.com/2016/10/mbrfilter.html
https://www.talosintelligence.com/mbrfilter
Статья со ссылкой на это средство
http://www.darkreading.com/endpoint/new-free-tool-stops-petya-ransomware-and-rootkits/d/d-id/1327241
Анализ действий старой версии Petya с указанием варианта расшифровки (злоумышленники могли доработать свой продукт)
https://0xec.blogspot.ru/2016/04/reversing-petya-ransomware-with.html
Инструкция по расшифровке для старой версии (с инструкцией «как снимать данные»)
https://www.bleepingcomputer.com/news/security/petya-ransomwares-encryption-defeated-and-password-generator-released/
Сам расшифровальщик (повторяем, злоумышленники могли доработать свой продукт)
https://github.com/leo-stone/hack-petya
Чтобы сдержать самостоятельное распространение этого образца вредоносного ПО по сетевой инфраструктуре необходимо закрыть TCP-порты 1024-1035, 135, 445 (или жёстко контролировать взаимодействие по ним).
Данные действия не являются панацеей, для блокирования распространения вредоносного ПО в результате неосторожных действий пользователей потребуются другие решения.
Сигнатуры для Snort
https://www.snort.org/advisories/talos-rules-2016-04-08
Возможные индикаторы компрометации - наличие файла c:\windows\perfc.dat (ненадежный, но работает),
Также напоминаем о видеоролике, демонстрирующем использование решений Cisco для обнаружения и блокировки активности программ-вымогателей (без использования «точной сигнатуры» вредоносного ПО, на основании поведенческого анализа, обнаружения аномалий и индикаторов компрометации) => https://www.youtube.com/watch?v=NO-X8US9IuE
Так, похоже, что компьютеры европейских компаний поразил вирус типа Win32/Diskcoder.Petya.C, а вернее, его модификация. Он повреждает запись MBR, но, похоже, не трогает сами данные. Распространяется через уязвимость в SMB, но это не единственный способ распространения.
Можно попробовать fixmbr в консоли восстановления, или восстановить MBR запись Testdisk'ом.
Подписчик подсказывает, что это точно не Sasha или Vladislav.
Читать полностью…
Вернёмся к теме вирусного апокалипсиса — это оказался не Petya. Всё-таки это другой зловред.
Общаюсь с представителями двух антивирусных компаний, разбираемся.
https://twitter.com/alexlitreev/status/879711668078612480
Читать полностью…