Появился вирус-шифровальщик в виде обработки 1С
По теме из базы знаний
Ответы
Подписаться на ответы
Инфостарт бот
Сортировка:
Древо развёрнутое
Свернуть все
(1) ipoloskov, у нас никто кроме админов не может открывать внешние обработки, так что не совсем все так плохо... а те у кого есть такие права - сначала посмотрят в код, а потом пять раз подумают - стоит ли открывать сию поделку
Забавные котики это не так уж и плохо.
А вообще тоже подпишусь, может кому придет такое письмо счастья. Уж очень хочется посмотреть.
А вообще тоже подпишусь, может кому придет такое письмо счастья. Уж очень хочется посмотреть.
Тело этого модуля защищено паролем, поэтому просмотреть его исходный код стандартными средствами невозможно
...
1C.Drop.1 поддерживает работу с базами следующих конфигураций 1С:
"Управление торговлей, редакция 11.1"
"Управление торговлей (базовая), редакция 11.1"
"Управление торговлей, редакция 11.2"
"Управление торговлей (базовая), редакция 11.2"
"Бухгалтерия предприятия, редакция 3.0"
"Бухгалтерия предприятия (базовая), редакция 3.0"
"1С:Комплексная автоматизация 2.0"
Показать...
1C.Drop.1 поддерживает работу с базами следующих конфигураций 1С:
"Управление торговлей, редакция 11.1"
"Управление торговлей (базовая), редакция 11.1"
"Управление торговлей, редакция 11.2"
"Управление торговлей (базовая), редакция 11.2"
"Бухгалтерия предприятия, редакция 3.0"
"Бухгалтерия предприятия (базовая), редакция 3.0"
"1С:Комплексная автоматизация 2.0"
А там уже провели походу.
Что и требовалось доказать. Оболочка запуска 1С, а вот сам вирус это уже экзешник, скомпилированный на С скорее всего.
Что и требовалось доказать. Оболочка запуска 1С, а вот сам вирус это уже экзешник, скомпилированный на С скорее всего.
(19) Xershi, хотелось бы, чтобы способы проверки были заботами антивирусных вендроров, а не головной болью админа )
Если обработки-дропперы примут массовый характер, мы таки придем либо к подписыванию внешних обработок, сначала с закрытым кодом, а затем всех, либо к некоему аналогу AppStore. Со своими блэкджеками и плюхами. В смысле - проблемами и решениями.
Если обработки-дропперы примут массовый характер, мы таки придем либо к подписыванию внешних обработок, сначала с закрытым кодом, а затем всех, либо к некоему аналогу AppStore. Со своими блэкджеками и плюхами. В смысле - проблемами и решениями.
Против WSПрокси.ПолучитьДвоичныйКодВирусаИзЭтихВашихИнтернетов() никакой эвристический анализ не спасет.
Надо закрывать доступ к вызову функции "ЗапуститьПриложение" на уровне платформы. Со всеми сопутствующими прелестями в виде невозможности работать с Excel и проч.
Надо закрывать доступ к вызову функции "ЗапуститьПриложение" на уровне платформы. Со всеми сопутствующими прелестями в виде невозможности работать с Excel и проч.
(22) Xershi, не факт. Многие антивирусы проверяют файлы перед запуском или при открытии. DrWeb, кстати, умел проверять модули 1С 7.7 еще в далеких 2000-ных, несколько увеличивая при этом время запуска платформы и открытия регламентной отчетности. Тут же всплывает вопрос проверки сохраненных в базе обработок.
(23) v3rter, в данном вирусе двоичный код предварительно сохраняется в виде EXE-файла на диск. То есть Херши прав, антивирусник такое поймает в момент сохранения или запуска, если распознает. А если не распознает? Хотелось бы гарантий.
Возможно ли настроить запрет запуска приложений для пользователя USR8SVR, или как его там, под которым работает сервер 1С?
Возможно ли настроить запрет запуска приложений для пользователя USR8SVR, или как его там, под которым работает сервер 1С?
