Эксперты тоже заражаются или как облажался Лукацкий

Известный эксперт IT-безопасности Алексей Лукацкий заразился трояном и рассказал об этом на SecurityLab. Сейчас статья удалена, но благодаря Umnik'у и гуглу её удалось восстановить. :) [url]http://64.233.183.104/search?q=cache:nkWiCy3_NJ4J:www.securitylab.ru/opinion/312751.php[/url]

P.S.: Обсуждение на [URL="http://www.anti-malware.ru/forum/index.php?showtopic=4198"]Anti-Malware.ru[/URL]

всё бывает , жаль что он к нам в раздел не попал - мы бы его вылечили :)

Какой эксперт и не смог разобраться с логом HJT. Вот что смешно...

Сделайте логи по правилам;)

[quote]И вот в данном инциденте меня эта ситуация малость напрягла, [b]т.к.[/b] сам антивирус обновляется регулярно и автоматически.[/quote]
Использование "т.к." меня раздражает, потому что нет причинной связи между тем и другим. Это не слова эксперта - настоящий эксперт знает очень даже хорошо, что антивирусные программы мало дают - он на них особенно полагаться НЕ будет...

Paul

[url]http://www.securitylab.ru/opinion/312751.php[/url] - доступно.

ps ...очень похоже на генералов ГАИ наводящих порядок на дороге из кабинета...
pps DVi, что говорить о пользователях, если "эксперты" не знают что такое тех поддержка ;)
[quote]Только учитывайте тот факт, что г-н Лукацкий, т.е. я, НЕ ЯВЛЯЕТСЯ администратором и вообще сотрудником ИТ-департамента. Более того. У меня совершенно иная роль в компании и иные задачи. И зарплату мне платят немного за другое. Поэтому настраивать мой комп должен не я (равно как и не любой другой не-ИТ сотрудник), а люди, которым за это платят зарплату, т.е. ИТ-персонал.[/quote]

порадовало что Симантек лучше Ксапера потому что у него базы меньше ;)

[quote=Shu_b;184397]что говорить о пользователях, если "эксперты" не знают что такое тех поддержка ;)
[QUOTE]Поэтому настраивать мой комп должен не я (равно как и не любой другой не-ИТ сотрудник), а люди, которым за это платят зарплату, т.е. ИТ-персонал.[/QUOTE]
[/quote]

Ну и почему он не пошел в свой IT-отдел, которому платят зарплату за то, чтобы на компе г-на Лукацкого не заводились вирусы?

Собственно, там уже дан правильный комментарий к статье:
[QUOTE]Только я один заметил, что г-н пользователь натащил себе на комп всякой фигни пытаясь "поймать злобного вируса"?

В общем налицо:

1. Грубое нарушение корпоративных стандартов
2. Попытка скрыть (замять, вылечить) инцидент
3. Техническая безграмотность и позиция "это не моя работа" с апломбом гуру ИБ
[/QUOTE]

Эксперт, если он действительно эксперт, знает, как не допустить инфекции - хоть на своей личной машине, хоть на рабочей, - причем вообще без охранного софта.

[quote=NickGolovko;184413]Эксперт, если он действительно эксперт, знает, как не допустить инфекции - хоть на своей личной машине, хоть на рабочей, - причем вообще без охранного софта.[/quote]
Вот с этим могу поспорить. При исследовании нового зверька нередко допускается заражение - бывает, что и на рабочей машине.

[QUOTE=DVi;184424]Вот с этим могу поспорить. При исследовании нового зверька нередко допускается заражение - бывает, что и на рабочей машине.[/QUOTE]
А не знаю, кто такой господин Лукацкий, но он явно не исследовал нового зверька...

[quote=NickGolovko;184413]Эксперт, если он действительно эксперт, знает, как не допустить инфекции - хоть на своей личной машине, хоть на рабочей, - причем вообще без охранного софта.[/quote]Насколько я понимаю, гн. Лукацкий - эксперт в области продуктов Cisco Systems, а там - своя специфика. Не стоит, наверное, на основании только этой статьи, подвергать сомнению его статус эксперта. А вот с чем согласен, так это с комментарием от [b]DVi[/b]: если подобное происходит на корпоративной машине, то первое, что должен делать пользователь - звать специалиста из IT-отдела. Причем, претензии, скорее к этому самому IT-отделу, который допустил предоставление пользователю административных прав. А саму статью следует публиковать с подзаголовком: "Как [b]не надо[/b] действовать в случае активного заражения".

