В последнее время значительно возросла угроза заражения компьютеров вирусами-шифровальщиками. В ряде компаний уже возникли такие проблемы. Их суть в том, что после заражения компьютера они шифруют все документы, а это тысячи документов Word (текстовые, графические, базы данных, проектные файлы Autocad и так далее), доступные как на компьютере, так и по сети. После этого вирус требует выкуп, обещая дать ключ для расшифровки данных. Шифрование стойкое (AES-RSA) и расшифровке файлы не поддаются. И хоть впоследствии вирус уничтожается, но часть информации безвозвратно теряется.
Основной путь распространения вирусов — электронная почта. Ни одна антивирусная программа не обеспечивает 100% защиты!
Надежный способ не заразить компьютер — не открывать письма с вирусом.
Увы, несмотря на правила, многие игнорируют простейшие меры соблюдения информационной безопасности и их совершенно необдуманные действия и любопытство к таким письмам становятся причиной серьезных проблем.
Признаки вредоносных писем:
суть письма не связана с вашей деятельностью (какие-то факсы, счета, предупреждения, кредитные карты, и т.д.);в адресе письма — не Ваш адрес; либо давно неиспользуемый Вами адресв адресатах, кроме Вас, есть другие получатели, отправитель вам неизвестен, письмо на иностранном языке вместе с остальными признаками, имитация писем от ГосОрганов (например, от Высшего Арбитражного Суда РФ — «возбуждено дело», ФССП — по взысканию, штрафам, и т.п.). Не обращайте внимания на гербы и т.п. Имеются ссылки неизвестно куда, обычно по ним самим пользователем и скачивается вирус. Имеются вложения — архивы ZIP или RAR. Внутри вложение с расширением не документа (scr, com, exe и пр.).
Их нельзя запускать! Во вложении могут быть и зараженные документы (PDF, DOC и т.п.)!
В этом случае обращайте внимание на остальные признаки! Не открывать вложения и не запускать файлы в письмах с вредоносными признаками — даже если очень хочется!
В случае сомнений обязательно обращаться в техническую поддержку Строго запрещено отключать/удалять корпоративный антивирус на своем ПК, в том числе переносном.
На переносных ПК следить за работой антивируса, обновлять антивирусные сигнатуры (базы) при каждом подключении к КСПД или Интернет.
Перед подключением переносного ПК к корпоративной сети после работы в других сетях полностью проверить его на вирусы!
ПОМНИТЕ: нескольких щелчков мышки достаточно, чтобы парализовать работу части компании, потерять важную информацию нескольких подразделений, создать массе сотрудников множество лишней работы. Все это так или иначе выливается во временные и финансовые потери компаний.
Не разумнее ли перед тем, как открыть подозрительное письмо/щелкнуть ссылку/запустить файл, подумать об этом?

Социальный инжиниринг остаётся, пожалуй, самым популярным способом заражения компьютеров. Ведь, вместо обхода сложных систем технической защиты, он эксплуатирует самое «слабое звено» - человеческую доверчивость. Более того, с каждым годом социальный инжиниринг становится всё изощрённее. Вместо неуклюжих писем, «попавших якобы не тому адресату», и «нигерийских принцесс» в ход идут намного более реальные, на первый взгляд инфоповоды. Например, сотрудники предприятий могут получить по e-mail «уведомление о налоговой проверке», «досудебную претензию» или просто «документы на подпись», - правда, со странным расширением. О том, как распознать письма с вирусами и не стать жертвой преступников, читайте в сегодняшнем выпуске TechnoDrive.

Приведём несколько реальных писем преступников, сохранив их стилистику:

«Здравствуйте! В нашей компании налоговая проверка. У нас с Вами нет договора и одной счет-фактуры. Огромнейшая просьба подписать, отксканировать и выслать нам сегодня. Документы в приложении - ссылка. С уважением, .....»

«Здравствуйте! При неоплате в установленные сроки суммы долга, будем вынужденны подать исковое требование в арбитражный суд. Оригинал претензии отправили на Ваш почтовый адрес, копия Претензия №4511 - ссылка. Прошу ознакомиться. По всем вопросам звонить: .....»

«Прошу бухгалтера ознакомится с отчётом по задолженности компании на 2 квартал 2015 года. Просим вовремя произвести оплату. Отчёт прикреплён или доступен тут - ссылка. C уважением, .....»

При этом письма обычно вложений не содержат - для прохождения антивирусной проверки на почтовом сервере. Вместо зловредов в приложениях, преступники размещают в тексте гиперссылки для скачивания вирусов. Причём на первый взгляд они могут выглядеть весьма правдоподобно, - равно как и адреса отправителей.

