مع أن معظم الأضرار الناجمة عن برمجيات الفدية تنتج عن هجمات عشوائية غير موجّهة تستخدم برمجيات مثل Locky وGlobaImposter، فإن الهجمات الموجّهة المدمّرة التي تتسم بدقة القنّاص آخذة في الازدياد.
في الهجوم الموجه، يختار المجرمون منظمة قابلة للاختراق ويصممون أسلوبهم بحيث يحدثون أقصى قدر من الضرر والتعطيل. وبهذه الطريقة يتمكن المحتالون من تعزيز أهميتهم بينما يبتزون فديات ضخمة.
تُعدّ برمجية الفدية SamSam، المعروفة أيضًا باسم Samas، من الأدوات الشائعة لدى المخترقين الذين يعملون بهذه الطريقة.
هجمات SamSam نادرة نسبيًا، ويبدو أنها تتركّز على قطاعات الصحة والحكومة والتعليم. ولا يتطابق أي هجومين، رغم وجود عناصر مشتركة بينهما. وتختلف إعدادات برمجية SamSam ومطالب الفدية من ضحية إلى أخرى، وقد تصل مبالغ الفدية المطلوبة إلى 60,000 دولار أمريكي.
تلقت عناوين البيتكوين المرتبطة ببرنامج SamSam هذا العام مدفوعات فدية تجاوزت قيمتها مليون دولار أمريكي.
نظرًا لطبيعة هذه الهجمات، نادرًا ما تتوافر تفاصيل دقيقة عنها. وقد درست SophosLabs الهجمات الأخيرة، وكشفت عن معلومات جديدة حول تطوّر برمجية الفدية خلال الأشهر الماضية. ولمزيد من التفاصيل، يُرجى الاطلاع على ورقتنا البيضاء الورقة البيضاء بعنوان "برنامج الفدية Samsam يختار أهدافه بعناية".
احمِ شركتك!
رغم اختلاف أساليب المخترقين من هدف إلى آخر لاستغلال نقاط الضعف الخاصة بكل هدف، فإن هناك جوانب مشتركة تستدعي اهتمامًا خاصًا.
1. أغلق جميع الأبواب
غالبًا ما تبدأ هجمات SamSam باستغلال المهاجمين لكلمات مرور ضعيفة في حسابات RDP.
إذا لم تكن بحاجة إلى RDP، فعطّله.
تأكد من أن لدى المستخدمين كلمات مرور قوية.
فعّل المصادقة الثنائية (2FA) حيثما أمكن.
لا تسمح باتصالات RDP إلا من أجهزة الكمبيوتر المصرّح لها.
ضع سياسة لقفل الحسابات للحد من عدد محاولات إدخال كلمات المرور.
2. سدّ جميع الثغرات الأمنية
يُعتقد أيضًا أن مهاجمي SamSam تمكّنوا من الوصول إلى شبكات الجهات المستهدفة عبر استغلال ثغرات إلغاء التسلسل في Java وأنظمة JBoss التي لم تُثبَّت عليها التصحيحات الأمنية، مستفيدين من ثغرات مثل CVE-2010-0738 وCVE-2012-0874 وCVE-2010-1428.
بالطبع من المنطقي افتراض أن قراصنة SamSam يستغلون أي ثغرة أمنية متاحة للعموم تخدم أغراضهم، لذا فإن هذه ليست قائمة حصرية - وتظل النصيحة المعتادة بمواكبة آخر التحديثات سارية.
3. حافظوا على الأمور نظيفة ومرتبة
إذا تمكّن مهاجم من الوصول إلى شبكتكم، فنادرًا ما يقتصر صدّ الهجوم على مهمة بسيطة تتمثل في اكتشاف ملف واحد واضح الضرر. فكثير من الأدوات المستخدمة في هجمات SamSam تُستخدم تحديدًا لأنها برامج مشروعة موجودة بالفعل في شبكتكم، مثل PsExec أو Powershell أو WScript أو CScript.
إذا كنتم من عملاء Sophos بالفعل، فيمكنكم استخدام Application Control لضبط صلاحيات الوصول إلى التطبيقات المشروعة في مؤسستكم. فيمكنكم، على سبيل المثال، ضمان إتاحة Powershell للمسؤولين الذين يحتاجون إليه، دون المستخدمين العاديين.
استُخدم SamSam مع PsExec للمساعدة في الانتشار عبر الشبكات. بشكل افتراضي، تكتشف منتجاتنا PsExec وتحظرها باعتبارها تطبيقًا غير مرغوب فيه محتملًا (PUA).
ينبغي للمسؤولين التأكد من تفعيل فحص التطبيقات التي قد تكون غير مرغوب فيها (PUA)، ومن عدم إضافة PsExec إلى قائمة التطبيقات المسموح بها. وإذا كنتم بحاجة إلى استخدام PsExec، فيمكنكم السماح باستخدامه للمستخدمين الذين يحتاجون إليه فقط، ثم إلغاء هذا الإذن فور الانتهاء.
4. استعينوا بكلب حراسة جيد (أو اثنين)
صُممت كل طبقة من طبقات الأمان لديكم للتصدي لنوع مختلف من التهديدات، وتظل استراتيجية الدفاع متعدد الطبقات، التي تعتمد على عدة طبقات حماية متداخلة، النهج الأفضل.
Sophos Endpoint و Server يحظر الإصدارات الحالية من SamSam باعتبارها Troj/Samas-F وTroj/RansRun-A وMal/Kryptik-BV.
العملاء الذين يستخدمون Intercept X أو Exploit Prevention محميون من SamSam بفضل حماية CryptoGuard المضادة لبرامج الفدية.
بالنسبة إلى العملاء الذين لديهم تراخيص Central Server Advanced، يمكن استخدام ميزة Server Lockdown (القائمة البيضاء) لحماية خوادمكم من التغييرات غير المصرح بها.
العملاء الذين يستخدمون Sophos Central بالتزامن مع XG Firewall يمكنهم استخدام ميزة ™Security Heartbeat التي تتيح لنقاط النهاية لديكم التواصل مع جدار الحماية الخاص بكم وإنشاء سياسات تعزل الجهاز تلقائيًا عند الإبلاغ عن اكتشاف تهديد.