Хоць большая частка шкоды ад праграм-вымагальнікаў прыпадае на нямэтавыя атакі без разбору з выкарыстаннем такіх праграм, як Locky і GlobaImposter, разбуральныя мэтавыя атакі са снайперскай дакладнасцю становяцца ўсё больш распаўсюджанымі.
Пры мэтавай атацы зламыснікі выбіраюць уразлівую арганізацыю і выбудоўваюць свае дзеянні так, каб нанесці максімальную шкоду і як мага мацней парушыць яе працу. Такім чынам яны ўзмацняюць свой уплыў на ахвяру і вымагаюць вялікія сумы выкупу.
Адзін з папулярных інструментаў хакераў, якія дзейнічаюць такім чынам, — праграма-вымагальнік SamSam, таксама вядомая як Samas.
Атакі з выкарыстаннем SamSam здараюцца адносна рэдка і, відаць, накіраваны пераважна на ўстановы аховы здароўя, дзяржаўныя органы і адукацыйныя ўстановы. Няма дзвюх аднолькавых атак, хоць у іх і ёсць агульныя рысы. Канфігурацыя SamSam і патрабаванні выкупу адрозніваюцца ў залежнасці ад ахвяры, а сума выкупу можа дасягаць 60 000 долараў ЗША.
Сёлета на адрасы Bitcoin, звязаныя з SamSam, паступілі плацяжы выкупу на агульную суму больш за 1 мільён долараў ЗША.
Праз спецыфіку гэтых атак падрабязныя звесткі пра іх з’яўляюцца рэдка. SophosLabs даследавала апошнія атакі і выявіла новыя звесткі пра тое, як праграма-вымагальнік развівалася ў апошнія месяцы. Каб даведацца больш, прачытайце наш аналітычны даклад «Праграма-вымагальнік Samsam старанна выбірае свае мэты».
Абараніце сваю кампанію!
Хоць хакеры змяняюць свой падыход у залежнасці ад мэты і выкарыстоўваюць уласцівыя ёй уразлівасці, ёсць агульныя моманты, якім варта надаць асаблівую ўвагу.
1. Зачыніце ўсе дзверы
Атакі SamSam часта пачынаюцца з таго, што зламыснікі выкарыстоўваюць слабыя паролі ўліковых запісаў RDP.
Калі вам не патрэбны RDP, адключыце яго.
Пераканайцеся, што карыстальнікі маюць надзейныя паролі.
Уключыце двухфактарную аўтэнтыфікацыю (2FA) усюды, дзе гэта магчыма.
Дазваляйце RDP-злучэнні толькі з аўтарызаваных камп’ютараў.
Наладзьце палітыку блакіроўкі, каб абмежаваць колькасць спроб уводу пароля.
2. Ліквідуйце ўсе ўразлівасці
Таксама мяркуецца, што зламыснікі, якія стаяць за SamSam, атрымлівалі доступ да сетак сваіх ахвяр праз уразлівасці дэсерыялізацыі Java і сістэмы JBoss без усталяваных выпраўленняў, выкарыстоўваючы такія ўразлівасці, як CVE-2010-0738, CVE-2012-0874 і CVE-2010-1428.
Вядома, варта меркаваць, што хакеры, якія стаяць за SamSam, скарыстаюцца любой агульнадаступнай уразлівасцю, якая адпавядае іх мэтам. Таму гэты спіс не вычарпальны, і звычайная парада своечасова ўсталёўваць абнаўленні застаецца актуальнай.
3. Падтрымлівайце чысціню і парадак
Калі зламыснік атрымлівае доступ да вашай сеткі, для спынення атакі рэдка бывае дастаткова выявіць адзін відавочна шкоднасны файл. Многія інструменты, якія выкарыстоўваюцца ў атаках SamSam, выбіраюцца менавіта таму, што гэта легітымнае праграмнае забеспячэнне, якое ўжо ёсць у вашай сетцы, напрыклад PsExec, Powershell, WScript або CScript.
Калі вы ўжо кліент Sophos, вы можаце выкарыстоўваць Application Control, каб наладзіць доступ да легітымных праграм у вашай арганізацыі. Напрыклад, можна зрабіць так, каб адміністратары, якім патрэбны Powershell, мелі да яго доступ, а звычайныя карыстальнікі — не.
Для распаўсюджвання SamSam у сетках выкарыстоўваўся PsExec. Паводле змаўчання нашы прадукты выяўляюць і блакуюць PsExec як патэнцыйна непажаданую праграму (PUA).
Адміністратарам варта пераканацца, што праверка на наяўнасць патэнцыйна непажаданых праграм (PUA) уключана і што PsExec не дададзены ў спіс дазволеных праграм. Калі вам неабходна выкарыстоўваць PsExec, вы можаце дазволіць яго толькі тым карыстальнікам, якім ён патрэбны, і адклікаць гэты дазвол адразу пасля завяршэння працы.
4. Завядзіце добрага вартавога сабаку (або двух)
Кожны ўзровень вашай сістэмы бяспекі разлічаны на пэўны тып пагроз, таму стратэгія глыбока эшаланаванай абароны з некалькімі ўзроўнямі, якія перакрываюць адзін аднаго, па-ранейшаму застаецца найлепшым падыходам.
Sophos Endpoint і Server блакуюць актуальныя версіі SamSam як Troj / Samas-F, Troj / RansRun-A і Mal / Kryptik-BV.
Кліенты, якія выкарыстоўваюць Intercept X або Exploit Prevention, абаронены ад SamSam дзякуючы нашай тэхналогіі абароны ад праграм-вымагальнікаў CryptoGuard.
Кліенты з ліцэнзіямі Central Server Advancedмогуць выкарыстоўваць Server Lockdown (кантроль паводле спіса дазволаў), каб абараніць свае серверы ад несанкцыянаваных змен.
Кліенты, якія выкарыстоўваюць Sophos Central у спалучэнні з XG Firewall , могуць скарыстацца функцыяй Security Heartbeat ™, якая дазваляе канцавым прыладам абменьвацца данымі з міжсеткавым экранам, а таксама ствараць палітыкі, якія аўтаматычна ізалююць камп’ютар пры атрыманні паведамлення аб выяўленні пагрозы.