SafeGroup

Trochę się pogubiłem w tej dyskusji i filmu też nie widziałem, ale chyba mogę powiedzieć:
- poziom "pytaj użytkownika" nie pracuje na wbudowanych białych listach, więc teoretycznie każda akcja/modyfikacja którą SS może wykryć będzie zgłaszana do akceptacji
- SS nie jest pakietem IS ani programem AV, więc nie ma co oczekiwać, że będzie chronił jak one, choć mogą one mieć moduły proaktywne, ochronę lokalizacji czy restrykcje na aplikacje...to jeszcze nie pełnoprawny klasyczny HIPS czy zapora, ale na pewno niezwykle skuteczny antyloger z dodatkowymi funkcjami, które czynią go bardzo uniwersalnym narzędziem...nie można oczekiwać więcej, niż możemy wyciągnąć z funkcji i własnych podkręconych ustawień
- niestety SS nie posiada funkcji "lock-down" jak w ERP, które jest klasycznym anty-exe, więc automatycznie nie zablokuje wszystkiego, poza tym co ma regułę zezwól...wg mnie funkcja "blokuj podejrzane aplikacje" wykryje i zablokuje tylko te akcje/aplikacje, które są niezgodne z ustanowionymi regułami na naszej liście i są zgodne listą wykrywanych akcji...ERP zablokuje uruchomienie każdego procesu, który nie jest na WL i zrobi to po cichu, albo z powiadomieniem o blokadzie
- poszerzenie ochrony o wcześniejszą opcję restrykcji na obszary dysku (obecnie funkcja SandBox) daje możliwość nałożenia restrykcji (zmniejszenia uprawnień) na wszystkie obiekty i tym samym może zapobiegać uruchomieniu szkodników...ale nie musi
- dodanie ostatnio funkcji ochrony własnych plików/folderów daje kolejną warstwę czyli monitorowanie dostępu do nich i tym samym możliwość zapobiegania otwieraniu/modyfikacji ich zawartości.

Ochrona plików/folderów była kiedyś (tak z 10 lat temu nawet) popularną funkcją,c o widać po starych programach typu HIPS/monitor/bloker, więcej nawet powstawały specjalne programy do takiej ochrony jak np. System Protect...teraz to wraca wraz pojawieniem się cryptolokerów i znów powstają takie programy lub dodaje się podobne funkcjonalności. Dlatego kiedyś do SS dodawałem ThreatFire (RIP...), który oferował taką ochronę...

I jeszcze jedno...bardziej do testów niż do praktyki rzeczywistych zagrożeń. Testy z góry zakładają, że uruchamiamy znane sobie pliki...znane nie znaczy zaufane...i oczekujemy na reakcję testowanego programu...w życiu oczekujemy takich akcji jeśli świadomie coś uruchamiamy, ale jeśli nagle i znikąd pojawia się komunikat i to jeszcze o czymś dla nas nieznanym, to raczej powinniśmy sie temu przyjrzeć i zareagować z większą ostrożnością, więc zakładam, że sprawdzenie i blokowanie będzie raczej naturalnym wyborem.

(02.09.2015, 20:20)gravity1287 napisał(a):

[Aby zobaczyć linki, zarejestruj się tutaj]

Jaką wersję masz SpySheltera? Jeśli masz aktywny Sandbox, to w SpyShelter wybierz Sandbox>Lista ograniczonych aplikacji>klik Dodaj folder (druga ikona) i wybierz c:\Program Files\Microsoft Office i go dodaj. Teraz Office będzie uruchamiał się jako ograniczona aplikacja przez SpyShelter, więc będzie okSmile Sprawdzić czy poprawnie się dodał pakiet office, odpalając któryś z jego programów - powinien pojawić Ci się ten program w SS w Sandbox>Uruchomione jako ograniczone.

Zarówno na SpyShelter Free, jak i SpyShelter Firewall Trial jest ta sama sytuacja.

A propos tych problemów z MS Office...jest przecież opcja w ustawieniach, która może pomóc, ale która równocześnie nieco zmienia skutki działania SS...chodzi o poziom ochrony "ufaj aplikacjom Microsoft". Wtedy SS nie zapyta o procesy (a na pewno wydaje się, że nie powinien) sygnowane przez producenta systemu i pozostałych pokrewnych aplikacji. To jednak z kolei ma swoje dalsze konsekwencje - wyklucza z białych list innych dostawców i niejako jest dla nich poziomem "pytaj użytkownika"...czyli zapyta o proces/działanie każdego innego.