[QUOTE=DVi;184424]Вот с этим могу поспорить. При исследовании нового зверька нередко допускается заражение - бывает, что и на рабочей машине.[/QUOTE]Но только не здесь. Название зверька тоже говорит о способе заражения.

Меня вот это смутило:
[quote]Справедливости ради надо сказать, что я зашел на один из таких форумов, где попытался закачать свой лог для анализа его антивирусными специалистами. Безуспешно. Процедура была более чем нетривиальная и требовала значительных временных усилий (не считая обязательной регистрации на форуме и ожидания ответа от энтузиастов). Я не дошел до конца процедуры и бросил это дело.[/quote]У нас ведь тоже правила далеко не из одного пункта...

Народ, такое впечатление, что Вам от сего факта офигительно радостно :)

Да тему вообще в юмор имхо =))
---
Насчёт правил +500
---
Эксперта нельзя назвать экспертом, если он свято верит в сигнатурный детект.

[QUOTE=ALEX(XX);184478]Народ, такое впечатление, что Вам от сего факта офигительно радостно :)[/QUOTE]Весело не потому что он заразился, а весело от того как он лечился, учитывая статус эксперта.

P.S.: Теме здесь самое место. IMHO.

[quote=borka;184427]А не знаю, кто такой господин Лукацкий, но он явно не исследовал нового зверька...[/quote]
Он написал ряд книг по ИБ ... причем там описывались и вирусные заражения, и сетевые дела... Но такой случай не новость - мне доводилось наблюдать, как ведущий курсы по ИБ человек рассказывает, типа "я вот получил непонятное письмо, открыл вложение - там фигня какая-то ... а потом оказывается, это вирус был" ... и это на курсах по защите корпоративной сети от современных угроз из уст лектора.

я зарегился там и отметился в коментах :) [url]http://www.securitylab.ru/opinion/312751.php?pagen=2#50897[/url]
, думаю скоро и виталег пожалует :))) Я бы такое на его месте не пропустил :lol:

[QUOTE=ALEX(XX);184478]Народ, такое впечатление, что Вам от сего факта офигительно радостно :)[/QUOTE]их это возбуждает :D

Прочитал... Что можна сказать, человек абсолютно не разбирается в вредоносном ПО, не говоря уже про методы борьбы с ним...

мне показалось, что это прием, возможно и сомнительный, чтобы побольше собрать мнений специалистов по антивирусной защите. (что-то близкое к тому, как продают на базаре тряпки - "очень качественные, в моей семье их все носят и довольны").

[QUOTE=ALEX(XX);184478]Народ, такое впечатление, что Вам от сего факта офигительно радостно :)[/QUOTE]
Я тоже это заметил.:)
[QUOTE=Muffler;184709]Прочитал... Что можна сказать, человек абсолютно не разбирается в вредоносном ПО, не говоря уже про методы борьбы с ним...[/QUOTE]
+ 1

DVI
[QUOTE]Вот с этим могу поспорить. При исследовании нового зверька нередко допускается заражение - бывает, что и на рабочей машине.[/QUOTE]:D:D:D
я даже знаю когда )))) когда с будуна в ollydbg F7 и F9 перепутаеш ))))

Случай напоминает то что написал Олег! Профессор теоретик учащий студентов сам делает ляпы которые не должны допускать его студенты ;) Ну на то он и профессор ;)

[500mhz] а еще бывает так когда вообще садишся за комп наетый в хлам ;) с будуна это уже не так актуально ;) хотя и бывает!

Дальше он (А. Лукацкий) понес ахинею конкретную [url]http://www.securitylab.ru/opinion/312751.php?pagen=2#50922[/url]

Действительно: зачем комментировать статью о заражении компьютера в офисе Cisco, если ты не знаешь, как вести бизнес в IT?

Глубокая мысль, без сомнения.

