Windows 10 suojaa kiristysohjelmia vastaan

Windows 10 sai jokin aika sitten 1709-päivityksessä uuden suojauksen kiristyshaittaohjelmia vastaan. Se estää muita kuin luvan saaneita ohjelmia kirjoittamasta tärkeisiin kansioihin. Pelkät käyttöoikeudet eivät tähän pysty, sillä tyypillisesti kiristysohjelma käynnistyy käyttäjän omilla oikeuksilla ja pääsee siten estoitta kaikkein tärkeimpiin kansioihin salakirjoittamaan niistä löytyvät tiedostot.

Suojaus on kuin käyttäjätunnuksen sisäinen käyttöoikeus, jota käyttäjä voi itse hallita. Asetusten muuttaminen vaatii tosin admin-oikeudet.

Oletusarvona toiminto ei ole päällä, joten sen käyttöönotto vaatii oma-aloitteisuutta. Suojaus löytyy asetuksista nimellä Kiristysohjelmien torjunta. Ominaisuuden virallinen nimi on Hallittu kansion käyttö (Controlled Folder Access).

Kiristysohjelmien torjunta.

Oletusarvona suojataan kaikki käyttäjän kotihakemiston alla olevat kansiot, kuten kuvat, asiakirjat, musiikki, videot ja työpöytä. Kansioiden nimet näkyvät kohdasta Hallittu kansion käyttö > Suojatut kansiot.

Suojatut kansiot.

Lisää suojattu kansio -toiminto lisää nimensä mukaisesti suojattujen listaan uuden kohteen.

Kun suojaus on käytössä, vieraan ohjelman yritys kirjoittaa suojattuihin kansioihin estetään ja työpöydän alanurkassa näkyy ilmoitus tapahtuneesta:

Luvaton kirjoitusyritys estetty.

Jos ohjelma on itse asennettu ja hyväksi havaittu, muokkausoikeus on helpointa myöntää etsimällä lokista estetyn ohjelman nimi ja valitsemalla sen kohdalla Toiminnot > Salli laitteessa.

Ohjelman käytön salliminen.

Windowsin suomenkielinen versio kutsuu toimintoa nimellä Estä historia, kun oikea muoto olisi Estohistoria. Toiminto ei siis estä historiaa, vaan sallii estohistorian tarkastelun ja oikeuden myöntämisen.

Luvalliset ohjelmat voi listata myös etukäteen, mutta käytännössä uusia kohteita löytyy aina myös käytön aikana, joten historian perusteella tapahtuva luvitus on käytännöllisempi. Kokeilun perusteella näyttää siltä, että Windowsin omat apuohjelmat ja sovellukset saavat luvat automaattisesti, joten niitä ei tarvitse lisätä sallittujen listalle (whitelist).

Ominaisuus ei ole yhteensopiva muiden virustorjuntaohjelmien kanssa, jotka haluavat hallita kirjoitusta itse. Siksi sitä voi käyttää vain Windowsin oman Defender-antiviruksen kanssa.

Kokeilujen perusteella suojaus näyttäisi ulottuvan automaattisesti myös kansion alikansioihin, joten esimerkiksi Dropboxin kansiota ei tarvitse erikseen lisätä suojattujen listalle. Windows ei kuitenkaan varoita, että kansio on jo suojan piirissä, vaan antaa tehdä lisäyksen normaalisti. Kannattaa siis varmistaa kokeilemalla, että suojaus todella toimii niissä kansioissa missä pitääkin. 

Windows XP päivitys Wannacrypt kiristysohjelman varalle (MS17-010)

Windows XP:n tuki loppui 10.4.2014 eli runsaat kolme vuotta sitten, mutta kävi kuten arvelinkin: jos vakava hyökkäys uhkaa, Microsoft joutuu päivittämään vielä vanhojakin versioita. Ja niinhän sitten tapahtuikin.

Jos etsii XP-päivitystä Microsoftin kotisivujen kautta käyttäen hakusanana Wannacry tai Wannacrypt, saa tulokseksi musiikkia:

Etsitkö musiikkia vai?

Olisi toivottavaa, että kotisivulla olisi tiedote ajankohtaisesta turvauhkasta, mutta mitään ei näkynyt. Haku xp-päivityksen sanoilla johtaa sivulle https://www.microsoft.com/fi-FI/download/details.aspx?id=55245 joka näyttää oikealta otsikkoa ja KB-viittausta myöten, mutta tiedostonimessä esiintyy sana embedded ja joku raportoi, ettei päivitys toimi. Älä siis lataa tätä!

Sen sijaan standalone updates -sivulta löytyy oikea päivitys:

Oikea päivityssivu.