Открыть такую ссылку, чтобы убедиться в обмане, - огромный риск даже при сверхнадёжном антивирусе. Ведь во вложении может оказаться зловред, сигнатуры которого ещё не включёны в базы... Можно попробовать открыть не всю ссылку, а лишь главный домен, - который, скорее всего, окажется либо взломанным корпоративным сайтом (порой зарубежным), либо обычным файлообменником. Но и это довольно рискованно - особенно в первом случае. Более того, вредоносную ссылку злодеи могут спрятать за безобидным описанием (указав внутри тега ссылки текст http://nalog.ru, а сам линк спрятать в параметре href).

Как узнать реального отправителя письма?

Изучите служебную информацию в письме. В почтовой службе Gmail это можно сделать с помощью опции «Показать оригинал» в меню аккаунта, открыв соответствующее письмо.

В Mail.ru после открытия письма становится доступным пункт меню «Служебные заголовки».

А для Outlook Express аналогичная возможность появляется при просмотре письма через «Свойства» / «Подробно» / «Заголовки Интернета для данного сообщения». Если обобщить, служебные заголовки обычно доступны через свойства письма.

Что мы ищем?.. Словосочетания «Recieved: from», «client-ip» или «sender».

Внимание! В других строках, начинающихся с «From» или «Return-path» злоумышленники могут указать что угодно!

Когда вы нашли нужное словосочетание и увидели рядом IP, проверьте его с помощью сервиса Whois . Если владелец «айпишника» выглядит подозрительно, или вообще расположен на другом континенте, вас пытаются обмануть.

Пример: вряд ли стоит верить письму «от Федеральной службы судебных приставов», полученному с IP-адреса 41.211.159.19 (для иллюстрации использован случайный IP-адрес из Африки).

Другие признаки вредоносных e-mail’ов

Также заслуживает внимания текст письма, в котором зловещая ссылка может быть замаскирована безобидным описанием или картинкой. В первом случае - обращаем внимание на значение параметра href, а не текст находящийся между открывающим и закрывающим тегами a. В случае с картинкой ссылка будет находится в параметре src тега img.

Если вы не поняли написанное в предыдущих двух абзацах - не страшно. Ведь бухгалтеры и делопроизводители не должны разбираться в тонкостях HTML-вёрстки и структуре eml-файлов. Просто позовите системного администратора или квалифицированного ИТ-специалиста - и он поможет вам избежать заражения компьютера.

И, наконец, самый главный аргумент, который стоит учитывать при получении подобных писем. Налоговая служба напоминает, что для общения с юридическими лицами и индивидуальными предпринимателями она использует особый порядок электронного документооборота - посредством защищённых каналов связи и аккредитованных операторов. Таким образом, требования на уплату налогов, пеней, штрафов и сборов, различные справки, требования о предоставлении документов либо пояснений налоговыми органами посредством е-mail никогда не рассылаются .

Иными словами, получить на обычный e-mail официальное письмо от налоговой равносильно получению счёта за квартплату по SMS. Что же касается писем с «документами от партнёров», то факт их отправки лучше проверить, позвонив по известному вам (а не указанному в письме!) телефону. Это не займёт много времени, но позволит избежать множества неприятностей, подготовленных изощрёнными киберпреступниками.

Чуть не забыли: у TechnoDrive есть группа - и на . Подключайтесь!

«Вирус, троян да хакер»: защита информации Безопасный Wi-Fi - российским детям!

Вы обнаружили в своем электронном ящике письмо от компании Visa о том, что ваша кредитная карта заблокирована и теперь вам придется подтвердить свои данные на сайте фирмы, чтобы ее активировать. Адрес отправителя содержит маркер «visa.com». Присутствует обращение к вам по имени. Следует ли выполнять указанные в сообщении действия или лучше сразу удалить письмо? CHIP расскажет, как распознать опасность.

Распознаем фишинговые письма

Сфальсифицированное сообщение распознается не только по отправителю - как раз эта информация легко подделывается злоумышленниками. Указанием на аутентичность адреса является сервер электронной почты , через который было отправлено письмо. Его вы найдете в исходном тексте сообщения, вызвав его, например, в Outlook через «Файл | Свойства».

В Gmail откройте письмо и нажмите на стрелку рядом с кнопкой для ответа. Здесь выберите «Показать оригинал». Сервер отправителя указан в строчке «Received». Его домен должен совпадать с доменом компании, от которой пришло письмо. Если есть отличия, то высок риск, что речь идет о фишинге. Такое письмо лучше всего удалить.

И все же проверка сервера тоже не всегда помогает . В частности, небольшие фирмы пользуются почтовыми серверами внешних поставщиков, и в этом случае домен не будет совпадать с корпоративным адресом. Однако злоумышленники, как правило, подделывают только крупные веб-сайты, поэтому подобная проверка является неплохим способом.