[QUOTE=Зайцев Олег;184510]Он написал ряд книг по ИБ ... причем там описывались и вирусные заражения, и сетевые дела... [/QUOTE]
Возможно, он и эксперт. Наверное, теоретик. Мне показалось, что человек описывает свои эмоции как человек, впервые столкнувшийся с вирусом и пытающийся с энтузиазмом от него избавиться.

[QUOTE=Зайцев Олег;184510]Но такой случай не новость - мне доводилось наблюдать, как ведущий курсы по ИБ человек рассказывает, типа "я вот получил непонятное письмо, открыл вложение - там фигня какая-то ... а потом оказывается, это вирус был" ... и это на курсах по защите корпоративной сети от современных угроз из уст лектора.[/QUOTE]
:)

[QUOTE=DVi;184407]Ну и почему он не пошел в свой IT-отдел, которому платят зарплату за то, чтобы на компе г-на Лукацкого не заводились вирусы?
[/QUOTE]

Напримет в нашем ИТ отделе понятия не имеют что такое троян, и как с ним бороться. А антивирус у нас стоит ТМ, у которого базы обновляются раз в 2-3 дня. Так что все глюки лечатся только format c:

[QUOTE=Geser;185665]Напримет в нашем ИТ отделе понятия не имеют что такое троян, и как с ним бороться. А антивирус у нас стоит ТМ, у которого базы обновляются раз в 2-3 дня.[/QUOTE]
Плохо дела обстоят.:(

Geser, если все проблемы в Вашей конторе решаются форматированием, то где в Вашей конторе хранятся электронные документы? И как обеспечивается их защита и сохранность?

[QUOTE=Geser;185665]Напримет в нашем ИТ отделе понятия не имеют что такое троян, и как с ним бороться. А антивирус у нас стоит ТМ, у которого базы обновляются раз в 2-3 дня. Так что все глюки лечатся только format c:[/QUOTE]Да... И один из работников основатель VirusInfo. :)

Ничего format c: это хороший тренинг рефлексов, следующий этап развития попытки понять, а почему люди не летают как птицы;). Ну а дальше возможно дорастут до лечения или хранения образов системного диска...:)

[QUOTE=DVi;185697]Geser, если все проблемы в Вашей конторе решаются форматированием, то где в Вашей конторе хранятся электронные документы? И как обеспечивается их защита и сохранность?[/QUOTE]

Документы хранятся на сетевом диске. Особо важные документы бекапятся каждый день.

[quote=akoK;185859]Ничего format c: это хороший тренинг рефлексов, следующий этап развития попытки понять, а почему люди не летают как птицы;). Ну а дальше возможно дорастут до лечения или хранения образов системного диска...:)[/quote]
Э... Моё мнение таково, если зверь проник в систему, мы его удаляем, нужную инфу сливаем, систему восстанавливаем из образа (актуально для корпоративного сектора) ибо неизвестно какие чёрные ходы зверь мог оставить в системе. В данном случае перестраховаться. Для домашней машины и лечения хватит, ну кроме тех случаев, когда система переколбашена как от ЛСД

Ну...конечно для корпоративного сектора бекап уже скорее стандарт...ну неумение опознать, что это было? Может повлечь серьезную утечку информации (если уже не повлекло) со всеми вытекающими чистакми IT отдела:)

[quote=akoK;185919]Ну...конечно для корпоративного сектора бекап уже скорее стандарт...ну неумение опознать, что это было? Может повлечь серьезную утечку информации (если уже не повлекло) со всеми вытекающими чистакми IT отдела:)[/quote]
А может там и утекать то нечему? :)

Ну на уровне менеджмента среднего звена согласен...но на уровне топ-менеджмента я бы поспорил...

[QUOTE=akoK;185919]Ну...конечно для корпоративного сектора бекап уже скорее стандарт...ну неумение опознать, что это было? Может повлечь серьезную утечку информации (если уже не повлекло) со всеми вытекающими чистакми IT отдела:)[/QUOTE]

+1

[quote=Geser;185873]Документы хранятся на сетевом диске. Особо важные документы бекапятся каждый день.[/quote]

А что им мешает заразиться на сетевом диске, к которому сотрудники имеют полный доступ? И что мешает зловреду унести эти документы?