Перейти к содержимому


Фото
* * * * * 2 Голосов

Wanna Crypt

WannaCrypt

  • Please log in to reply
99 ответов в этой теме

#61 NikolayHAOS

NikolayHAOS

    Member

  • Posters
  • 386 Сообщений:

Отправлено 16 Май 2017 - 22:28

Хм..

надо запускать с параметрами:    netstat -anbo

Сделано.

Spoiler

 

И что сие значит?



#62 DSA

DSA

    Newbie

  • Validating
  • 9 Сообщений:

Отправлено 16 Май 2017 - 22:47

Если у пользователя статический IP-адрес, то компьютер может быть атакован. Услуга "статический IP-адрес" подключается у провайдера за отдельную плату. Цитата с одного сайта https://olegon.ru/showthread.php?t=27001 " Что самое интересное, стоило мне только установить Windows и настроить статический IP-адресс на ней, как сразу же в течении нескольких минут она была заражена."



#63 IlyaS

IlyaS

    Massive Poster

  • Posters
  • 2 911 Сообщений:

Отправлено 16 Май 2017 - 22:56

декодер https://mobile.twitter.com/BleepinComputer/status/864566139900264449

#64 Petrovic

Petrovic

    Member

  • Posters
  • 124 Сообщений:

Отправлено 16 Май 2017 - 23:16

 

это не для wannacry



#65 DSA

DSA

    Newbie

  • Validating
  • 9 Сообщений:

Отправлено 16 Май 2017 - 23:57

Его правильнее называть  "Внешний IP-адрес» или «Прямой IP-адрес», а не "статический"



#66 oldman666

oldman666

    Newbie

  • Posters
  • 59 Сообщений:

Отправлено 17 Май 2017 - 00:08

И что сие значит?

 Полагаю что строка:

TCP    0.0.0.0:445            0.0.0.0:0              LISTENING       4

означает ваша Windows готова установить входящее соединение по протоколу TCP
на локальный порт 445. А вот какой процесс ( служба ) за это отвечает - не определилось,
т.к. "Не удается получить сведения о владельце". На данный момент такого соединения нет.

  А вот для чего браузер Firefox ( firefox.exe ) установил ( ESTABLISHED) соединение сам на себя:
см. строку "TCP    127.0.0.1:49820        127.0.0.1:49821        ESTABLISHED     5996
            [firefox.exe]",
лучше спросить у настоящих экспертов форума.

 

P.S. И что значит Хм ? :)



#67 at.

at.

    Advanced Member

  • Dr.Web Staff
  • 967 Сообщений:

Отправлено 17 Май 2017 - 00:31

 

Конечно, если настроить себе DMZ, пробросить порты или настроить проброс Ipv6 тем же teredo, то можно и нарваться. Но это уже требует определенных знаний и те люди должны знать, что делают. Но это не массовый случай.

На всякий случай проверил на виртуалке с семёркой: teredo включён по умолчанию, 445 порт слушается на всех IPv6-адресах. Не знаю, распространяется ли данный конкретный червь через IPv6, но теоретически ему ничто не мешает это делать.

 

 

ipv6 на винде - это вообще сказка и подарок. Например, можно начать с любой машины в сети раздавать ipv6 адреса. Все виндоусы в этой сети тут же схватят себе ipv6, подтянут настройки роутинга с этой машины и будут ПРИОРИТЕТНО слать трафик через ipv6. А это - гугл, яндекс, вк, ну и прочее. Даже DNS запросы пойдут сначала по ipv6.

Учитывая, что такое поведение - это default... когда-нибудь это отличненько пульнёт. =) 

 

А мы же все знаем, что _все_ ipv6 адреса являются "белыми", да? =)

 

Да, вишенка - получение адреса, настройка роутинга происходят тихо и незаметно, без уведомлений.


Сообщение было изменено at.: 17 Май 2017 - 00:33

--

#68 at.

at.

    Advanced Member

  • Dr.Web Staff
  • 967 Сообщений:

Отправлено 17 Май 2017 - 00:48

 

Проверка на 2ip.ru показала, что у меня port 445 закрыт ( на GRC даже Stealth ).
Однако, мартовский патч MS17-010 благополучно отсутствует.

Если Вы сидите за NAT'ом, то никакой 2ip.ru ничего полезного не покажет. Смотрите netstat хотя бы.

 

Нууу... спорно. Если выходить прямо с машины, которую хотим просканить, то расковырять можно многое. Например, через webrtc можно получить локальные ip - https://ipleak.net/, за каким бы натом и vpn вы ни сидели.  Еще, можно попробовать посканить открытые порты в сети, стукаясь туда бразуером.  Если порт открыт - то будет ошибка по таймауту. Если никто порт не слушает - то connection refused.  Да, а если через webrtc получили локальные ипшники (а по дефоту все бразуеры разрешают webrtc), то можно и всю сеточку посканить.


Сообщение было изменено at.: 17 Май 2017 - 00:52

--

#69 Afalin

Afalin

    Guru

  • Dr.Web Staff
  • 6 056 Сообщений:

Отправлено 17 Май 2017 - 00:50

И тогда о какой локальной сети, в которой может завестись суслик, вы, Afalin, говорите?
  Похоже железячные NAT, Firewall-ы, etc. находятся именно у провайдера.

Сеть провайдера.


Семь раз отрежь – один раз проверь

#70 Afalin

Afalin

    Guru

  • Dr.Web Staff
  • 6 056 Сообщений:

Отправлено 17 Май 2017 - 00:54

Нууу... спорно. Если выходить прямо с машины, которую хотим просканить, то расковырять можно многое. Например, через webrtc можно получить локальные ip - https://ipleak.net/, за каким бы натом и vpn вы ни сидели.  Еще, можно попробовать посканить открытые порты в сети, стукаясь туда бразуером.  Если порт открыт - то будет ошибка по таймауту.

