<div dir="ltr"><div class="gmail_default" style="font-family:"comic sans ms",sans-serif">Hi Andreas,</div><div class="gmail_default" style="font-family:"comic sans ms",sans-serif"><br></div><div class="gmail_default" style="font-family:"comic sans ms",sans-serif">Thanks very much for your input,  true the backup should be on separate physical device and disconnected from the network.</div><div class="gmail_default" style="font-family:"comic sans ms",sans-serif"><br></div><div class="gmail_default" style="font-family:"comic sans ms",sans-serif">Are you aware of way to restore the encrypted files? the one i came across was encrypted with .thor extensions.</div><div class="gmail_default" style="font-family:"comic sans ms",sans-serif"><br></div><div class="gmail_default" style="font-family:"comic sans ms",sans-serif"><br></div><div class="gmail_default" style="font-family:"comic sans ms",sans-serif">Kind regards.</div></div><div class="gmail_extra"><br><div class="gmail_quote">On Thu, Nov 10, 2016 at 12:53 PM, Andreas Tauscher <span dir="ltr"><<a href="mailto:ta@geuka.net" target="_blank">ta@geuka.net</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">On 10.11.2016 07:29, James Julius via Linux wrote:<br>
> Hi Haward,<br>
><br>
> The threats is not on Linux machines but on Windows machines, as<br>
> most of us in one way or another we are supporting someone  with<br>
> Windows machine, i think we should be aware of this.<br>
<br>
</span>This so not correct. TeslaCrypt targets Wordpress and Joomla.<br>
<span class=""><br>
> According to my research it seems there is not way to recover the<br>
> encrypted files or decrypt it without paying the attacker for<br>
> decryption keys which also there is not guarantee they will give you<br>
> the key, the best way is to use the offline backup taken before the<br>
> virus hit, as the<br>
<br>
</span>Offline backup? A "backup" on the physical same machine or even more<br>
worse on the same physical drive is a copy but not a backup.<br>
<span class=""><br>
> very bad this is when the virus hit one machine it scans all the<br>
> connected drives which means it can affect server also, and this<br>
> means it can affect all machines connected to that server.<br>
<br>
</span>A system of access rights is needed.<br>
No user must have administrative rights.<br>
A user has access only where he needs it. And write access really only<br>
where needed.<br>
No relevant files are saved on a workstation or only as a shadow copy.<br>
A corporate network is split in to subnets e.g. per department and this<br>
maybe also again into subnetworks.<br>
Frequently backups.<br>
The backup system is best not running on the computer backed up. It is<br>
an independent system.<br>
A revision control system is an advantage also. If ransom software<br>
encrypted your documents you still have the last unencrypted revision.<br>
Really critical systems holding sensitive or important documents don't<br>
have a direct internet or even LAN connection at all and files and email<br>
is opened over a remote desktop solution and transferred through a proxy<br>
system.<br>
<span class=""><br>
> It is very bad threat when you came across it, i think we should be<br>
> aware.<br>
<br>
</span>The infection way No. 1 are e-mail attachments.<br>
To see if a mail suspicious needs training.<br>
Most of this mails you really see already on the first view. If you know<br>
what to look for.<br>
Often mails are coming from sender addresses you know.<br>
<br>
To prevent that your company mail domain is abused to spread ransomware<br>
a few things are very helpful to prevent this mostly:<br>
DKIM/DMARC with a strict reject policy if DKIM fails.<br>
PGP and S/MIME signatures.<br>
A strict policy how corporate email is used and how a corporate mail has<br>
to look like.<br>
Instead this nonsense disclaimer in the footer about confidential<br>
content and blabla better put there a link to page on your website where<br>
you explain how an authentic mail from you looks like and how it can be<br>
verified. If you mail is confidential then send it encrypted.<br>
For example invoices etc. coming always from the same sender address and<br>
make your clients aware about this.<br>
<span class="HOEnZb"><font color="#888888"><br>
Andreas<br>
<br>
</font></span></blockquote></div><br><br clear="all"><div><br></div>-- <br><div class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div><div dir="ltr"><div dir="ltr"><div><br></div><div><font face="comic sans ms, sans-serif">James Julius</font></div><div><font face="comic sans ms, sans-serif">Noc/Servers Department</font></div><div><font face="comic sans ms, sans-serif">Habari Node Ltd</font></div><div><a href="http://www.habari.co.tz" style="font-family:'comic sans ms',sans-serif" target="_blank">www.habari.co.tz</a><br></div><div><br></div><div><br></div><div><br></div><br></div></div></div></div></div>
</div>