Бессигнатурная защита от Trojan-Ransom (WinLock) средствами KIS 2010

[strat]

Беcсигнатурная защита от Trojan-Ransom (WinLock) средствами KIS 2010

 

Читайте или по ссылке или в приложенном файле, дел всего на 5 минут

 

К сожалению, в последнее время пользователи все чаще жалуются на заражение вредоносами класса Trojan-Ransom. Зараженные пользователи получают сообщение, в котором их под разными соусами просят отправить СМС на платный номер. Цена сообщения редко бывает менее 150 российских рублей, а обычно много больше. И окно ни закрыть, не скрыть, работать в системе невозможно, запустить какое-либо средства диагностики и лечения также задача не из простых. Для неподготовленного пользователя это такая большая проблема, что ему проще отправить SMS, чем заняться лечением.

 

 

Само лечение сводится обычно к проверке системы с Live CD от Доктора Веба или Лаборатории Касперского. Но эффективность таких проверок сильно зависит от свежести баз (у продуктов на Live CD проблемы с эмулятором) и злостности трояна (у продуктов на Live CD проблемы с работой в реестре хостовой ОС). Да еще этот диск нужно где-то взять. В общем, куда ни кинь - всюду клин. Потому важно, очень важно предупредить заражение, не дать троянцу занять позиции. Для этого пользователи Kaspersky Internet Security 2010 могут использовать уже имеющиеся у них средство - компонент Контроль программ (HIPS).

 

п.с. Можно давать ссылку юзерам из раздела борьбы с вирусами типа "если больше не хотите проблем с Winlock, то поставьте Kis2010 и выполните данную инструкцию.@

Сообщение от модератора Jen94

Закреплено

Бессигнатурная_защита_от_Trojan_Ransom__WinLock__средствами_KIS_2010.zip

Изменено 10 февраля, 2010 пользователем Jen94
файл обновлен

[apq]

Не забывайте про ручной режим + запрос на запуск всем кроме Доверенных.

вариант, но куча выскакивающих балунов с выбором действия, мне лично немного действует на нервы

[Lacoste]

Не забывайте про ручной режим + запрос на запуск всем кроме Доверенных.

А толку?

[Mark D. Pearlstone]

Umnik, вопрос.

В окне "Правила для группы программ" (скриншот выше) для группы Слабые ограничения выставляем запреты на ресурс "Параметры безопасности".

Запрет делать на всё или можно оставить разрешённым чтение?

Изменено 31 января, 2010 пользователем Mark D. Pearlstone

[Urotsuki]

А можете теперь скриншот того окна скинуть для сравнения?

Да то-же самое окно, только подменю появляется при нажатии на Добавить А то просто появлялось окно для добавления ресурса сразу.

 

3. Urotsuki адекватную работу при/после использования альтернативных скинов ЛК не гарантирует. Потому я принципиально не ставлю их.

Эт понятно, особенно если изменялась в скине функциональная часть, а не графика Но 100% утверждать, что причиной стали альтернативные скины пока нельзя Надо проверить, тем более тут пишут, что делали это прямо при их использовании, и всё было значит. Просто в скине Фрайдэй-3 когда открывал это окно, там было 3 вкладки вообще вроде...

 

А толку?

В смысле? Программы сами не запустятся, а если сделать запрет на всякие такие вот действия опасные, то даже запуск с ограниченными возможностями не приведёт к плохим последствиям. Ещё лучше запускать в песочнице

 

PS: Я тож не держу программы "полудоверенными" Но может и возникнуть нужда запустить прогу в ограниченной группе, конечно.

[-=Kirill Strelets=-]

Запрет делать на всё или можно оставить разрешённым чтение?

Ну, раз в "Сильных ограничениях" стоит галочка на "Чтение", значит галочку на "Чтение" можно оставить!

Изменено 31 января, 2010 пользователем -=Kirill Strelets=-

[Mark D. Pearlstone]

Ну, раз в "Сильных ограничениях" стоит галочка на "Чтение", значит галочку на "Чтение" можно оставить!

Вот поэтому и спрашиваю у Umnik. В статье ж про это не сказано. Что он скажет.

[-=Kirill Strelets=-]

Вот поэтому и спрашиваю у Umnik. В статье ж про это не сказано. Что он скажет.

Лично я уверен, что говорю правильно. Я так и сделал!

Можно конечно поставить запрет на "Чтение", и это же повторить в "Сильных ограничениях"...

Но можно посоветоваться и с Umnik, так даже будет спокойнее !

[Umnik]

Запрет делать на всё или можно оставить разрешённым чтение?

Как хочешь. Не имеет никакого значения, не считая мега-супер-извращенных кейсов. Единственное, кривые программы могут падать, если не получают то, что хотят. Но за борт такие программы.

[-=Kirill Strelets=-]

не считая мега-супер-извращенных кейсов.

А можно пояснить что это такое?

[Umnik]

*, 01.02.2009 18:18:08:

кейс?

 

*, 18:18:13:

эт че

 

Umnik, 18:19:26:

"сообщите кейс падения программы" - "я тыкаю эту кнопку, плюю три раза в монитор, произношу Абра-Кадабра и жму Энтер. Программа падает".

Доходчиво?

[Ummitium]

А толку?

По моему, очень удобно - ни одна скрытая инсталляция не будет пропущена.

К тому же, при запуске сразу видно подписанное приложение или нет, а в возникающем алерте можно определить приложение в Доверенные или запретить запуск.

[-=Kirill Strelets=-]

Umnik Да, доходчиво.

[Jen94]

Установил указанные настройки.

Некоторые замечания:

При включенной как указано защите *\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows (AppInit_DLLs) не устанавливаются некоторые расширения для IE (например, плагин для сккачивания музыки с сайта vkontakte.ru).

 

Вопрос: защита "Параметров безопасности" не помешает в дальнейшем установке\работе ПО? Есть ли программы, которым при установке\работе требуются эти ключи (за исключением твикеров)?

 

А за идею - большое спасибо, очень полезно

[Umnik]

При включенной как указано защите *\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows (AppInit_DLLs) не устанавливаются некоторые расширения для IE (например, плагин для сккачивания музыки с сайта vkontakte.ru).

ОМГ. Что он там забыл?

Вопрос: защита "Параметров безопасности" не помешает в дальнейшем установке\работе ПО? Есть ли программы, которым при установке\работе требуются эти ключи (за исключением твикеров)?

Эти ключи отвечают именно за твики.

 

ВСЕМ!

Эта запись в блоге была сделана для популяризации.

"Российский закон об авторском праве не распространяется на идеи. И это глубоко правильно. Если вы узрели интересные идеи в чужих работах —

берите их пачками, бидонами, берите, сколько можете унести, используйте и развивайте. Хорошие идеи должны распространяться, а плохие — дохнуть." (Рома Воронежский)

Считайте ее идеей защиты со всеми вытекающими.

Изменено 1 февраля, 2010 пользователем Umnik

[Jen94]

ОМГ. Что он там забыл?

Я сам не очень понял. Кинул прогу в ЛС, файл чистый

Значит, что-то программе там надо...