Можно-то можно, согласен, но маловероятно, что публичные сервисы будут такое предоставлять в готовом виде. Потому в общем случае правильнее считать, что если какой-то рандомный 2ip.ru говорит, что порт 445 закрыт – верить ему не нужно.


Семь раз отрежь – один раз проверь

#71 at.

at.

    Advanced Member

  • Dr.Web Staff
  • 967 Сообщений:

Отправлено 17 Май 2017 - 01:04

 

Нууу... спорно. Если выходить прямо с машины, которую хотим просканить, то расковырять можно многое. Например, через webrtc можно получить локальные ip - https://ipleak.net/, за каким бы натом и vpn вы ни сидели.  Еще, можно попробовать посканить открытые порты в сети, стукаясь туда бразуером.  Если порт открыт - то будет ошибка по таймауту.

Можно-то можно, согласен, но маловероятно, что публичные сервисы будут такое предоставлять в готовом виде. Потому в общем случае правильнее считать, что если какой-то рандомный 2ip.ru говорит, что порт 445 закрыт – верить ему не нужно.

 

 

А чего там предоставлять -  кода на 5 строчек. Я к тому, что даже "сидя за натом" , сайт имеет технические пути показать полезную инфу. 


--

#72 Dmitry Mikhirev

Dmitry Mikhirev

    Advanced Member

  • Dr.Web Staff
  • 594 Сообщений:

Отправлено 17 Май 2017 - 01:11

Учитывая, что такое поведение - это default... когда-нибудь это отличненько пульнёт. =)

Помнится, когда это только появилось, кто-то воспользовался таким замечательным дефолтом для сканирования внутренней сети Пентагона.

#73 lazarevee

lazarevee

    Guru

  • Posters
  • 4 803 Сообщений:

Отправлено 17 Май 2017 - 09:13

Удалите записи из
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\Disallowed\Certificates
Вирус внес туда сертификаты приложений и система не даёт их запустить.

Нету там, вируса тоже нет. Наверное перебдел и сам не заметил.. Вход в политики получился через терминал, а в гуи не давал. Сбросил их.


Сиюминутное Ригпа бессущностно и ясно.

 


#74 GEV

GEV

    Massive Poster

  • Posters
  • 2 111 Сообщений:

Отправлено 17 Май 2017 - 09:22

TCP    0.0.0.0:445            0.0.0.0:0              LISTENING       4

означает ваша Windows готова установить входящее соединение по протоколу TCP
на локальный порт 445. А вот какой процесс ( служба ) за это отвечает - не определилось,

Хех, 445 служит (хз как win10)

445    TCP    SMB    Служба факсов
445    TCP    SMB    Очередь печати принтера
445    TCP    SMB    Сервер
445    TCP    SMB    Локатор удаленного вызова процедур
445    TCP    SMB    Пространства имен распределенной файловой системы
445    TCP    SMB    Репликация распределенной файловой системы
445    TCP    SMB    Служба учета лицензий
445    TCP    SMB    Сетевой вход в систему

Бездумные попытки его заблокировать могут вылезти боком или бсодом, молитесь на заплатки MS$ :)



#75 Afalin

Afalin

    Guru

  • Dr.Web Staff
  • 6 056 Сообщений:

Отправлено 17 Май 2017 - 10:16

Я к тому, что даже "сидя за натом" , сайт имеет технические пути показать полезную инфу.

А я к тому, что несмотря на реализуемость, слепо рассчитывать в общем случае на это нельзя.


Семь раз отрежь – один раз проверь

#76 NikolayHAOS

NikolayHAOS

    Member

  • Posters
  • 386 Сообщений:

Отправлено 17 Май 2017 - 10:55

P.S. И что значит Хм ?

https://ru.wiktionary.org/wiki/%D1%85%D0%BC



#77 v.martyanov

v.martyanov

    Guru

  • Virus Analysts
  • 8 308 Сообщений:

Отправлено 17 Май 2017 - 11:30

О, спасибо, посмотрим куда приспособить :-)


Личный сайт по Энкодерам - http://vmartyanov.ru/


#78 at.

at.

    Advanced Member

  • Dr.Web Staff
  • 967 Сообщений:

Отправлено 17 Май 2017 - 12:17

 

Я к тому, что даже "сидя за натом" , сайт имеет технические пути показать полезную инфу.

А я к тому, что несмотря на реализуемость, слепо рассчитывать в общем случае на это нельзя.

 

 

А в общем случае нельзя расчитывать ни на что. Сейчас сервис выключен, а через секунду включен =)


--

#79 NikolayHAOS

NikolayHAOS

    Member

  • Posters
  • 386 Сообщений:

Отправлено 17 Май 2017 - 12:42

ipv6 на винде - это вообще сказка и подарок.

 

То есть по старой памяти снимая галочку с пунктика.

Spoiler

Я тем самым повышаю безопасность системы что ли?

Приятно.



#80 at.

at.

    Advanced Member

  • Dr.Web Staff
  • 967 Сообщений:

Отправлено 18 Май 2017 - 01:31

 

ipv6 на винде - это вообще сказка и подарок.

 

То есть по старой памяти снимая галочку с пунктика.

 

Я тем самым повышаю безопасность системы что ли?

Приятно.

 

 

Получается, так. 

Если вы точно знаете, что v6 вам не нужен, то лучше отключить. Заодно можно зафильтровать где-нибудь на роутере.

А лучше получить нормальный ipv6 и быть современным =) Плевать на блокировки распилнадзора и тп.


--