Fidyə proqramlarının vurduğu zərərin böyük hissəsi Locky və GlobaImposter kimi proqramlardan istifadə etməklə həyata keçirilən hədəfsiz, təsadüfi hücumların payına düşsə də, snayper dəqiqliyi ilə həyata keçirilən dağıdıcı hədəfli hücumlar getdikcə artır.
Məqsədyönlü hücum zamanı fırıldaqçılar zəif bir təşkilat seçir və yanaşmalarını elə qururlar ki, maksimum zərər və sıradan çıxma yaransın. Bu yolla fırıldaqçılar yüksək fidyələr tələb edərkən öz nüfuzlarını da artıra bilirlər.
Bu üsulla işləyən hakerlərin geniş istifadə etdiyi alətlərdən biri də Samas adı ilə tanınan SamSam fidyə proqramıdır.
SamSam hücumları nisbətən nadir hallarda baş verir və görünür, əsasən səhiyyə, dövlət idarəçiliyi və təhsil sektorlarını hədəf alır. Ortaq cəhətləri olsa da, heç bir iki hücum tam eyni deyil. SamSam proqramının konfiqurasiyası və tələb olunan fidyə məbləği hər qurbana görə dəyişir və bu məbləğ 60.000 ABŞ dollarına qədər çata bilir.
SamSam ilə əlaqəli Bitcoin ünvanlarına bu il fidyə ödənişləri şəklində 1 milyon ABŞ dollarından çox vəsait daxil olub.
Hücumların xarakterinə görə dəqiq məlumatlar nadir hallarda mövcud olur. SophosLabs son hücumları araşdıraraq fidyə proqramının son aylarda necə inkişaf etdiyinə dair yeni məlumatlar aşkar etmişdir. Ətraflı məlumat üçün zəhmət olmasa bizim Analitik hesabat: Samsam fidyə proqramı hədəflərini diqqətlə seçir.
Şirkətinizi qoruyun!
Hakerlərin yanaşması hər hədəfə görə dəyişsə və həmin hədəfin konkret zəifliklərindən istifadə etsə də, xüsusi diqqət yetirilməli olan ümumi məqamlar var.
1. Bütün qapıları bağlayın
SamSam hücumları çox vaxt hücumçuların RDP hesablarındakı zəif parollardan yararlanması ilə başlayır.
RDP-yə ehtiyacınız yoxdursa, onu deaktiv edin.
İstifadəçilərin güclü parollardan istifadə etdiyinə əmin olun.
Mümkün olan hər yerdə ikifaktorlu autentifikasiyanı (2FA) aktivləşdirin.
Yalnız icazəli kompüterlərdən gələn RDP bağlantılarını qəbul edin.
Parol daxil etmə cəhdlərinin sayını məhdudlaşdırmaq üçün hesabların kilidlənməsi siyasətini müəyyən edin.
2. Bütün təhlükəsizlik boşluqlarını aradan qaldırın
Həmçinin hesab olunur ki, SamSam hücumçuları Java deserializasiyasındakı zəifliklərdən və təhlükəsizlik yamaları tətbiq edilməmiş JBoss sistemlərindəki CVE-2010-0738, CVE-2012-0874 və CVE-2010-1428 kimi boşluqlardan yararlanaraq hədəflərinin şəbəkələrinə giriş əldə ediblər.
Əlbəttə ki, SamSam hakerlərinin öz məqsədlərinə xidmət edən hər hansı ictimaiyyətə açıq zəiflikdən istifadə etdiyini güman etmək məntiqlidir, buna görə bu, tam siyahı deyil - həmişəki məsləhət, yəni yeniliklərdən xəbərdar olmaq, burada da keçərlidir.
3. Hər şeyi təmiz və nizamlı saxlayın
Hücumçu şəbəkənizə giriş əldə etdikdə, onun girişini kəsmək nadir hallarda tək bir aşkar zərərli faylı müəyyən etmək qədər sadə olur. SamSam hücumlarında istifadə olunan alətlərin çoxu məhz şəbəkənizdə artıq mövcud olan qanuni proqram təminatı olduğu üçün seçilir. Bunlara, məsələn, PsExec, Powershell, WScript və ya CScript daxildir.
Əgər siz artıq Sophos müştərisisinizsə, təşkilatınızın qanuni tətbiqlərə girişini konfiqurasiya etmək üçün Application Control-dan istifadə edə bilərsiniz. Məsələn, bu yolla Powershell-ə ehtiyacı olan administratorların ona girişi olmasını, adi istifadəçilərin isə olmamasını təmin edə bilərsiniz.
SamSam-ın şəbəkələrdə yayılmasını asanlaşdırmaq üçün PsExec-dən istifadə olunub. Standart olaraq, məhsullarımız PsExec-i potensial arzuolunmaz tətbiq (PUA) kimi aşkarlayır və bloklayır.
Administratorlar PUA yoxlamasının aktiv olduğundan və PsExec-in icazə verilmiş siyahıya əlavə edilmədiyindən əmin olmalıdırlar. Əgər PsExec istifadə etməyə ehtiyacınız varsa, onu yalnız buna ehtiyacı olan istifadəçilər üçün icazələndirə bilərsiniz və işiniz bitdikdən sonra bu icazəni ləğv edə bilərsiniz.
4. Özünüzə yaxşı bir gözətçi iti (və ya ikisini) tapın
Sahib olduğunuz hər bir təhlükəsizlik qatı fərqli bir təhdid növü üçün nəzərdə tutulub və bir neçə üst-üstə düşən qoruma qatından istifadə edən çoxqatlı müdafiə strategiyası hələ də ən yaxşı yanaşmadır.
Sophos Endpoint və Server SamSam-ın cari versiyalarını Troj / Samas-F, Troj / RansRun-A və Mal / Kryptik-BV kimi bloklayır.
Müştərilər Intercept X və ya Exploit Prevention istifadə etdikdə, fidyə proqramlarına qarşı CryptoGuard müdafiəmiz sayəsində SamSam-dan qorunurlar.
Müştərilərin Central Server Advancedlisenziyaları varsa, serverlərini icazəsiz dəyişikliklərdən qorumaq üçün Server Lockdown (icazə verilənlər siyahısı) funksiyasından istifadə edə bilərlər.
Sophos Central ilə yanaşı XG Firewall istifadə edən müştərilər Security Heartbeat ™ funksiyasından yararlana bilərlər. Bu funksiya son nöqtələrinizin təhlükəsizlik divarınızla əlaqə saxlamasına və təhlükə aşkarlandığı barədə bildiriş gəldikdə kompüteri avtomatik təcrid edən siyasətlər yaratmağa imkan verir.