ランサムウェア総合スレ Part5 [無断転載禁止]©2ch.net
■ このスレッドは過去ログ倉庫に格納されています
話題のランサムウェアの情報を共有しましょう。
ランサムウェアに感染した場合、PC内のデータを暗号化されてしまい元に戻すための身代金を要求してきます。
たとえバックアップを用意していても、ランサムウェア感染時にバックアップをPCとつないでおくとバックアップ側もすべて暗号化されてしまうので注意しましょう。
残念ながら暗号化された場合は、バックアップからPCを古い状態に戻して(古いファイルを)復活させるか、身代金を払って暗号化を解除してもらうしかありません。
ただし一部のランサムウェアについては、セキュリティ企業などが暗号化を解除するためのソフトを配っている事があり、無料で元に戻すことができる場合もあります。
攻撃手法は主に3つ
普通のサイトを改ざんしてExploitKit経由で脆弱性を攻撃する手法
不正広告を広告枠に表示させてExploitKit経由で脆弱性を攻撃する手法
メールでウイルスを送り付けて感染させる手法(officeファイルのマクロ機能経由を狙ったもの、通称マクロウイルスが特に多い)
■前スレ
ランサムウェア総合スレ Part4 [無断転載禁止]©2ch.net
http://tamae.2ch.net/test/read.cgi/sec/1468625700/
■テンプレ
スレ立て時には本文の文頭に｢!extend:checked:vvvvv::｣を入れて立てて下さい｡
強制IDで、業者、個人のスマホや複数回線を使っての自演がある程度わかるようになります。
VIPQ2_EXTDAT: checked:vvvvv:1000:512:----: EXT was configured 今回の攻撃で使われたのは
NSAから4年前に盗み出されたツール
つまりWindows10には通用しない
去年の強制10アップデートは結果的に正しかった？
てか、Microsoftはこの脆弱性（の外部流出）を知ってたからムリヤリ10にアップさせようとしてたんじゃ… Cybereason、ランサムウェア対策ソフト「RansomFree」を無償提供 〜「WannaCry」対応
イスラエル軍でサイバーセキュリティに携わったメンバーらによって開発
http://forest.watch.impress.co.jp/docs/news/1060585.html 以前こう言うフリーソフトを落として感染したからもう信用しない >>5
Shadow BrokersがNSAから機密情報を盗み出したのは去年の8月のことで、4年前じゃないぞ
スノーデンと勘違いしてないか？ OSを再インストールする際にWannaCry用のパッチを当てていない状態でインターネットと接続し
て認証しないといけないですがその際に感染することは無いのでしょうか。ルータ経由で接続し
ていれば別に問題ないのでしょうか。 KB4012218とかKB4012225とかは今回のランサムウェア対策には有効なの？
一覧には書いてないけど
どれもロールアッププレビュー（オプション）らしいけど >>14
IPv6だとルータでインバウンド許可してしまってるとアウトでは？ 多分警戒し過ぎなんだとはおもうけど今回の騒ぎと時を同じくして
外部といってもアメリカなんだけど侵入が500回/分とかスゴい試みられてたんだよね
何となくどうしてもWindowsを使わなくていいならAndroidかiOSで済ませちゃう自分がいる 前スレ>>993
> 993名無しさん＠お腹いっぱい。 (ｱｳｱｳｶｰ Sa5b-hKny [182.249.244.32])2017/05/19(金) 15:06:22.83a
> >>992
> これってMalwarebytesやBitdefenderのAnti-Ransomwareみたいに既存のアンチウイルスソフトと共存できるタイプなのかなぁ？
出来るよ。
アンチウイルスの他にMBARWやBitdefender Anti-Ransomwareも一緒に入れてるけど問題は起こってない。 データ保管しバックアップはあるのだから大丈夫なはずだけど元に戻す労力たるや考えるだけでぞっとする
万が一にも浸食されて大丈夫な方で様子見
どうやってPC内に侵入するのか、潜伏期間はどの程度なのか
本当は既に侵入されているんじゃなかろうか
不安におもうだけ無駄なんだろうけど 楽をしたい情シスは
鉄壁系のアプリケーションコントロールか
デバイスガード、サイランスがええね
シグネチャ型は枕を高くして眠れないってのが今回の感想
個人はハッカーの攻撃対象から外れたMacで対岸の火事ってのが気楽 macって本当に安全なのか？
windowsマシンとつないでいて感染した外付けHDDを
新たにmacマシンに接続した場合そこから感染するのでは？
デザイン事務所などでドライブ共有していることもあるし >>24
いやいやいや、、そのレベルの質問ならさすがに知恵袋とかで聞いてくれ https://news.infoseek.co.jp/article/19reutersJAPAN_KCN18F06J/
