Tot i que la major part dels danys causats pel programari de segrest es produeixen en atacs indiscriminats i sense un objectiu concret amb eines com Locky i GlobaImposter, cada cop són més freqüents els atacs dirigits, devastadors i amb la precisió d’un franctirador.
En un atac dirigit, els delinqüents trien una organització vulnerable i adapten la seva estratègia per causar el màxim de danys i interrupcions. D’aquesta manera, augmenten la seva capacitat de pressió per exigir rescats elevats.
Una de les eines preferides dels atacants que actuen d’aquesta manera és SamSam Ransomware, també conegut com a Samas.
Els atacs de SamSam són relativament poc freqüents i sembla que se centren en els sectors sanitari, governamental i educatiu. No hi ha dos atacs iguals, tot i que comparteixen alguns elements. La configuració del programari SamSam i els rescats exigits varien d’una víctima a una altra, i els imports poden arribar als 60.000 dòlars nord-americans.
Les adreces de Bitcoin vinculades a SamSam han rebut aquest any més d’un milió de dòlars nord-americans en pagaments de rescats.
Per la naturalesa d’aquests atacs, se’n coneixen pocs detalls precisos. SophosLabs ha investigat els atacs més recents i ha descobert informació nova sobre com ha evolucionat aquest programari de segrest durant els darrers mesos. Per a més informació, consulteu el nostre informe tècnic «Samsam Ransomware tria els seus objectius amb cura».
Protegiu la vostra empresa!
Tot i que els atacants adapten la seva estratègia a cada objectiu per aprofitar-ne les vulnerabilitats específiques, hi ha aspectes comuns als quals cal prestar una atenció especial.
1. Tanqueu totes les portes
Els atacs de SamSam sovint comencen quan els atacants aprofiten les contrasenyes febles dels comptes RDP.
Si no necessiteu RDP, desactiveu-lo.
Assegureu-vos que els usuaris tinguin contrasenyes robustes.
Activeu l'autenticació de dos factors (2FA) sempre que sigui possible.
Accepteu només connexions RDP d'ordinadors autoritzats.
Establiu una política de bloqueig per limitar el nombre d'intents d'introducció de contrasenyes.
2. Corregiu totes les vulnerabilitats
També es creu que els atacants de SamSam han aconseguit accedir a les xarxes de les víctimes aprofitant vulnerabilitats de deserialització de Java i sistemes JBoss sense pedaços de seguretat, mitjançant l'explotació de vulnerabilitats com ara CVE-2010-0738, CVE-2012-0874 i CVE-2010-1428.
Naturalment, és raonable suposar que els atacants de SamSam aprofitaran qualsevol vulnerabilitat accessible públicament que els sigui útil. Per tant, aquesta llista no és exhaustiva i continua sent vàlid el consell habitual de mantenir els sistemes actualitzats.
3. Manteniu-ho tot net i endreçat
Si un atacant aconsegueix accedir a la vostra xarxa, aturar l’atac poques vegades és tan senzill com identificar un únic fitxer clarament maliciós. Moltes de les eines utilitzades en els atacs de SamSam es fan servir precisament perquè són programes legítims que ja es troben a la vostra xarxa, com ara PsExec, Powershell, WScript o CScript.
Si ja sou clients de Sophos, podeu utilitzar Application Control per configurar l’accés de la vostra organització a les aplicacions legítimes. Així, per exemple, podeu garantir que els administradors que necessiten Powershell hi tinguin accés, però que els usuaris normals no.
SamSam s’ha utilitzat conjuntament amb PsExec per facilitar-ne la propagació per les xarxes. Per defecte, els nostres productes detecten i bloquegen PsExec com a aplicació potencialment no desitjada (PUA).
Els administradors s’han d’assegurar que la detecció d’aplicacions potencialment no desitjades (PUA) estigui activada i que PsExec no s’hagi afegit a la llista d’aplicacions autoritzades. Si necessiteu utilitzar PsExec, podeu autoritzar-ne l’ús només als usuaris que el necessitin i revocar aquesta autorització tan bon punt hàgiu acabat.
4. Aconseguiu un bon gos guardià (o dos)
Cada capa de seguretat de què disposeu està dissenyada per fer front a un tipus d’amenaça diferent, i una estratègia de defensa en profunditat que utilitzi diverses capes de protecció superposades continua sent la millor opció.
Sophos Endpoint i Server bloquegen les versions actuals de SamSam com a Troj / Samas-F, Troj / RansRun-A i Mal / Kryptik-BV.
Els clients amb Intercept X o Exploit Prevention estan protegits contra SamSam gràcies a la nostra protecció contra el programari de segrest CryptoGuard.
Els clients amb llicències de Central Server Advancedpoden utilitzar Server Lockdown (llistes d’aplicacions permeses) per protegir els seus servidors contra canvis no autoritzats.
Els clients que utilitzen Sophos Central en combinació amb el XG Firewall poden utilitzar la funció Security Heartbeat ™, que permet als seus equips finals comunicar-se amb el tallafoc i crear polítiques que aïllin automàticament un equip quan es notifica una detecció.