Iako najveći dio štete koju uzrokuje ransomware nastaje u nasumičnim napadima bez određene mete, uz pomoć softvera kao što su Locky i GlobaImposter, sve su češći razorni ciljani napadi nalik snajperskim.
U ciljanom napadu kriminalci odabiru ranjivu organizaciju i prilagođavaju svoj pristup tako da prouzrokuju što veću štetu i poremećaje u radu. Na taj način jačaju svoju poziciju pri iznuđivanju visokih otkupnina.
Popularan alat među hakerima koji djeluju na ovaj način jeste ransomware SamSam, poznat i kao Samas.
Napadi ransomwareom SamSam relativno su rijetki i čini se da su uglavnom usmjereni na zdravstvo, državne institucije i obrazovanje. Nijedna dva napada nisu ista, iako imaju zajedničke elemente. Konfiguracija softvera SamSam i zahtjevi za otkupninu razlikuju se od žrtve do žrtve, a tražene otkupnine dosežu i do 60.000 američkih dolara.
Na Bitcoin adrese povezane sa SamSamom ove su godine uplaćene otkupnine u ukupnom iznosu većem od milion američkih dolara.
Zbog prirode ovih napada precizni detalji rijetko su dostupni. SophosLabs je istražio najnovije napade i otkrio nove informacije o tome kako se ovaj ransomware razvijao posljednjih mjeseci. Za više detalja pročitajte naš stručni izvještaj Samsam ransomware pažljivo bira svoje mete.
Zaštitite svoje preduzeće!
Iako se pristup hakera razlikuje od mete do mete i prilagođava iskorištavanju njenih specifičnih slabosti, postoje zajednički aspekti kojima treba posvetiti posebnu pažnju.
1. Zatvorite sva vrata
SamSam napadi često počinju tako što napadači iskorištavaju slabe lozinke na RDP računima.
Ako vam RDP nije potreban, onemogućite ga.
Pobrinite se da korisnici imaju jake lozinke.
Omogućite dvofaktorsku autentifikaciju (2FA) gdje god je to moguće.
Dozvolite RDP veze samo s ovlaštenih računara.
Postavite pravila zaključavanja računa kako biste ograničili broj pokušaja unosa lozinke.
2. Otklonite sve ranjivosti
Također se pretpostavlja da su napadači koji koriste SamSam pristupali mrežama svojih meta iskorištavanjem ranjivosti u deserijalizaciji u Javi i JBoss sistema bez instaliranih sigurnosnih zakrpa, koristeći sigurnosne propuste kao što su CVE-2010-0738, CVE-2012-0874 i CVE-2010-1428.
Naravno, razumno je pretpostaviti da će hakeri koji koriste SamSam iskoristiti svaku javno dostupnu ranjivost koja im odgovara, pa ova lista nije konačna – i dalje vrijedi uobičajeni savjet da redovno ažurirate sisteme.
3. Održavajte red i čistoću
Ako napadač dobije pristup vašoj mreži, zaustavljanje napada rijetko se svodi na jednostavno otkrivanje jedne očigledno zlonamjerne datoteke. Mnogi alati koji se koriste u napadima SamSam odabrani su upravo zato što je riječ o legitimnom softveru koji se već nalazi u vašoj mreži, kao što su PsExec, Powershell, WScript ili CScript.
Ako ste već korisnik Sophosa, možete koristiti Application Control da podesite pristup legitimnim aplikacijama u svojoj organizaciji. Tako, naprimjer, možete osigurati da administratori kojima je potreban Powershell imaju pristup tom alatu, a obični korisnici ne.
SamSam se koristio u kombinaciji s alatom PsExec radi lakšeg širenja unutar mreža. Naši proizvodi prema zadanim postavkama prepoznaju i blokiraju PsExec kao potencijalno neželjenu aplikaciju (PUA).
Administratori trebaju provjeriti je li uključeno skeniranje potencijalno neželjenih aplikacija (PUA) i je li PsExec izostavljen s liste dozvoljenih aplikacija. Ako morate koristiti PsExec, možete ga odobriti samo korisnicima kojima je potreban i ukinuti to odobrenje čim završite.
4. Nabavite dobrog psa čuvara (ili dva)
Svaki sigurnosni sloj koji imate namijenjen je drugačijoj vrsti prijetnje, a strategija dubinske odbrane koja koristi više slojeva zaštite koji se međusobno preklapaju i dalje je najbolji pristup.
Sophos Endpoint i Server blokiraju aktuelne verzije SamSama kao Troj / Samas-F, Troj / RansRun-A i Mal / Kryptik-BV.
Korisnici rješenja Intercept X ili Exploit Prevention zaštićeni su od SamSama našom zaštitom od ransomwarea CryptoGuard.
Korisnici s licencama za Central Server Advancedmogu koristiti Server Lockdown (listu dozvoljenih aplikacija) kako bi zaštitili svoje servere od neovlaštenih izmjena.
Korisnici koji koriste Sophos Central u kombinaciji s proizvodom XG Firewall mogu koristiti funkciju Security Heartbeat ™, koja vašim krajnjim tačkama omogućava komunikaciju s vašim zaštitnim zidom i kreiranje pravila koja automatski izoliraju računar kada se prijavi otkrivena prijetnja.