大規模サイバー攻撃、旧ウィンドウズの感染拡大は限定的＝専門家
>「ウィンドウズ７」への被害が全体の６７％を占めた。最新ＯＳ「ウィンドウズ１０」への被害は１５％。
>残りは「ウィンドウズＸＰ」や「ウィンドウズ・ビスタ」などの古いバージョンだった。 Windows10ってEternalBlue/DoublePulsarは効かないはずだから
自分で実行したお馬鹿さんが相当数いたってこと？ 前スレで malwarebytes anti-ransomware お勧めあったからＤＬして
入れようとしたら Unchecky 先生が警告メッセージ出してきたから
インストールするの止めた これならどうよ？
ttp://forest.watch.impress.co.jp/docs/news/1060585.html >>32
入れてみたけど何も起きないな
大丈夫みたいだ 前スレの>>988って感染したパソコンをその変の公衆無線LANに繋げたらアウトってことはそこに繋げてる他のパソコンも死ぬのか？
それか感染したパソコンを親機にして誰でも繋げれるようにすればそこに接続したパソコンはみんな感染するん？ まず今回のWannaCryはWindws10以前のosは感染するけどwin10は発動しない、亜種が出てくれば別だけど
それとは別のリスクでファイル共有の脆弱性に関してはうpデートして無い&未知のウイルスだと死ぬ
現時点でosのうpデートしていればファイル共有の脆弱性からの感染は無いけど実行ファイルを叩けば当然感染する >>34
まともな公衆無線LAN事業者がやってるようなサービスだと、（ルーターメーカーによって若干呼び方が違うけど）プライバシーセパレーターの機能があるので、普通はそういうことにならない
http://faq.buffalo.jp/app/answers/detail/a_id/16054/c/1109
個人喫茶店で、マスターが普通のコンシューマー向け無線LANルーターをお店で使ってるようなのは知らんけどな なんかWanaCryは脆弱性のあるPCがネットに繋がった時点で感染するらしいね
今後感染しないかどうか心配してる人は現時点で発症してなかったら大丈夫そう？ >>34
てめーでインストールしているセキュリティソフトにファイアーウォールとかあるだろうが
公衆LANに繋ぐと普通は自動で何処につないだのか？聞いてきて、答えるだけでポートのセキュリティ設定してくれるわな
Windowsにもファイアーウォールがあるから、自分で全ポート遮断設定しておけば、どこのLANに繋ごうとも勝手に感染などしないわ
てめーの内部からインターネットとかにアクセスした場合は、ランダムにポートを使ってアクセルしているから、
その待ち受けているポートに対して一定時間内に攻撃がされなければ、ハッキングなんてされない仕組みなんだよ
初心者はルーター越しにパソコンを使っているのなら、サーバー設定なんてどうせ出来ていないんだから、
無駄な心配なんてすることはない
WAN側からのパケットなんて、自分からアクセスしない限りルーターで全部遮断されているっての 個人に関していえば、
・動画配信してるヤツ
・スマホから、自宅PCへ接続して動画とか見られるようにしてるヤツ
・ゲーマー
でかつポート開放なにそれ?レベルの人が感染してるんだと思ってるが ルーターがあるからまず大丈夫なんだとして
タブレット型でLTEのSIMさせる奴あるけどあの通信はアウトなの？ 10年来ADSLなんだけど不安になって確かめたらファイル共有関連のポートはデフォルトでは開放！になってたよ
メタルの人は要チェックだね >>46
Windows7なら、Windowsファイアウォールがパブリックプロファイルになってるなら大丈夫なはず
プライベートプロファイルになってるなら感染する可能性が高い
http://www.atmarkit.co.jp/ait/spv/1003/18/news097_2.html LTE回線で全ポートを確認したが、オープンになっているポートはないからその記事の内容はウソだな
そもそもが、ファイル共有などもやらしてくれないからな >>50
だから、Windowsファイアウォールなりセキュリティベンダーのファイアウォールなり、それらの設定次第ということでしょ >>49 >>51
LTE回線では、キャリアそのものがそもそもポートを開いていないから<
パケットが445ポートに到達しないんだよ >>52
あー、そうなの？
moperaとかでもそうなんだっけ？ そう思っているのなら、テザリングで繋いでおいてリモートデスクトップとかを試してごらんよ >>53 に自己レス
やはりmoperaの特定APで制限なしのようだ
http://www.drcom.co.jp/support/tec/105
mopera Uでは、本サービスを適用しない、フィルタリングフリーアクセスポイントをご用意していますので、万が一ご利用になれないアプリケーション等があった場合には、お手数ですがフィルタリングフリーアクセスポイントをご利用ください。
