Přestože většina škod způsobených ransomwarem vzniká při necílených plošných útocích pomocí softwaru, jako jsou Locky a GlobaImposter, stále častější jsou i ničivé cílené útoky vedené s přesností odstřelovače.
Při cíleném útoku si zločinci vyberou zranitelnou organizaci a přizpůsobí svůj postup tak, aby způsobili co největší škody a narušení provozu. Tímto způsobem mohou posilovat svůj vliv a zároveň vymáhat vysoké výkupné.
Oblíbeným nástrojem hackerů, kteří takto postupují, je ransomware SamSam, známý také jako Samas.
Útoky ransomwaru SamSam jsou poměrně vzácné a podle všeho se zaměřují na zdravotnictví, státní správu a školství. Žádné dva útoky nejsou stejné, i když mají některé společné rysy. Konfigurace ransomwaru SamSam i požadavky na výkupné se u jednotlivých obětí liší, přičemž požadované částky dosahují až 60 000 amerických dolarů.
Na bitcoinové adresy spojené s ransomwarem SamSam letos dorazily platby výkupného v celkové výši přes 1 milion amerických dolarů.
Vzhledem k povaze těchto útoků je podrobných informací málo. SophosLabs prozkoumala nedávné útoky a získala nové poznatky o tom, jak se tento ransomware v posledních měsících vyvíjel. Další podrobnosti najdete v naší odborné studii Ransomware Samsam si své cíle pečlivě vybírá.
Chraňte svou firmu!
Přestože hackeři přizpůsobují svůj postup jednotlivým cílům a využívají jejich konkrétní slabiny, některé oblasti jsou společné všem útokům a zaslouží si zvláštní pozornost.
1. Zavřete všechny dveře
Útoky ransomwaru SamSam často začínají tím, že útočníci zneužijí slabá hesla účtů pro přístup přes RDP.
Pokud RDP nepotřebujete, zakažte jej.
Zajistěte, aby uživatelé používali silná hesla.
Všude, kde je to možné, zapněte dvoufaktorové ověřování (2FA).
Povolte připojení přes RDP pouze z autorizovaných počítačů.
Nastavte zásady uzamykání účtů, které omezí počet pokusů o zadání hesla.
2. Odstraňte všechny zranitelnosti
Předpokládá se také, že útočníci využívající SamSam získali přístup do sítí svých obětí zneužitím zranitelností při deserializaci v Javě a neopravených systémů JBoss, konkrétně bezpečnostních chyb jako CVE-2010-0738, CVE-2012-0874 a CVE-2010-1428.
Je samozřejmě rozumné předpokládat, že hackeři využívající SamSam zneužijí jakoukoli veřejně dostupnou zranitelnost, která poslouží jejich účelům. Tento výčet tedy není úplný a platí obvyklá rada: udržujte své systémy aktuální.
3. Udržujte pořádek
Pokud útočník získá přístup do vaší sítě, k jeho zastavení málokdy stačí odhalit jediný zjevně škodlivý soubor. Mnoho nástrojů používaných při útocích SamSam si útočníci vybírají právě proto, že jde o legitimní software, který se již ve vaší síti nachází, například PsExec, Powershell, WScript nebo CScript.
Pokud již jste zákazníkem společnosti Sophos, můžete pomocí funkce Application Control nastavit přístup k legitimním aplikacím ve vaší organizaci. Můžete tak například zajistit, aby k Powershell měli přístup správci, kteří jej potřebují, ale běžní uživatelé nikoli.
Při útocích SamSam byl k usnadnění šíření v sítích používán nástroj PsExec. Naše produkty ve výchozím nastavení detekují a blokují PsExec jako potenciálně nežádoucí aplikaci (PUA).
Správci by měli zajistit, aby byla zapnutá kontrola potenciálně nežádoucích aplikací (PUA) a aby PsExec nebyl přidán na seznam povolených aplikací. Pokud PsExec potřebujete používat, můžete jej povolit pouze uživatelům, kteří jej potřebují, a po dokončení práce toto povolení zrušit.
4. Pořiďte si dobrého hlídacího psa (nebo dva)
Každá vrstva zabezpečení je určena k ochraně před jiným typem hrozby. Nejlepším přístupem proto i nadále zůstává strategie hloubkové obrany, která využívá několik vzájemně se překrývajících vrstev ochrany.
Sophos Endpoint a Server blokují aktuální verze SamSam pod označeními Troj / Samas-F, Troj / RansRun-A a Mal / Kryptik-BV.
Zákazníci s produktem Intercept X nebo Exploit Prevention jsou před ransomwarem SamSam chráněni naší technologií CryptoGuard pro ochranu před ransomwarem.
Zákazníci s licencemi Central Server Advancedmohou využít funkci Server Lockdown (seznam povolených aplikací) k ochraně svých serverů před neoprávněnými změnami.
Zákazníci, kteří používají Sophos Central v kombinaci s firewallem XG Firewall mohou využít funkci Security Heartbeat™, která umožňuje komunikaci koncových bodů s firewallem a vytváření zásad, které při nahlášení detekce hrozby automaticky izolují příslušný počítač.