Työasemakäyttäjille oikea kohta on Windows XP SP3 -tietoturvapäivitys (KB4012598). Palvelinversioiden ylläpitäjät ja Vista-käyttäjät löytävät omansa muilta riveiltä. Vistan tuki loppui juuri, mutta tämä päivitys ilmestyi tuen ollessa vielä voimassa maaliskuussa, eli sen pitäisi olla asennettu automaattisesti (ellei päivityksiä oltu tarkoituksella estetty). Myös Windows 7 -koneet ovat päivittyneet automaattisesti.

Windows 8 viittaa alkuperäiseen Windows kasiin, jonka ei annettu päivittyä itsestään 8.1-versioksi. Useimmilla on käytössä 8.1, jolloin sekin on paikattu automaattisesti.

Ja kai huomasit, että Vistan tuki päättyi 11.4.2017? MS17-010 ehti nipin napin vielä päivitykseen, mutta jatkossa Vista-käyttäjät ovat omillaan. Vista oli hidas ja epäsuosittu, joten sen asennuskanta on onneksi paljon XP:tä pienempi. 

Näin Locky-kiristysohjelma iskee

Kiristysohjelmat (ransomware) ovat edelleen yleisiä, mikä on pienoinen ihme. Jouduin tekemään paljon töitä, että sain kiristysohjelman toimimaan. Google poistaa niitä automaattisesti Gmail-viesteistä, Exchange-palvelin salli viestin vastaanottamisen mutta ei edelleenlähetystä ja Windows 10 Defender tarttui tiedostoon heti, kun sitä yritti tallentaa tai kopioida.

Koneessa, jossa on uusin käyttöjärjestelmä ja asetukset suunnilleen kunnossa, tätä kiristysohjelmaa on suorastaan vaikea saada toimimaan. Eikä suojaukseen tarvittu edes kaupallista torjuntaohjelmaa, Windowsin oma Defender riitti.

Tämä kiristysohjelman versio tuli Word-tiedostoliitteenä, jonka haitallisuus pitäisi näkyä otsaluullakin. Vierailta tulevat liitetiedostot, joiden päätteenä on .docm (Word-dokumentti makroilla) ovat aina haittaohjelmia. Simple as that.

Tämän selvempää virusliitettä tuskin voi olla.

Jos kaikesta huolimatta erehtyy avamaan tiedoston, tulee vielä varoituksia, joista tämä on ensimmäinen:

Älä käynnistä makroja!

Varoitukset ohittamalla pääsee eteenpäin, jolloin tuloksena on vain tyhjä Word-dokumentti. Siinä vaiheessa on jo myöhäistä: makro lataa koneeseen varsinaisen haittaohjelman ja hetken kuluttua työpöytä vaihtuu tämän näköiseksi:

Locky on iskenyt.

Locky korvaa taustakuvan omallaan. HELP-instructions tiedostossa on samat ohjeet html-versioina, jolloin linkit toimivat suoraan napsauttamalla. Taustakuvasta on ilmeisesti eri kielille käännettyjä versioita, mutta suomea ei tueta -- siksi teksti on vain englanniksi.

Testikoneessa oli Windows 8.1, jonka Defender ei ole Kympin tasoa. Se heräsi vasta, kun haittaohjelma oli jo iskenyt -- mutta heräsi kuitenkin.

TOR-verkon kautta päästään kiristäjän omalle palvelimelle, joka tunnistaa myös suomalaiset uhrit:

Maksuohjeet Bitcoineina suomeksi.

Lockyn ensimmäiset versiot pyysivät 0,5 Bitcoinia (BTC), mutta sen jälkeen kiristäjät ovat käyneet ahneiksi. Uudessa versiossa summa on jo 3 BTC, mikä päivän kurssilla vastaa 1500 euroa. Harkitsematon toiminta voi siis maksaa tuplasti enemmän kuin uusi tietokone.

Rikolliset ovat tehneet Bitcoin-maksamisen mahdollisimman helpoksi. Toisaalta ohjelma salakirjoittaa myös wallet.dat-tiedoston (jossa uhrin Bitcoinit yleensä sijaitsevat), mikä vaikeuttaa maksamista.

Locky on salakirjoittanut koneen työtiedostot ja korvannut niiden nimet pitkillä numerosarjoilla. Tiedostotyyppinä näkyy .locky. Tässä oli kyseessä kiristysohjelman Zepto -versio ja siksi tyypiksi tuli .zepto.

Joidenkin kiristysohjelmien salaus on murrettavissa, mutta Lockyn tapauksessa on paras kaivaa tiedostot varmuuskopioista. Maksaminen ei ole suotavaa, koska se vain ruokkii uusia yrittäjiä.