フィルタリングフリーアクセスポイント：open.mopera.net
https://www.mopera.net/service/option/internet/packet_filter/index.html >>54
へ？テザリング？？
テザリングだとスマホがルーター化してるからそれじゃなんの検証にもならんのだよ
テザリングしてる時、複数のデバイスが繋がるだろう？
今いってる話は>>46や>>48があえてSIM内蔵PCの話をしてるってことの意味が分からなかったのかい？ >プロバイダをSPモードからmoperaUに変更し、プロバイダーによって445番ポートをブロックしている
なるほどね
moperaUを使っていて、プロバイダーがポートをブロックしていない条件ね！
だとすると、
大抵のプロバイダーはポートのブロックはしていないから、moperaUでファイル共有とかを使っている人限定かな >>56
ネット経由でのリモートデスクトップだよ
プロバイダーなどがサポートでリモート操作とかするだろ Regeditでsmb1無効化にして再起動しても
sc.exe qc lanmanworkstationで調べると
MRxSmb10が残ってるんだがなんでだ
値のデータも0になっているのに 解決しました
1を停止させたら以後有効化しなくりました >>24
君はWii U用のソフトがPS4でも動くとでも思ってるひとなのかね？ Windows10だけは感染しないとかAmazonプライムだけは
マケプレのアカウント乗っ取り関係ないとか、企業に都合
のいい被害状況になる所がマッチポンプ臭を感じる ＞Windows10だけは感染しない
という件と
＞ Amazonプライムだけはマケプレのアカウント乗っ取り関係ない
とかいう全然関係のない話を同列視して語っちゃってるところにものすごい頭の悪さを感じる 全然関係のないと言ってるけど意外と根は同じかも知れんぞ >>65
頭の悪いやつはすぐ陰謀論と結びつけるからｗ >>8のRansomFreeってアプリ変なフォルダ作るのな
一瞬感染したとおもたわ
大丈夫なんかこれ >>72
今朝まではなんともなかったのに突然表れたからびっくりしたわ、ありがとう。 要はおとりファイルを設置してそれが暗号化されたことを察知する機能みたいだな
（勿論、別途振る舞い察知機能も備えてる）
最終防衛ラインとしては面白い発想だと思う コマンドプロンプトでsc.exe qc lanmanworkstation打ってチェックしたら
dependencies bower
mrxsb20
nsi
こうでたんですが、これは例のSMBv1を無効できていますか？ おまいらセキュリティ企業の提灯会見に踊らされすぎ
ほとんどのセキュリティ企業は何がどんな風に起こったのかまったく認識
できていないので、多少なりとも解析できている企業の情報を元にそれっぽい
ことを並べて、最終的にはうちの製品でコレだけ被害が防げましたって論拠の
ない宣伝をしてるだけ
基本的には1次感染元はまったく判明していないので、Windowsのパッチが
当たっていないとか、メールの添付ファイルからとか言うのもまったくないとは
いえないけど、主な感染源はWebの広告等からクリックしなくてもプロセスを
実行される系の攻撃なので1次感染したかどうかは運みたいなもの
その後爆発的に感染が拡大したのはWindowsのパッチが当たってなかった
マシンが大量にあったからだけど
Wannacry(WanaDecryptor)の感染開始を2007/05/12 18:00(日本時間)以前と
言っている企業以外は、基本的に自社独自に検体も入手できていないし
まともな解析も出来ていないと思ったほうがよい
現在はWannacry自身のKill機能でDNSの名前解決が出来る環境であれば
プロセスが終了するので、インターネットに直接繋がっている環境のほうが
この件に関してだけは返って安全な可能性も高いけど、Proxy経由のみや
中途半端にインターネットから隔離されて感染しているマシンがローカルLAN
内に存在してWindowsのパッチが適用されていないと非常に危険
携帯のティザリングや公衆WiFiは、仕組み上待ち受けポートを開くことが
出来ないのでSMB経由での感染の心配はないはず
まぁ何にしても色々と挙動不審な感染騒ぎであったことは確か >>64
そもそも「Windows10だけは感染しない」というのが間違い。
Microsoftのサイトによると、3月のMS17-010の修正パッチを適応していないOSはwindows10でも感染すると書いてある。
感染しないのは、既に脆弱性修正済みで4月から提供されているwindows10のCreators Updateだけ。
https://blogs.technet.microsoft.com/jpsecurity/2017/05/14/ransomware-wannacrypt-customer-guidance/ まずこんなのにひっかかるのってまさにセキュリティって何レベルの放置環境ぐらいしかあり得ない
