locky stoppen

[shiraz]

Beitrag gelöscht
Da nur .docm Dateien zu blocken ist zu einfach !!!

[Tode]

Also der Locky, den wir bei einem Kunden von uns gefangen haben, war ein "doc"...

[Sven Hasselbach]

Und Locky ist auch per JavaScript unterwegs:

http://www.heise.de/security/meldung/Neue-Masche-Krypto-Trojaner-Locky-ueber-Javascript-Dateien-verbreitet-3113689.html

[shiraz]

autsch!!!! nicht schlagen  


nur zur Info:

http://blog.trendmicro.de/makros-als-infektionsvektor-sind-wieder-da/
...
.DOCM-Dateien stellen ungewöhnliche Infektionsvektoren dar, weil sie relativ neu sind. Microsoft hat diese Extension erst mit Office 2007 eingeführt, zusammen mit dem .DOCX-Format. Nutzer, die daran gewöhnt sind, .PDF- oder .DOC-Dateien misstrauisch zu betrachten, können solchen Angriffen leicht zum Opfer fallen.
....

AKTUELL:
http://www.heise.de/newsticker/meldung/Admins-aufgepasst-Krypto-Trojaner-befaellt-hunderte-Webserver-3116470.html

[schroederk]

Einfach nur .docm Dateien zu sperren ist zu einfach.
Wie Tode und Sven schon gesagt hat, kommt der Locky auch als .doc und als .js.
Aber auch .xls können dieses Schad-Makro erhalten und zudem versucht sich Locky auch
über Sicherheitslücken von Flash und Java etc. zu installieren.
Und neuerdings werden sogar Webserver verschlüsselt, über eine eingeschleuste PHP-Datei (Meldung gabs auch bei Heise)

Da wir Makros in Office-Dokumenten nicht nutzen, ist das Ausführen von Makros bei uns deaktiviert.
Zudem haben wir keinen direkten Internetzugang, sondern nur über Proxy mit Authentifizierung.

[eknori]

Die Aktion als Regel auf dem Domino zu implementieren ist eh der falsche Ansatz.
Das gehört in eine IronPort oder vergleichbare Lösung.