Ilmeisesti jokainen uhri saa oman Bitcoin-osoitteen, koska tähän osoitteeseen 1JqXV6icQJm9ZiJJo7cGHMeBod3jB1rYFC ei oltu tehty yhtään transaktiota.

Pari Locky/Zepto -iskua yritykseen maksaa enemmän kuin henkilökunnan kouluttaminen varovaisiksi. Itseopiskelussa kannattaa myös muistaa, miten epäilyttävät tiedostoliitteet avataan turvallisesti.

Lisäys 17.8.2016: Näyttää siltä, että vaikka Locky/Zepto kryptaa myös Dropbox-pilvipalveluun synkronoidun kansion, tiedostojen aiemmat versiot voi palauttaa. Paikallisen levyn shadow-kopiot Locky poistaa, joten niistä ei ole apua. 

Tältä näyttää kiristyshaittaohjelma

Kiristysohjelmat ovat rikollisten suosiossa. Niitä levitetään varsinkin sähköpostien liitetiedostoina. Viestinä on usein saate laskusta tai faksista, joka pitäisi avata Wordillä. Dokumentissa on mukana makroja, jotka lataavat varsinaisen haittaohjelman jostain netin palvelimelta. Sen jälkeen tapahtuu ikäviä: kiristysohjelma salakirjoittaa työtiedostot ja vaatii rahaa (tai Bitcoineja) purkuavaimesta.

Virus sähköpostissa houkuttelee avaamaan liitteen.

Makrovirukset yleistyivät 1990-luvun lopussa, jolloin ne levisivät tehokkaasti sähköpostilla. Sen jälkeen Microsoft kytki oletusarvona makrot pois käytöstä, jolloin tämän tyypin virukset kuolivat ja tekijät siirtyivät uusiin kanaviin, kuten Flash- ja Java-aukkojen hyödyntämiseen.

Nyt makrovirukset ovat palanneet. Koska makroja ei oletusarvona käynnistetä, haittaohjelma käyttää ovelaa kikkaa: se väittää, että dokumentti on suojattu, ja neuvoo kytkemään suojauksen pois päältä dokumentin avaamiseksi.

Epäilyttävää tiedostoliitettä ei kannata koskaan avata suoraan sähköpostista. Turvallisempi tapa on käyttää älypuhelinta tai ladata tiedosto ensin omalle levylle, jonka jälkeen sitä voi katsoa Tiedostonhallinnan esikatselulla.

Makrovirus näyttää esimerkiksi tältä:

Esikatselu näyttää Word-dokumentin alun.

Teksti neuvoo virheettömällä englannilla, aivan kuin ilmoitus tulisi Wordistä:

PROTECTED DOCUMENT
This file is protected by Microsoft Office
Please enable Editing and Content to see this document.

CAN'T VIEW THE DOCUMENT? FOLLOW THE STEPS BELOW.

Viimeinen kohta "Once you have enabled editing, please click "Enable Content" on the yellow bar above" on ratkaiseva: se käynnistää haitallisen makron ja lataa kiristysohjelman. 

Huolestuttavaa on, etteivät virustorjuntaohjelmat näytä juurikaan reagoivan haitallisiin dokumentteihin. Sähköpostiohjelmat estävät exe-ohjelmatiedostojen lähettämisen ja virustorjunta tarkistaa zip-paketit, mutta doc-tiedostot menevät sukkana läpi -- ehkä siksi, että niissä on vain haittaohjelman latausosuus eikä varsinaista haittakoodia.

Virustotal kertoo, että vain muutama torjuntaohjelma reagoi suoraan haitalliseen liitteeseen:

Virustorjunta ei tunnista haitallisia makroja liitetiedostoissa.

Toinen tapa tarkistaa epäilyttävät liitteet on avata ne Google Docsin ilmaisella pilvipalvelulla. Se ei aja Wordin makroja, joten vaaraa vahingossa käynnistämisestä ei ole:

Google Docsin tekstinkäsittely ei aja makroja.

Joskus puutteellisesta yhteensopivuudesta esikuvan kanssa on jotain hyötyäkin!

Lisätään vielä, että Virustotalin käyttämät torjuntaohjelmat käyttävät pelkkiä virustunnisteita, joiden teho on selvästikin riittämätön. Työasemaan asennettuna torjuntaohjelmat luultavasti antaisivat hälytyksen ja estäisivät dokumentin avaamisen. Toimivuutta on mahdoton varmistaa asentamatta kaikkia torjuntaohjelmia, joten virustorjunnan aukottomuus jää tältä osin avoimeksi.