В особых случаях киберпреступники целенаправленно выбирают не самый крупный концерн. Чтобы вирус через письмо попал на ПК, они маскируют сообщения под уведомления от коллекторских компаний. Таким образом хакеры могут обойти обязательную проверку почтового сервера, поскольку просто подбирают имя компании под используемый адрес сервера. К письму прилагается вложение с долговым требованием, и зачастую этот файл несет в себе вирус.

Некоторые письма сопровождаются даже обращением к адресату по имени . Но не дайте себя обмануть: такая информация берется из стандартных баз данных с адресами, которые собираются, например, по следам различных лотерей и розыгрышей.

Искусные подделки

Киберпреступники с помощью поддельных электронных писем хотят добраться до ваших данных. Для этого мошенники используют «шапки», которые выглядят как настоящие, якобы правильные адреса отправителей и персональные обращения по имени.

Письма от друзей

Не всегда стоит безоговорочно доверять и письмам от известных вам отправителей, поскольку ваши знакомые также могут стать жертвой вирусной атаки. Существует два сценария : вы получаете электронное сообщение от друга, содержимое которого представляет собой сплошную рекламу, либо же текст письма вынуждает пройти по указанной рядом ссылке.

Не доверяйте слепо таким письмам! Как правило, их подлинность также получится проверить с помощью почтового сервера: домены должны совпадать с названием сервера отправителя. Поможет настройка сортировки антиспам-фильтра.

Зачастую в качестве спама классифицируются определенные элементы текста. Чтобы действовать наверняка, позвоните своему знакомому. Скорее всего, он будет вам благодарен за предупреждение о вирусе, который высылает подобные письма.

Признаки подлинного письма

В свойствах письма вы найдете в том числе сервер (1) , имя которого должно подходить отправителю. В идеале также присутствует сигнатура (2) , которую проверяют современные почтовые клиенты.

Сегодня одной из актуальных разновидностей вредоносного ПО «компьютерного вируса» является вирус «шифровальщик».

В основном компьютер подвергается инфицированию через спам-письмо с вложением якобы от исполнительных органов власти или федеральных структур, например ФНС, службы судебных приставов, ГИБДД и других. После попадания в компьютер вирус шифрует все файлы, находящиеся на жестком диске, которые представляют ценность для (фото, видео, документы и т.д.).

При попытке открыть зашифрованные файлы, на экране появляется сообщение с требованием перевести определенную сумму денег за восстановление файлов.
Суммы варьируются и доходят до сотни тысяч рублей.

Сергей Игнатьев, заместитель генерального директора по IT развитию и продвижению ООО «ГЕЛИОС-С»:

Появление такого или похожего сообщения уже означает, что вирус заразил ваш компьютер и начал шифрование файлов. В этот момент необходимо сразу же выключить компьютер, отключить его от сети и вынуть все сменные носители.
Как правило, в большинстве случае вы получили и открыли электронное письмо от вызывающего у вас доверие контрагента или отправителя, завуалированного под известную организацию. В теме может содержаться просьба провести акт сверки бухгалтерских операций за какой-то период, предоставить подтверждение оплаты счета, ознакомиться с кредитной задолженностью и т.д.
Самое главное, что информация обычно составлена таким образом, что обязательно вас заинтересует, и вы откроете вложенный файл с вирусом, который прикреплен к электронному письму. Этого и добиваются мошенники.

Итак, вы открываете вложение, которое имеет расширение «js», «exe», или «bat», а по идее не должны бы. Все мы прекрасно знаем расширения файлов, с которыми работаем. В основном это расширения офисных приложений: doc, docx, xls, odt. Данный файл скачивает с сервера злоумышленников троян или баннер, и программу для шифрования. Складывает все это во временную папку пользователя и сразу начинается процесс шифрования файлов во всех местах, куда у пользователя есть доступ.

В качестве шифровальщика (на примере vault) выступает бесплатная утилита для шифрования gpg и популярный алгоритм шифрования - RSA-1024 . По сути, эта утилита много где используется, не является вредоносным объектом сама по себе, следовательно, антивирусные программные продукты пропускают и не реагируют на ее работу.
Что делать?
Вариантов, к несчастью, мало. На просторах интернета, есть довольно много информации о том, как попытаться расшифровать файлы vault, xtbl, ytbl и т.д. К сожалению, все эти рекомендации мало чем помогают, к тому же попытки самостоятельной расшифровки файлов зачастую приводят к невозможности дешифровки, даже при наличии закрытого ключа шифрования.
Помощи от антивирусных компаний ждать тоже не приходится. RSA-1024 – очень серьезный и сложный процесс шифрования, и на ваш запрос в любую антивирусную лабораторию вы получите примерно следующее: «К сожалению, помочь не сможем, за приемлемое время расшифровка невозможна».
В свободном доступе есть такие утилиты для дешифровки, как: Rector Decryptor, RakhniDecryptor, RannohDecryptor, ScatterDecryptor или Xorist Decryptor, но они помогают только для отдельных типов шифровщиков, в случае с vault, xtbl они не срабатывают.
Основная рекомендация от наших защитников: обратитесь с заявлением в территориальное управление «К» МВД РФ по факту несанкционированного доступа к компьютеру, распространения вредоносных программ и вымогательства. Есть еще возможность заплатить злоумышленникам, но мы же не хотим своими деньгами поддерживать мошенников, да и вероятность возвращения наших драгоценных данных - 50 на 50.

