Re: [問題] 關於最近很多人中的CryptoL0cker病毒

[chang0206 (Eric Chang)]

※ 引述《Kz (遨翔之雲)》之銘言：
: 最近周遭也有朋友不小心中了這個病毒，也上網研究一下，
: 無意間看到台灣學術網路危機處理中心，有篇文章不錯，
: 1. 個案分析-假勒索真破壞的惡意程式 Cryptolocker事件分析報告_10410
:    http://tacert.tanet.edu.tw/prog/Document.php
:    在VM上測試並分析，有興趣可以上去看看
: 2. 總結是建議使用者不要執行不明檔案，將作業系統更新，
:    且更新常用套件如Adobe Flash Player、Adobe Reader、Java等，

小弟有個疑問
根據這篇文章所述(P9 / P11)
病毒會去下載一個 「gsalphag2.crt憑證公鑰，為產生惡意程式加密檔案私鑰」
所以如果這個公鑰沒有被下載成功，是不是加密就不會被進行？

另外同一個網頁，有另一個 10409 也有提到
變種的Cryptowall其實同樣有類似的動作
只是進階成不會直接下載.crt
而是透過一個下載管理程式去抓檔案

如果能夠確認這個下載動作是加密的「必要」條件
那應該就可以在Firewall/Antivirus上面設定規則
有這種行為就先阻擋再說。


另外，感覺現在比較明確的途徑是POPUP AD
比較少聽到是由EMAIL感染的說...

--
推 a1341150854:三樓是蘿莉控                                        01/23 01:46
推 MoonDown:五樓是蘿莉                                             01/23 01:56
推 DemonPomelo:我是正太                                            01/23 01:58
推 sameber520:樓下我老婆                                           01/23 02:02
推 fushimisaki:老公，我要去當兵了～\(^O^)/                         01/23 02:21

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 153.92.46.70
※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1448351300.A.C54.html
※ 編輯: chang0206 (153.92.46.70), 11/24/2015 15:59:54
→ palsuet: 如果是廣告傳染的話，那adblock有用嗎?
→ AnewMitch: 你都知道他們會進化了...這樣推敲有何意義?
→ AnewMitch: 你能推敲到的，防毒軟體第一時間就該擋。不會是使用者
→ AnewMitch: 反過來教防毒軟體
→ AnewMitch: 除非你是防毒公司的第一樣本....
→ chang0206: 那也要有人去告訴ADBLOCK要擋哪些，而且對IE無效
→ chang0206: 我的想法是想在公司的GW就盡量杜絕這種狀況發生
→ chang0206: 你可以看看到現在為止有多少防毒還無法偵測ransomware
→ chang0206: 在防毒軟體能夠偵測之前，盡量減少使用者接觸到危險
→ chang0206: 這是我的目標
→ AnewMitch: 要回報，要改進的是防毒軟體吧@@?? ADBLOCK沒有"義務"
→ AnewMitch: 幫你防病毒。你會有這樣的想法，是因為你"已知"這種病
→ AnewMitch: 毒的運作模式。
推 rueychen: 不知道勒索軟體 會不會影響網路銀行的操作 比如 錢都被
→ rueychen: 轉出去了之類
→ go1717: 樓上 網路銀行轉錢的步驟可沒那麼簡單好嗎XD
→ coyoteY: 那不叫勒索軟體,改叫搶銀行軟體XD
推 ad: 下載的方式會變 不可能全部擋著住 外部防火牆也沒辦法
→ ad: 這個病毒是有人持續維護的活病毒 會不斷改進
→ ad: 目前唯一的方式是把感染後的災害降至最低
→ Justisaac: 可以搶銀行　誰還想勒索XD
推 mathrew: 想太多  網銀這麼好盜的話  大家搶銀行不就好了
推 rueychen: 真的希望自己想太多了 噗
→ chang0206: 你真的想太多了...可以搶銀行 誰想搶22K？
推 APM99: 搶銀行太容易被抓了  你搶22k誰理你
→ APM99: 你搶22k  美國FBI的反應就是 讓他搶
→ APM99: 說不定這根本是美國都出資私下贊助研發的東西勒
→ APM99: 現實也是這樣  搶銀行:全國動員抓  搶22k:區域動員...