Reprise du message précédent :
http://reho.st/http://1.bp.blogspo [...] ngebob.gif

 
 
Je sais plus quel logiciel j'utilisais sous Windows mais je pouvais configurer une couleur d'arrière-plan par connexion et la connexion à la prod était rouge pétante. C'était très moche mais ça peut éviter ce genre de déconvenu

 
Et après ton N+2 te gueule dessus pour que tu te dépêche, et lui, va prendre sa pause dej tranquilou  

Nope .... Il as couru partout comme un fou pour réparer
Si il y as bien un truc qu'on pourra jamais lui reprocher c'est de branler

Ce matin, notre application owner a changé des droits sur un répertoire réseau (déjà il devait pas avoir ce droit là) et pouf, tous les droits hérités du répertoire parent ont été écrasés, y compris les droits de l'application qui utilise ce répertoire. J'avais lu le warning et annulé, lui pas

Bon, on va encore m'accuser de faire de l'anti-Zyxel mais putain en 2016 pas être capable de proposer une configuration de passerelle dans les options IPv6, obligé d'activer SLAAC sur le WAN

Marrant les dev sur lbc

C'est la depuis longtemps

 
mon cmd et mon powershell ont un background dark red quand je les lancent en admin.
C'est même dans mes master serveurs.

Mon premier cryptolocker ce jour  
Chez mon plus gros client  
Alors que j'ai la grippe

un coup de restore.

Sauf que si ton serveur de backup expose un montage réseau (bon c'est à éviter) t'es baisé...

Là le problème a été détecté très rapidement (moins de 30 minutes je dirai), et la saloperie de virus n'a pas eu le temps de supprimer les volume shadow copie, donc la restauration est assez "simple", mais c'est long quoi

 
Il ne sait pas le faire.
Les cryptolockers tournent en droits users sur les postes de travail, ils n'infectent que ce à quoi les users ont accès.

euh gordon, les derniers ils effacents les VSS
locky le fait.
cf: sophos.

Seulement dans le cas où c'est un compte admin qui est contaminé par Locky j'imagine, là c'était un user sur un serveur RDS.

 
Pour un poste local avec user en admin. (donc plutôt sur les ordis persos ou chez les crétins qui surfent sur internet avec leur serveur).
 
En entreprise, dans 99% des cas, l'infection des partages provient d'un poste client.
Effectivement, le poste client peut éventuellement peter sa partie VSS locale, mais il ne petera pas celle du serveur à partir du partage.
 
 
 

Belle vague de spam/virus cet aprem et mes users arrivent à se les transférer entre eux  

 
entièrement d'accord
 
pour le moment, d'ici la qu'ils arrivent à choper les droits admin ^^
La suite au prochain épisode.
 
J'ai meme apres que les ransomware sont capables de checker le type de user , et d'attendre qu'un admin local se connecte pour rappatrier le ransoware , il patiente ^^
 

Par contre je suis bien curieux de savoir dans quel ordre il chiffre les fichiers, parce que j'ai pas trouvé la logique . Y'a des dossiers avec 100 fichiers Excel et il ne va en chiffrer qu'un seul, il ne s'occupe pas non plus des dossiers dans l'ordre alphabétique, bref je suis bien curieux

scan du disque, donc suivant leur emplacement sur les plateaux ?

Ou tout simplement cette variante commence par les fichiers les plus utilisés/modifiés récemment, manière d'être sûr d'avoir chiffré les trucs important en priorité avant de se faire chopper.

il est la pour faire chier ... il commence par ceux qui servent le plus  
 
et sur la version que j'ai vu il renifle l'activité du user pour savoir quels dossiers traiter en priorité

Autant faire ceux qui sont les moins utilisés pour se faire repérer moins rapidement.

 
Les fichiers récents en priorité ça pourrait être une piste, j'ai effectivement tout un lecteur réseau qui a été chiffré, or il y avait dessus des fichiers qui venaient d'être copiés là, donc avec une date de modification toute fraiche, et tous ont été chiffrés !

 
Tu serais un bien mauvais créateur de virus
 
Le but du virus n'est pas de débloquer un succès Steam sur la quantité de fichiers chiffrés ou le temps qu'il a pu tourner sans se faire detecter, mais de rançonner l’utilisateur.
 
Dans quel cas l'utilisateur sera le plus enclin à payer :
 
- 500 vieux fichiers de 2003 ?
 
ou  
 
- un seul fichier, mais Compta2015-2016.xlsx ?
 
 

Je suis d'accord. Mais tes vieux fichiers, tu te rendras pas compte trop vite qu'ils sont vérolés.
Et quand tu fais les récents, le mec aura ses anciens et ses nouveaux fichiers de pourris.
 
Question de point de vue, faut créer des virus test et voir lesquels rapportent le plus

Plus tu prends de temps, plus tu risques de te faire griller.
En terme de hack/piratage, tu vas toujours à l'essentiel (Droit au but ).

Pareil,  je suis surpris que ça ne nous soit pas arrivé plus tôt.
Luser ma appelé direct,  j'ai viré le câble réseau,  fichiers locaux chiffré sauf ceux ouvert,  certainement à cause de la lecture seul.
Obligé de revenir sur le backup d'une partie des disques réseaux.

Dans mon cas il a attaqué les fichiers locaux puis le premier disque réseaux puis le premier dossier par ordre alphabétique,  les dossiers suivant n'ont pas été touché on a débranché avant.
Ça a bien calmé tout les autres users de l'open space ou c'est arrivé.

 
vite, réinstallons le lecteur de disquettes en mappé en A:, et dès qu'il se met à tourner il faut tout éteindre

Un faux filesystem honeypot en A:\ qui n'en finit jamais de fournir des fichiers aléatoires  
Bon on se partagera les royalties

Le gros point positif du truc c'est que maintenant tout le monde me prend au sérieux quand j'explique la problématique, je suis devenu en quelques minutes beaucoup plus crédible qu'en une dizaine de mail depuis deux ans.

Oui demain je suis chez le client en question, je vais leur faire un bon petit speech, je pense qu'il va avoir plus de poids que d'habitude

 
Popopopopo
Detrompe-toi mon cher.
 
Hier, un client à eu son 2eme locky tout juste une semaine après le 1er.
 
Et les speechs ont pourtant été fait comme il se doit...
 
   
Depuis 15jours on entend bcp trop parler de locky, alors quand je lis que ça va empirer et que malgré les avertissements et les speechs, ça recommence, je suis assez perplexe.

Est ce qu' au moins ça te permet de remettre en perspective le fait qu'on t'ai viré les droits admin et collé un antivirus,
J'ose espérer que oui...
Sinon, faudra peut être plus de mails.  

 
C'est de ta faute aussi, si tu ressors les backup. Ils voient que tout revient, et en plus ils ont eu une belle pause... Le jour où les backups sont mort aussi, ca ira mieux  

 
Et ça dure quoi ? Une semaine ?
De mon côté, ça recommence à brancher de la clé USB à tout va, à stocker sur les machines, etc...

Logique, ya marqué "virus" dans le sujet, l'utilisateur malin il le supprime direct pour ne pas se faire infecter, tu vois comment ?