Silti herää kysymys, miksei makroviruksia torjuta jo sähköpostipalvelimella ja tiedostoina? Miksi jättää torjunta avausyritykseen asti? Mahdotonta se ei ole, kuten McAfee osoittaa.

Vielä toinen lisäys 16.3.2016: Windows 10:n mukana tuleva Security Essentials reagoi liitteeseen, kun sen sisältävä viesti avataan Kympin omassa sähköpostiohjelmassa:

Windowsin oma turvaohjelma varoittaa

Kun vaarallinen liite ladattiin Gmailista ja käsiteltiin samassa koneessa tiedostona, mitään varoitusta ei tullut.

Loppuyhteenvetona pitää todeta, että jälleen kerran oma varovaisuus on kaikkein parasta, mutta tietoturvaohjelmat toimivat viimeisenä varokeinona.

Kiristyshuijauksen sivu kaappaa selaimen

Kiristysohjelma eli ransomware lukitsee koneen ja vaatii rahaa, jotta tiedostot saisi taas auki. Huijaus on ilmeisen tuottava, sillä se on levinnyt nopeasti. Suomalaiset alan toimijat ovat tehneet uhkasta erillisen tietosivuston www.ransomware.fi.

Huijausta levitetään näköjään myös web-sivuna, joka lukitsee selaimen. Sivun tekstit ja kuvat ovat hyvin uskottavia, joten peruskäyttäjä saattaa noudattaa ohjeita ja ostaa R-kioskilta 100 eurolla vouchereita, joilla lukituksen saa purettua.

Niin ei tietenkään käy. Huijarit ottavat rahat tyytyväisinä, mutta koneen tila ei muutu mihinkään.

Merkittävää web-sivussa on se, että haittaohjelmasta poiketen tämä huijaus iskee myös Mac- ja Linux-käyttäjiin.

VAROITUS Älä kokeile seuraavaa osoitetta, ellet osaa purkaa selaimen lukitusta. Ainoa keino voi olla koneen buuttaaminen. 

Huijaus on osoitteessa alert.expresspolicestation.net (tarkoituksella ei linkkinä), jonka jälkeen näytölle tulee sivu:

Kuvat ja teksti lisäävät uskottavuutta (IP-osoite peitetty).

Uhria syytetään pornosta ja tekijänoikeuslain rikkomisesta. Viittaukset rikoslakiin on käännetty jonkin toisen maan lainsäädännöstä, Suomessa tällaisia pykäliä ei ole. Suomen kieli ei ole virheetöntä, mutta parempaa kuin huijauksissa yleensä.

Sivun lopussa on vielä lisätietoja ja monen tärkeältä näyttävän organisaation logot:

Sivun lopussa on lisää logoja ja järjestöjen nimiä.

Mutta sitten tulee ikävä yllätys: selainta ei voi sulkea eikä sivulta pääse pois. Jokainen yritys navigoida toiseen osoitteeseen tuottaa varoituksen:

Selain on tosiaan kaapattu... vai onko?

Huijari on kikkaillut Javascriptillä niin taitavasti, että selain näyttää tosiaan olevan lukossa. Edes Chromen prosessin tappaminen Task Lististä ei auttanut.

Todennäköisesti jokaisessa selaimessa on kikka, jolla tästä pääsee ohi. Chromessa se on yksinkertainen: pitää painaa välilyöntiä eikä sulkea varoitusikkunaa hiirellä. Kirjoitetaan siis uusi osoite ja varoitusikkunan ilmestyessä painetaan välilyöntiä, jolloin selain siirtyy uuteen osoitteeseen.

Internet Explorer 11 näyttää aluksi helpolta tapaukselta, sillä se antaa käyttäjälle vaihtoehdon:

IE11 antaa vaihtoehdon, joka ei kuitenkaan toimi.

Sivulta ei kuitenkaan pääse pois, vaikka valitsisi Leave this page -vaihtoehdon. IE-käyttäjien on suljettava selain Task Lististä (Tehtävälista) (eikä sitten saa painaa Restore session, kun selain käynnistyy uudestaan!) tai kokeiltava kikkaa, jossa kirjoitetaan uusi osoite, valitaan Stay on this page ja painetaan selaimen edellinen sivu -painiketta.

NSA-paljastuksen aikakaudella tuntuu raivostuttavalta, ettei tällaisiin kiristyksiin ja huijauksiin puututa. Olisi helppoa seurata rahavirtoja ja tämän domainin omistajatietoja tekijöiden jäljittämiseksi. Sen sijaan NSA sulkee silmänsä rikollisilta ja keskittyy urkintaan.

Me tavalliset käyttäjät saamme kärsiä. Jos kerran urkitaan, eikö tuloksia voisi käyttää meidän kaikkien hyödyksi?