WORM NAS / o.ä. hätte 0,5 Mio Dateien gerettet.

[EXEWERKER]

Ich will das Thema "gerichtsfest" nicht erneut strapazieren, aber es gibt auch ein paar andere praktische Aspekte, wo eine "manipulationsfreie" Datenablage sehr hilfreich ist.

Aus der Praxis: Ich hatte heute das Vergnügen mit einem MVZ (10 Ärzte = 25 Arbeitsplätze, dessen Betreuung wird gerade übernommen hatten und Änderungen gerade beauftragt wurden), wo im Laufe des Vormittags "Worddateieien" verschwanden. Schnell stellte sich heraus, dass diese in *.vvv umbenannt und verschlüsselt waren. Nach Prüfung wurde bei einem Arzt ein tagesaktueller TeslaCrypt Virus gefunden, der Geld erpressen möchte, um die Dateien wieder zu erhalten. Entfernen geht leicht, aber Daten sind zunächst mal weg. Bisher konnten wir keine Datei entschlüsseln. Virenscanner (Security Essentials) hat nix gemerkt. In den unbemerkten 2 h wurden ca. 500.000 Dateien über Netzfreigaben zerstört, Bilder, Briefe, Scans, Befunde, Custo, Ekg, EEG, Spiro, alles. Auch nach 4 Stunden Sofortmaßnahmen - MVZ nicht mehr arbeitsfähig. Die PraxisDB konnte jetzt aus einer USB Sicherung geholt werden. Na, überleben wird das MVZ. Dokumente wurden auf externe Platte gespiegelt, dummerweise hing diese Platte gerade am Netz und wurde auch verschlüsselt. Zum Glück war noch ein Laptop mit Hausbesuchsmodul vorhanden, hier konnten wir im letzten Augenblick die Crypt-Katastrophe verhindern, hier sind alle TM Dokumente bis gestern. Aber alle EKG's weg, alle Messdaten, usw. Leider kümmert sich kaum eine Praxis um die Sicherung dieser Daten. Auch die Praxisbriefe und wichtige Akten waren in Freigaben gespeichert, wo die TM SIcherung nicht greift. Keiner, außer den Nutzern, wusste was davon. Natürlich hat man oft ein Komplettsicherungen der Platten, aber wenn diese übers Netz erreichbar auf NAS liegen: ALLES WEG! Tagelanger Ausfall und extreme Ausfallkosten sind nun die Folge. Auch ein Totalschaden der Praxis wird so sehr wahrscheinlich.

Vermutlich hier nur "2 blaue Augen". Die Fehlerursachen sind vielfältig. Aber mit einem manipulationsgesichertem Sicherungmedium, WORM-NAS, Revilock, Whatever ...wäre diese Katastrophe nicht passiert, selbst wenn das Backup fehlerhaft ist.
Ich kann nur davor warnen, Sicherungplatten am System zu lassen. Es sollte immer eine physikalisch getrennte Kopie geben. Vielleicht kann ja jemand aus den Ereignissen etwas lernen. Vorher ist immer besser....

[McLeod]

Naja, WORM hin oder her... zur allgemeinen Verständlichkeit muß allerdings angemerkt werden, daß in diesem Fall schon ein paar grobe handwerkliche Fehler gemacht wurden.

Wenn Netz-LW für's Backup, dann muß das Ganze natürlich so gestaltet werden, daß nicht Hinz, Kunz und Tante Helga darauf Zugriff haben, sondern nur der "Sicherungsbenutzer" (also eigentlich dessen Konto) und höchstens noch der "Standorthauptadmin".
Des weiteren sollten dieses Laufwerk nur während des eigentlichen Backup-Vorgangs gemappt sein (falls nicht per UNC benutzbar).
Im Idealfall sollte die Backup-Maschine bzw. das NAS überhaupt nur während des Sicherungsvorgangs laufen (also Start per WOl in Kombination mit irgendeiner Art keep-alive-script bzw. automatischem Herunterfahren am Ende).
Offensichtlich gab/gibt es auch keine "feuerfeste" Außer-Haus-Sicherung. (Das Fehlen eines 2. Backupmediums [getrennte Kopie] wurd ja bereits erwähnt.)

Also wer auch immer das eingerichtet hat, fachgerecht (wie die Handwerker immmer so schön sagen) geht anders. Die Nummer fällt eher unter "grob fahrlässig".