その上でなんにも考えず日頃からIE使ってるようなのだけ >>75
できている
>>77
そのURLのどこに
「、3月のMS17-010の修正パッチを適応していないOSはwindows10でも感染すると書いてある。 」
なんて書いてる？ >>79
「Windows 10 Creators Update (バージョン 1703) は対策済みのため MS17-010 を適用する必要はありません」の部分だけど、ちょっと深読みすしぎたかな？
ま、MS17-010の修正パッチはwindous10でも出てるしな。
https://technet.microsoft.com/ja-jp/library/security/ms17-010.aspx >>80
WannaCrypt で使用されている悪用コードは Windows 10 には無効であることを確認しています。
ttps://news.microsoft.com/ja-jp/2017/05/15/170515-information/
別にCUに限定してないみたいだけどな >>81
それは深読みとかいうレベルじゃなく読み間違いレベル
脆弱性があってWindows10用のパッチが出てること自体は事実だが、パッチが当たってなかったら攻撃を受けるという話ではない。
https://blogs.technet.microsoft.com/mmpc/2017/05/12/wannacrypt-ransomware-worm-targets-out-of-date-systems/
に
"The exploit code used by WannaCrypt was designed to work only against unpatched Windows 7 and Windows Server 2008 (or earlier OS) systems, so Windows 10 PCs are not affected by this attack."
と書いてある。 >>82
う〜ん、そうか…
こっちが間違えたようだ、すまん まあ、なんにしても初心者レベルの何も知らないユーザーは、アローンでルーターを介してネットしているのなら
攻撃対象にならなかったのは幸運だな
企業は以前からそうだが、サーバーの脆弱性に関して危機感のない所ばかりだから勝手にしろって感じですね
指摘されていてもずっと放置しているウェブサーバーがたくさんあるから、
ホームページを書き換えられたりする
クロスサイトリクエストフォージェリの脆弱性だって知らんぷりしてずっと放置していましたからね 素人向けの対策
・WindowsUpdateは自動にしておく
・LANが不要であってもルーターを使う
・まともなセキュリティ対策ソフトを入れる
実際、これやってるだけで今回は感染しないわけでな・・・・・・ >>86 お年寄りが感染しているという事実をどうみますか。
初期設定のままだろうに。 ポート閉じるとかやっておきたいけれども、
正直やり方分からないｗ >>76
＞ 主な感染源はWebの広告等からクリックしなくてもプロセスを実行される系の攻撃なので
WannaCryに関してはこれは間違い。他の記述はあってるけど。
意外にも、外部から445番ポートでアクセスできるPCは結構多かったということ。
>>47氏が使ってる古いルーターとかね。
2017年5月18日に行ったインターネット検索エンジン「SHODAN」の検索結果によれば、インターネット上で445番ポートを開放している Windows環境は全世界で 50万件以上が確認されました。
日本でも同条件で 3万件近くが稼働しており、そのうち Microsoft が使用停止を求めている「SMBv1（サーバー メッセージ ブロック 1.0）サーバ」の使用が推測されるものが 7割以上を占めていました。
http://blog.trendmicro.co.jp/archives/14920 >>87
86じゃないけど、>>47のようなADSLルーターもあるみたいなので、WindowsUpdateしてないことと相まって感染したのでは WannaCryptじゃないけど実際それだけやってても感染したぞ>>86 今回の件であまりパソコンに傾倒しすぎるのも良くないなと思った
パソコンは1台でいいや あー、>>94は>>88宛てでした。
>>93 質問に答えたやったのにスルーとか死ね >>95
すいません
飛ばしてました
ありがとうございました！ >>95
135,137,138,139,445 全て解放されていないそう
ありがとう ポートを閉じるんではなくて、この場合445番をフィルターするんだよ。 紆余曲折あって現在MSEに原点回帰しているのですがやはり変えたほうがいいでしょうか >>99
前スレの>>282-283や>>940を見るとそう言えるかもしれませんね ■ このスレッドは過去ログ倉庫に格納されています
