Криптолокеры

[arkanoid]

У меня тут от кучки дискуссий в социальных сетях очередной раз слегка кровоточат глаза. На этот раз на тему криптолокеров

Comments

[stifff]

Я вот не настоящий сварщик, но разве криптованные файлы не детектятся по сигнатурам? Вернее по отсутствию оных в файлах? Ну и по энтропии.

Если у юзера слишком резко начало изменяться файло, по сравнению с тем, что лежит на бэкапах - как бы сигнал.

[stifff]

вопрос не за скорость а за возможность детектирования.

А технические нюансы из серии «в каком месте и когда детектить», «проседания в скорости» и иже с ними будут зависеть от возможности и способа детекта.

[e1am0]

да один фиг тока версионность файлов спасёт от проёба. ну и как тут уже отметили -- надо непроебать увеличение объёма бэкапа резкое. плохо будет, когда эта хрень начнёт потихоньку гадить. одна надежда, что не сможет

[e1am0]

я ж там всё написал:
1. пока эти локеры туповаты и булком всё шифруют чё могут. на этом их пока и можно ловить
2. в случае обнаружения такого индикатора проводим расследование и уповаем на версионность файлов, если гавно случилось

[instantmanager]

А вот например мы бэкапим каждый день, файло поехало шифроваться. Юзер тупой как пень обнаруживает это через неделю, но уходит в отпуск еще на две. По возвращению даже самый старый бэкап - трэш.

Тоже самое с редкоменяющимися и малопопулярными файлами на серверах.

Выходит что кроме собственно бэкапа нужна еще и сигнализация. А это и будет то самое antimalware которой вы проклинаете.

[cdplayer]

Интересно, кстати, а Bromium не поможет?

[arkanoid]

Поможет, но, эээ, это, разумеется, тоже обойдется в бОльшие деньги, чем изнчитожить root cause.

[cdplayer]

"root cause" as in "stupid motherfuckers clicking on random shit"? Ну-ну.

[arkanoid]

нет, as "привычка хранить документы в файловых помойках, в том числе на локальных дисках".

[goodspider]

Сейчас я радуюсь тому, что не знаю кто такие криптолокеры и в чем беда)