[nmndoc]

ich kann McLeod da leider nur voll und ganz zustimmen. Das Problem ist doch weniger der Trojaner (obwohl man da mit xy "essentials" evtl. auch nicht ganz so gut da steht), sondern dass es beim Kunden offenbar schlicht keine vernüftige Sicherung / Backupkonzept gab - geschweige denn einen (Disaster-)Recovery-Plan - also wie man im Schadensfall schnell wieder arbeitsfähig wird. Das sind aber absolute Basics. Die Praxis könnte ja auch abbrennen - dann hilf das lokale NAS auch recht wenig.
Dazu benötigen Sie auch kein WORM, ein simpler Streamer o.ä. hätte es da auch schon getan.

Ansonsten wird im Falle eines "Befalls" auch gerne mal durch Aktionismus die Situation verschlimmert (was ich hier nicht unterstellen will).
Ich hoffe mal, Sie haben nicht alle Informationen gelöscht, wohin Sie das Geld überweisen sollen? Das wäre nämlich durchaus eine Option die man prüfen sollte. Einige 100 $ wären doch ein Schnäppchen für so wichtige Daten (die evtl künftig in eine vernünftige Sicherung besser engelegt wären).
Für das NAS evtl nicht zutreffend, aber für sonstige Speicherote: Prüfen Sie doch mal, ob Tesla auch die Schattenkopien verschlüsselt/löscht?

[EXEWERKER]

Ja das stimmt natürlich alles, wir haben es leider gerade so übernommen. Man hatte einen eigenen Admin in der Firma, der mit dem Verkauf des MVZ wegfiel. Termin zum Umkrempeln der ganzen Sache ist nächste Woche. Praktisch ist es aber in vielen Praxen genau so. Betreuer gibt nicht immer oder die machen es nicht viel besser. Die anderen Probleme heißen Geiz und Ignoranz, das will natürlich keiner hören. Man hat in einigen (auch großen) Praxen nie Zeit für wichtige Dinge - nur für dringende, viel operatives Gewusel und geringes Problembewusstsein.
Wir bekommen oft schlicht keinen Termin, um Missstände zu beseitigen und schon gar kein angemessenes Budget, um eine "vertretbare" Lösung zu schaffen. Oft bleibt nur die Möglichkeit einen Brief zu schreiben, dort die Probleme zu benennen und die Zustände anzuprangern, damit man selbst nicht in die Haftung kommt. In letzter Instanz haftet dann der Betreiber....

Zum Virus: Den "Wirts-PC" haben wir aufgehoben, nur isoliert, um notfalls den öffentlichen Schlüssel für eine Entschlüsselung zu haben. Schattenkopien wurde "erfolgreich" gelöscht bzw. es gab keine. Von CISCO gibt es ein Tool, aber noch nicht für diese Variante. Ob nach Zahlung von 100 $ alles gut ist, ist auch sehr fraglich. Die Amis machen es ja so, einfach zahlen.....
Der frei zugängliche TM Ordner ist immer blöd und kann man kaum beschränken.

Ich muss zugeben, dass ich gestern schon beeindruckt war, dass innerhalb 2 Stunden ein ganzes MVZ auf der Kippe stand, nur weil einige Grundregeln missachtet wurden. Aber IT & Sicherheit kosten ja nur Geld und bringen nix.

[nmndoc]

Freier Zugabg zu den TM-Ordnern ist ja an sich nicht schlimm, wenn man ein funktionierendes Backup hat.

Aber zum Thema:
http://www.heise.de/newsticker/meldung/ ... 37099.html

[EXEWERKER]

Richtig, oft gibt es aber viele weitere Freigaben für die restlichen Dokumente.....

[RAMöller]

Übrigens:
In diesem Zusammenhang ist die Empfehlung gefährlich, den Virenschutz bei der Installation von TM-Update abzuschalten.Vor allem nach einem Online-Download?
Diese Empfehlung zum Abschalten des Virenscanners steht zum Beispiel auf der Punkt-für-Punkt-Checkliste zum Updaten. http://www.turbomed.de/download/fc79fbf ... 35c2a31361

@ewerker: Ist es bei dem Verschlüsselungsvirus egal, ob das Schutzprogramm an ist oder nicht?