(03.09.2015, 10:55)ichito napisał(a):

[Aby zobaczyć linki, zarejestruj się tutaj]

A propos tych problemów z MS Office...jest przecież opcja w ustawieniach, która może pomóc, ale która równocześnie nieco zmienia skutki działania SS...chodzi o poziom ochrony "ufaj aplikacjom Microsoft". Wtedy SS nie zapyta o procesy (a na pewno wydaje się, że nie powinien) sygnowane przez producenta systemu i pozostałych pokrewnych aplikacji. To jednak z kolei ma swoje dalsze konsekwencje - wyklucza z białych list innych dostawców i niejako jest dla nich poziomem "pytaj użytkownika"...czyli zapyta o proces/działanie każdego innego.

Cytując odpowiedź z naszego polskiego FAQ:

Jeśli Twój pakiet Microsoft Office nie uruchamia się prawidłowo, otwórz interfejs aplikacji SpyShelter, przejdź do zakładki Szyfrowanie Klawiszy>Zaawansowane i wybierz opcję „Lepszy Tryb Zgodności”. Po ponownym uruchomieniu systemu, wszystkie aplikacje pakietu Microsoft Office powinny znów działać jak należy.

Możliwe jest również iż zwyczajnie w którymś momencie zablokowana została któraś z ważnych akcji pakietu Office. W tym przypadku należy przejrzeć listę Reguł i upewnić się że żaden z komponentów Microsoft Office nie jest blokowany.

Pomijając wszystko, na filmie nie widać czy system nie jest już wcześniej zainfekowany, czysty OS przed uruchamianiem jakiegokolwiek syfu nawet jeden raz? Nie mam na myśli reguł, bo nie w tym rzecz

---

(02.09.2015, 23:13)F4z napisał(a):

[Aby zobaczyć linki, zarejestruj się tutaj]

(02.09.2015, 20:20)gravity1287 napisał(a):

[Aby zobaczyć linki, zarejestruj się tutaj]

F4z, a możesz sprawdzić czy SS zapyta, jeśli zamiast Auto. zezwól-Wysoki poziom ochrony ustawi się Pytaj użytkownika? Czy na pewno zapyta?

To jest dobre pytanie, bo to zależy od pewnych ustawień. Załóżmy, że zainstalowaliśmy SpySheltera i przez jakiś czas jest ustawiony w trybie "Auto. zezwól-Wysoki poziom ochrony", potem uruchomiliśmy sobie przeglądarkę czy eksplorator plików. Jak już to zrobiliśmy, dodaje się nam automatycznie reguła explorera w kontroli startu aplikacji:

[Aby zobaczyć linki, zarejestruj się tutaj]

W takim przypadku nawet jak przełączymy na tryb "Pytaj użytkownika" i uruchomimy tego ransoma to i tak nic nie da, pliki zostaną zaszyfrowane.
Ale gdyby usunąć tę regułę, to wtedy dostaniemy odpowiedni komunikat przy uruchamianiu tej szkodliwej aplikacji:

[Aby zobaczyć linki, zarejestruj się tutaj]

1.exe, skanujesz virustotalem np wbudowaną funkcją, wynik wychodzi na czerwono i już wiesz że trzeba szkonika ubić zanim się uruchomi, ochrona plików fajna sprawa i na prawde sie przydaje w przypadku ransomware i pochodnych

OK Kocie Pocztowy
Napisałem o tym, bo już wcześniej w podobnych przypadkach sugerowano sprawdzenie reguł czy zmianę ustawień szyfrowania...ta zmiana poziomu ochrony chyba nie była jeszcze dotąd poruszana...ale mogę się mylić

(03.09.2015, 13:13)Elektron napisał(a):

[Aby zobaczyć linki, zarejestruj się tutaj]

Pomijając wszystko, na filmie nie widać czy system nie jest już wcześniej zainfekowany, czysty OS przed uruchamianiem jakiegokolwiek syfu nawet jeden raz? Nie mam na myśli reguł, bo nie w tym rzecz


1.exe, skanujesz virustotalem np wbudowaną funkcją, wynik wychodzi na czerwono i już wiesz że trzeba szkodnika ubić zanim się uruchomi, ochrona plików fajna sprawa i naprawdę się przydaje w przypadku ransomware i pochodnych

Na filmie można od razu sądzić, że system jest czysty, z racji przygotowania go specjalnie na virtualboxu, po czym można sądzić? Po procesach które są.
Inna sprawa, że specjalnie tester zapewne by nie robił, żeby zawirusować system i dopiero potem pokazać, że coś nie działa, nie byłoby to według mnie normalną rzeczą.