Рассмотрим, как же все-таки мы можем предотвратить эти крайне нежелательные действия над нашими файлами или хотя бы снизить их коэффициент влияния на работоспособность нашего бизнеса.
Итак, первое и, наверно, самое главное: резервное копирование - наше «ВСЁ». Не пожалейте денег, сил и времени на резервное копирование данных. Съемный жесткий диск, стоит гораздо дешевле тех денег, которые просят вымогатели за расшифровку данных. Копирование критически важных для вас данных: баз 1С, текстовых документов, таблиц на съемный носитель, хотя бы раз в неделю не займет много времени, но сэкономит массу нервов и денег в случае шифровки данных на компьютере.
Второе: настоятельно рекомендуем настроить параметры восстановления системы и теневые копии папок. По опыту это спасает в 95 процентах случаев заражения и шифрования данных. Третье: Антивирусная защита обязательна. Наличие проверенного и зарекомендовавшего себя с лучшей стороны антивирусного программного обеспечения, с последними обновлениями сигнатурных баз поможет вам защититься от непредвиденных и неприятных ситуаций.
Ну, и последнее: не открывайте файлы неизвестного вам типа. Не может файл с расширением exe или bat быть актом сверки, или, например, резюме соискателя. Ну не может владелец почты [email protected] знать о блокировке ваших лицензий 1С или о вашей задолженности по кредиту в банке. Повышайте компьютерную грамотность свою и ваших сотрудников. Это в современной жизни обязательно пригодится.

«Письмо с вирусами», то есть вредоносный спам, обязательно содержит либо приложенный файл, либо ссылку на зараженный сайт. Текст письма должен побудить вас открыть файл, или перейти по ссылке – злоумышленники сулят интимные фото (якобы девушка отправляла их своему партнеру, но ошиблась адресом), выигрыш в лотерее (но вы же не покупали билет), или делают вид, что продолжают какую-то переписку с вами.

Вид письма может отличаться в зависимости от того, частью какой вредоносной кампании он является:

– Массовая рассылка. Такие письма конструируются в расчете на рассылку по миллионам адресов, поэтому выглядят максимально неперсонифицированно. Это значит, вы не увидите в поле «кому» вашего имени, там будет либо просто ваш адрес электронной посты, либо что-то нейтральное вроде «клиент». Очень часто текст письма искажен, буквы переставлены местами, или текст дан в виде картинки – это делается для преодоления спам-фильтров. Очевидно, такое письмо стоит сразу стереть.

– Целевая атака. Письмо специально сконструировано для вас, причем автор предварительно соберет о вас максимум информации, чтобы письмо выглядело достоверно. Такого рода нападениям подвергаются не только серьезные организации, но и частные лица. К примеру, если ваша пара очень хочет получить доступ к вашей учетной записи в «ВКонтакте», чтобы ознакомиться с вашей перепиской, она может обратиться в один из нелегальных хакерских сервисов, которые проведут на вас целевую атаку и украдут учетные данные.

Если вам присылают файл, и вы заранее не договаривались об этом, стоит уточнить у отправителя по другому каналу связи, действительно ли он вам это отправлял. Если это по каким-то причинам невозможно, начните с того, что сохраните файл на диск, включите отображение известных расширений файлов (например для Windows 10 надо в меню открытой папки выбрать Вид -> Параметры -> Вид, найти в списке «скрывать расширения для зарегистрированных типов файлов» и снять галку). В результате вы увидите истинное расширение файла, и список_литературы.docx явится вам в виде список_литературы.docx.exe. И это на самом деле не документ Microsoft Word, а исполняемый файл вредоносной программы. Помимо.exe могут быть опасны.bat, .cmd и.pdf-файлы. Хорошенько подумайте перед тем, как их запускать.

Если в письме не файл, а ссылка, также не спешите переходить по ней, а поместите поверх нее курсор мыши, чтобы увидеть реальное написание. Распространителям вредоносных программ редко удается заразить легитимные сайты, чаще они создают специальные страницы для заражения посетителей. Адреса их выглядят либо беспорядочно, что выдает автоматическое генерирование (например, что-то вроде adsrgreger.ewtryytv.com), либо это может быть страница, похожая на известную (facebook.babddel.com это не адрес Фейсбука! Это поддомен непонятного babbdel.com).