(24) ipoloskov,
насчет антивирусов есть сомнения в каком плане. они могут задетектить всякие ухищрения в данном случае по попыткам получить повышение прав (через эксплуатацию уязвимостей в ПО). а вот детектят ли они сам процесс шифрования , который запустил пользователь сам, я хз. поскольку с моей точки зрения это вполне легальная процедура в случае если пользователь пожелал этого. а как антивирус определяет. желал или не желал юзер этого , я не знаю. особенно если шифрование производится какой-нибудь нормальной программой типа gnupg, а не левым ПО, как это было в некоторых случаях у этих сраных шифровальщиков. я даже больше скажу. пользователи и раньше запускали и будут запускать куда охотнее не внешние обработки 1С, которые они действительно могут не знать как открыть ;) а банальные exe в интернете, которые будут обещать им изменить заставку, показать котиков и прочую хер-ю
Возможно ли настроить запрет запуска приложений для пользователя USR8SVR, или как его там, под которым работает сервер 1С?
возможно. искать в интернете мануалы по group policy и контролю приложений. там вроде вообще можно сделать так, что запретить запуск любых exe , которые расположены в сомнительных директориях(типа папки Downloads, папки временных файлов программ в том числе 1С). а в нормальных директориях типа Program Files вообще должен быть ограничен доступ на запись не у админов.(запуск bat и т.п. аналогично запретить, аналогично через group policy)
насчет антивирусов есть сомнения в каком плане. они могут задетектить всякие ухищрения в данном случае по попыткам получить повышение прав (через эксплуатацию уязвимостей в ПО). а вот детектят ли они сам процесс шифрования , который запустил пользователь сам, я хз. поскольку с моей точки зрения это вполне легальная процедура в случае если пользователь пожелал этого. а как антивирус определяет. желал или не желал юзер этого , я не знаю. особенно если шифрование производится какой-нибудь нормальной программой типа gnupg, а не левым ПО, как это было в некоторых случаях у этих сраных шифровальщиков. я даже больше скажу. пользователи и раньше запускали и будут запускать куда охотнее не внешние обработки 1С, которые они действительно могут не знать как открыть ;) а банальные exe в интернете, которые будут обещать им изменить заставку, показать котиков и прочую хер-ю
Надо всегда смотреть, откуда пришла обработка, что за адрес.Если уже не вложение к письму, а скачать да посмотреть неизвестно откуда. Уже повод задуматься - трогать ли ссылку.
У меня мои пользователи скорее всего позвонят и спросят "а что такое внешняя обработка?".
Ну, а мне такое присылать вероятность успеха около 0, я от тех кому доверяю, проверяю вначале на тестовом серваке обработки, а чаще ещё и код просматриваю.
Ну, а мне такое присылать вероятность успеха около 0, я от тех кому доверяю, проверяю вначале на тестовом серваке обработки, а чаще ещё и код просматриваю.
(29) IvanSusanin, увы нет. Код не на 1С. Так что пока не вышло. А так тема интересная. Хотя что мешает при запуске обработки запустить фоновое задание. Хотя нет, это же конфу нужно поправить. А вот запустить код асинхронно это уже идея.
У кого еще какие мысли по написанию таких штук?)
У кого еще какие мысли по написанию таких штук?)
(30) Xershi,
можно код 1с запустить через Выполнить.
если просто навредить надо,
через метаданные обходишь регистры сведений без регистратора и чистишь по быстрому.))
ну там еще всякие справочники можно почистить, и документы, над константами поизголяться можно.
Код не на 1С.
можно код 1с запустить через Выполнить.
если просто навредить надо,
через метаданные обходишь регистры сведений без регистратора и чистишь по быстрому.))
ну там еще всякие справочники можно почистить, и документы, над константами поизголяться можно.
Внимание! Тема сдана в архив
Для получения уведомлений об ответах подключите телеграм бот:
Инфостарт бот