Widzę, że nie zrozumiałeś testu wykonanego przez F4z. Nie chodziło mu o to, żeby skanować przez virustotal, tylko chodziło mu o to, że jeden użytkownik powiedział, że przez pewne opcje nie może wejść coś do systemu - on udowodnił, że może i że program sobie z tym nie poradził.

(03.09.2015, 13:44)dolar444 napisał(a):

[Aby zobaczyć linki, zarejestruj się tutaj]

(03.09.2015, 13:13)Elektron napisał(a):

[Aby zobaczyć linki, zarejestruj się tutaj]

Pomijając wszystko, na filmie nie widać czy system nie jest już wcześniej zainfekowany, czysty OS przed uruchamianiem jakiegokolwiek syfu nawet jeden raz? Nie mam na myśli reguł, bo nie w tym rzecz


1.exe, skanujesz virustotalem np wbudowaną funkcją, wynik wychodzi na czerwono i już wiesz że trzeba szkodnika ubić zanim się uruchomi, ochrona plików fajna sprawa i naprawdę się przydaje w przypadku ransomware i pochodnych

Na filmie można od razu sądzić, że system jest czysty, z racji przygotowania go specjalnie na virtualboxu, po czym można sądzić? Po procesach które są.
Inna sprawa, że specjalnie tester zapewne by nie robił, żeby zawirusować system i dopiero potem pokazać, że coś nie działa, nie byłoby to według mnie normalną rzeczą.

Widzę, że nie zrozumiałeś testu wykonanego przez F4z. Nie chodziło mu o to, żeby skanować przez virustotal, tylko chodziło mu o to, że jeden użytkownik powiedział, że przez pewne opcje nie może wejść coś do systemu - on udowodnił, że może i że program sobie z tym nie poradził.

Nie no widzę że błysnąłeś wiedzą, po procesach można sądzić? Dobrze że nie po kolorze butów autora...szkoda na takim poziomie w ogóle dyskutować.

Zapewne specjalnie zrobiłby czy nie to nieistotne, nawet jeśli czysty system to nie widzę tam niczego co by potwierdzało twoje słowa "on udowodnił, że może i że program sobie z tym nie poradził."


Ja widzę dokładnie coś odwrotnego, że program doskonale sobie poradził na różnych płaszczyznach.
W którym momencie sobie nie poradził program bądź łaskaw mi wskazać.

Czy każdy musi sprawdzać każdy plik na VT ?
A jak jest świeżyna z zakodowanymi sekcjami róznymi crypterami to co wtedy ?
Sam sprawdziłem ta próbkę i niestety ale na ustawieniach:

Auto zezwól wysoki poziom ochrony,,zakończ procesy potomne + wszystkie zdarzenia

Wchodzi malware bez żadnego problemu. Jedyny komunikat jaki jest to na końcu że został dodany do czarnej listy,ale to już po ptokach.

Rozumiem Elektron że masz ustawiony program na pytaj ?

(03.09.2015, 15:43)tachion napisał(a):

[Aby zobaczyć linki, zarejestruj się tutaj]

Czy każdy musi sprawdzać każdy plik na VT ?
A jak jest świeżyna z zakodowanymi sekcjami róznymi crypterami to co wtedy ?
Sam sprawdziłem ta próbkę i niestety ale na ustawieniach:

Auto zezwól wysoki poziom ochrony,,zakończ procesy potomne + wszystkie zdarzenia

Wchodzi malware bez żadnego problemu. Jedyny komunikat jaki jest to na końcu że został dodany do czarnej listy,ale to już po ptokach.

Rozumiem Elektron że masz ustawiony program na pytaj ?

Tak zawsze mam na "Pytaj.."
Jak chce się czuć bezpieczniej to może lepiej niech sprawdza mimo wszystko?