[EXEWERKER]

Wir haben einen Fall, wo der Virenscanner angeblich etwas gemeldet hat, im Hintergrund aber bereits verschlüsselt wurde.
Beim Herunterladen des Updates Virenscanner gern an. Trotzdem: Virenscanner sollte auf jeden Fall zum Updatevorgang (also Ausführung Setup) aus sein.

[Macros]

Hallo zusammen,

kurz ein paar Anmerkungen zu TeslaCyrpt Varianten:
Virenscanner müssen Hashes / Muster erkennen können, TeslaCyrpt mutiert sehr schnell, wir haben 4 Kunden mit verschiedenen Varianten gesehen.

Eine einfache und schnelle Lösung, um der Gefahr zu entgehen ist, die Endung von js Anhängen vom Windows Scripting Host, welcher sie ausführt, nach Notepad.exe zu biegen, schon kann auch kein Doppelklick mehr was ausrichten.

Das gemeine an TeslaCrypt ist ja, das es kein Virus ist, sondern ein Trojaner, welcher also durch den User gestartet wird. Das Programm ist erst einmal also legitimiert, Änderungen vorzunehmen.

Gruß
J

[mschiller]

darf ich fragen wie man das umbiegt? ist das schwierig oder brauch ich da einen wartungsvertrag?

[Macros]

Eigentlich ganz einfach, nicht getestet, aus dem Kopf weggeschrieben

Mit dem Notepad eine Textdatei erstellen.
Diese nach js umbenennen.
rechtsklick drauf
Öffnen mit
Standardprogram auswählen
Notepad / Editor auswählen
Haken setzen bei Immer...

Bestätigen mit Okay, ich glaube 2 x ...

Oder wenn man eine Domain hat, kann man das ganze auch per GPO für alle Clients auf einmal machen.

[mschiller]

danke vielmals

[Frankolas]

Wo fängt man sich denn solche Schadsoftware ein, wenn man mit der Praxis-EDV nur am KV-Safe-Net zur SafeNet Seite online geht?

Verstecken sich solche Trojaner auch in Flash- bzw. Java-Updates?

[Macros]

E-Mail`?
Word Dateien usw...

[EXEWERKER]

Das Javaskript, welches dann zur Laufzeit den Trojaner "baut" ist auch in Webseiten eingebettet. Seit gestern auch ganz extrem in scheinbar echten Rechnungen und Urlaubsmails von Bekannten ( als Word). Die Worddatei enthält ein Makro, welches mit älteren Words sofort ausgeführt wird. Im TM Umfeld vermutlich schon deswegen, weil die Macrosicherheit wegen der Schnellbrieffunktionen oft deaktiviert ist.

[Frankolas]

Vielen Dank für die Hinweise.

[Geigenberger]

Hallo,

... heute geht dies auch durch die Presse:

http://www.focus.de/digital/videos/tesl ... 47785.html

- und je "selbstverständlicher" es wird, Praxis-PC's mit dem Internet zu verbinden, um so häufiger werden wir über derartige Vorfälle auch im Zusammenhang mit Patientendaten lesen!!! Da möchte ich dann wirklich nicht betroffen sein!!!

- und je "selbstverständlicher" es wird, Praxis-PC's mit dem Internet zu verbinden, umso interessanter wird es für Hacker, sich immer intensiver um "unsere Sparte" zu kümmern und um so gefährlicher wird's!

Aber ich möchte nun nicht schon wieder meine Sorgen darlegen, die ich in diesem Zusammenhang mit den App-Anbindungen an unsere Praxis-Server habe!

A. Geigenberger

[RAMöller]

Wer etwas sparen möchte, kann eine Secure-Zone per Acronis errichten und da ein Backup anlegen. Auch nach einer Infektion würde Acronis die Daten wieder finden. Siehe auch: http://www.trojaner-board.de/115678-ver ... ckups.html

[EXEWERKER]

Diesmal wurden auch schon Backups verschlüsselt. Der nächste Kamerad verschlüsselt dann sicherlich auch Partitionen. Besser ist es immer, das Backup ist nicht physisch beschreibbar / änderbar bzw. getrennt.

[RAMöller]

Die Secure Zone von Acronis ist aktuell sicher. s.o.
Natürlich kann alles mögliche noch auf uns zukommen, aber eine Verschlüsselung der Partition(stabelle) bemerkt jedes Antivirenprogramm. Deswegen geht der Verschlüsselungstrojaner so und nicht anders vor.