Daj znać co znaczy "wchozi malware bez żadnego problemu"

Wg mnie nic nie wchodzi, udaje się zaszyfrować pliki i zmienić ich nazwy (to nie są niebezpieczne akcje)
Nawet to się nie udaje jeśli użytkownik sobie zabezpieczy Pulpit, Moje dokumenty czy inne wrażliwe foldery..

Posiadanie dobrego programu nie zwalnia z myślenia, spyshelter do łatwych programów dla przeciętnego użytkownika niestety nie należy.

(03.09.2015, 15:13)Elektron napisał(a):

[Aby zobaczyć linki, zarejestruj się tutaj]

Nie no widzę że błysnąłeś wiedzą, po procesach można sądzić? Dobrze że nie po kolorze butów autora...szkoda na takim poziomie w ogóle dyskutować.

Zapewne specjalnie zrobiłby czy nie to nieistotne, nawet jeśli czysty system to nie widzę tam niczego co by potwierdzało twoje słowa "on udowodnił, że może i że program sobie z tym nie poradził."


Ja widzę dokładnie coś odwrotnego, że program doskonale sobie poradził na różnych płaszczyznach.
W którym momencie sobie nie poradził program bądź łaskaw mi wskazać.

Jak lubisz po kolorze butów rozpoznawać to rozpoznawaj.
Jak tak chcesz, to może powiedz w jaki sposób autor testu ma Ci zademonstrować, że system jest czysty?
Jeżeli poziom Ci nie odpowiada, to po prostu nie dyskutuj.

Wskazywać nie muszę, bo kolega Ci powiedział, plik został wpuszczony, a dopiero potem pojawił się komunikat, co jest widoczne na filmie.

No oczywiście jak zrobisz sobie listę chronionych plików,to dane elementy nie zostaną zaszyfrowane.

Głupie jest dla mnie to że przy ustawieniu funkcji na pytaj użytkownika i blokuj podejrzane aplikacje to blokuj w zasadzie wszystko. Tworzy regułę explorer.exe z opcją blokuj i po zmianie z powrotem na Auto zezwól wysoki poziom ochrony nadal wszelkie aplikacje podpisane czy nie są blokowane,a to pewnie przez to że explorer dalej pozastaje w trybie blokującym.

Tak tachion zgadza widzę, że koledzy zrobił nam tu małe fiku miku na czacie wiec podsumuje to.

Rozchodzi się o to, że kolega nie wierzy, że solidny HIPS, czy też aplikacje bazujące na tej metodzie mogą przepuścić szkodnika...
Otóż tak - mogą przepuścić.. nawet na najostrzejszych ustawieniach, ale to są skrajne przypadki, ale jednak mogą wystąpić (na tym filmie SS na "ostrych" ustawieniach nie przepuszcza tego szkodnika)

Filmik kolegi pokazuje że
1) Na automatycznych zezwoleniach (wysokich) może zostać zainfekowany z racji też że pewne procesy "potomne" explorer.exe zostały dodane do zaufanych akcji w skutek czego ten szkodnik nie może zostać poprawnie zablokowany i widać, że SS walczy ze szkodnikiem, ale szkodnik posługuje się lukami procesu explorer, które zostały dodane do zaufanych.
FAQ Dlaczego nie ufać explorer.exe

[Aby zobaczyć linki, zarejestruj się tutaj]

2) W drugiej metodzie użytkownik ustawił, żeby SS pytało o wszystko; dodatkowo nie ufa procesowi explorer dzięki czemu wychwytuje wszystkie jego akcje potomne i przez to również całkowicie szkodnika blokuje.

3) To dodatkowy moduł, który całkowicie odizoluje wybrane foldery/pliki, dzięki czemu pomimo zaufanych procesów nie zezwala na dostęp, czy też manipulowanie chronionym plikom, przez co nie dochodzi do zaszyfrowania w tym wypadku. Przez co znakomicie usprawnia ochronę wrażliwych plików - pod warunkiem że zostały dodane do listy

VT to serwis skanujący niemal wszystkimi dostępniejszymi antywirusami na rynku, tak jak mówisz anty-wirusy zawsze zostają z tyłu i nie zawsze mogą wszystko wykryć, bo po prostu nie nadążają z identyfikacją/weryfikacją danego wirusa. Druga sprawa - nie da się napisać szczepionki na nieistniejący wirus, bo skąd ma wiedzieć co ma wyczyścić i gdzie.

VT jedynie zwiększa szanse na skasowanie szkodnika korzystając z kilkunastu baz danych antywirusowych a nie tylko 1.
Więc skanowanie VT nie da Ci nigdy tej 100% pewności, poza tym też stosowanie kilkunastu skanerów zwiększa szanse na wystąpienie FP (false positive), czyli kumulacja wszystkich fałszywych alarmów i też należy o tym pamiętać.

Sprawdziłem u siebie i szyfruje zaraz po uruchomieniu, bez znaczenia czy SS jest ustawiony na tryb automatyczny czy pytaj użytkownika.
Działa tylko dodanie ważnych folderów/plików do chronionych.

(03.09.2015, 16:56)zord napisał(a):

[Aby zobaczyć linki, zarejestruj się tutaj]

Sprawdziłem u siebie i szyfruje zaraz po uruchomieniu, bez znaczenia czy SS jest ustawiony na tryb automatyczny czy pytaj użytkownika.
Działa tylko dodanie ważnych folderów/plików do chronionych.

A czy skasowałeś reguły ustawione przez auto-wysoki ?! przy stosowaniu pytaj O ?

Tak skasowałem.

To teraz twórcy będą mieć pełne ręce roboty. Muszą coś wymyślić aby dało się domyślnie blokować ten rodzaj zagrożenia np. poprzez opcjonalnie dodania blokowania szyfrowania plików, bo program tego nie wykrywa, a blokuje dopiero gdy już jest pozamiatane. Tak się dzieje nawet gdy się ustawi na "Pytaj użytkownika", to dopiero blokuje gdy już jest po sprawie...Zagrożenia szybko ewoluują, więc program też musi ewoluować w tym zakresie. Takie są czasy.

Czyli wszystko tak jak sądziłem.

Nasz robaczek wykorzystuje lukę poprzez manipulowanie procesem explorer.exe oraz dllhost. Niestety akurat ten region którym operuje robak nasz SpyShelter dodaje do zaufanych -,- nawet na Auto-wysoki.

2) Paranormal activity czyli wszystko be..... (0 reguł i o wszystko się bluzgaj)
Program u mnie blokuje pomyślnie - jeśli zablokuje przy 1 próbie czyli zaraz po uruchomieniu procesu explorer, ale jeśli dopuszczę do procesu potomnego dllhost, to już nie ma zmiłuj się dlatego należy mieć na oku oba procesy i i zablokować je oba.

2a) Test: zablokowanie samego procesu explorer zaraz przy 1 rozruchu - sukces (robak ubity)
2b) Jednorazowe zezwolenie dla explorer.exe aby dopuścił robaka w skutek czego wywala 2 komunikaty związane z plikiem dllhost i jego blokuje - w tym momencie robak też zostaje ubity.

Jeśli już zezwolę plikowi dllhost czyli przy 2 kroku, to już potem robak wymyka się spod kontroli i nawet jeśli wywali kolejne komunikaty i je zablokuje, to i tak robak będzie nam się wymykał spod kontroli.

(03.09.2015, 01:14)Quassar napisał(a):

[Aby zobaczyć linki, zarejestruj się tutaj]

Jak ustawisz aby Automatycznie Zezwalał to trudno żeby pytał o zaufane aplikacje.... więc jak stworzy regule  to raczej normalne że zostaje i tak jest chyba w niemal każdym HIPS bo na takiej zasadzie go uruchomiłeś.
Więc na takiej zasadzie będzie tworzył reguły,
a jak będzie coś nieznanego to zapyta jak chcesz ją stworzyć

Tamten post to była raczej odpowiedź do wortaxa. Mnie interesowało bardziej ustawienie Pytaj użytkownika, na co ładnie odpowiedział F4z. Wychodzi na to, że najbezpieczniej jest zainstalować SS, przełączyć poziom ochrony na pytaj użytkownika i usunąć wszystkie reguły stworzone przy instalacji, zrestartować pc i zezwalać/blokować od podstaw Żmudne, ale najbardziej bezpieczne.

Bardzo ciekawe, jak zachowałyby się inne wiodące HIPSy,
czyli Online Armor (jeszcze żyw), PrivateFirewall, Comodo,
program anty-exe NVT ERP (ciekawe czy rozdzieli procesy), oraz
niesygnaturowe programy blokujące szyfrowanie, np. HMPA v3 i CryptoPrevent.
Jeśli ktoś mógłby zrobić testy (ostrożnie! ), to byłoby super.