Selvom størstedelen af de skader, som ransomware forårsager, sker ved vilkårlige angreb med software som Locky og GlobaImposter, er ødelæggende, målrettede angreb med snigskyttelignende præcision på fremmarch.
Ved et målrettet angreb udvælger de kriminelle en sårbar organisation og tilpasser deres fremgangsmåde, så den forårsager størst mulig skade og driftsforstyrrelser. På den måde kan de kriminelle øge deres gennemslagskraft og samtidig afpresse ofrene store løsesummer.
Et populært værktøj blandt hackere, der arbejder på denne måde, er SamSam Ransomware, også kendt som Samas.
SamSam-angreb er relativt sjældne og ser ud til at være koncentreret om sundhedssektoren, offentlige myndigheder og uddannelsessektoren. Ikke to angreb er ens, selvom der er fællestræk. Konfigurationen af SamSam-softwaren og kravene om løsesum varierer fra offer til offer, og løsesummerne kan være på op til 60.000 amerikanske dollar.
De Bitcoin-adresser, der er knyttet til SamSam, har i år modtaget løsesumsbetalinger på over 1 million amerikanske dollar.
På grund af angrebenes karakter er der sjældent detaljerede oplysninger tilgængelige. SophosLabs har undersøgt de seneste angreb og fundet nye oplysninger om, hvordan ransomwaren har udviklet sig i de seneste måneder. Læs mere i vores whitepaper Samsam Ransomware udvælger sine mål omhyggeligt.
Beskyt din virksomhed!
Selvom hackernes fremgangsmåde varierer fra mål til mål og udnytter de specifikke sårbarheder hos hvert enkelt offer, er der nogle fællestræk, som du bør være særligt opmærksom på.
1. Luk alle døre
SamSam-angreb begynder ofte med, at angribere udnytter svage adgangskoder på RDP-konti.
Deaktiver RDP, hvis I ikke har brug for det.
Sørg for, at brugerne har stærke adgangskoder.
Aktivér tofaktorgodkendelse (2FA), hvor det er muligt.
Tillad kun RDP-forbindelser fra autoriserede computere.
Indfør en politik for kontolåsning for at begrænse antallet af adgangskodeforsøg.
2. Luk alle sikkerhedshuller
Det formodes også, at SamSam-angriberne har fået adgang til ofrenes netværk ved at udnytte sårbarheder i Java-deserialisering og JBoss-systemer, der ikke er sikkerhedsopdateret, herunder sikkerhedshuller som CVE-2010-0738, CVE-2012-0874 og CVE-2010-1428.
Det er naturligvis rimeligt at antage, at SamSam-hackerne udnytter enhver offentligt tilgængelig sårbarhed, der tjener deres formål. Listen er derfor ikke udtømmende – det sædvanlige råd om at holde systemerne opdateret gælder stadig.
3. Hold orden og ryd op
Hvis en angriber får adgang til dit netværk, er det sjældent nok at finde en enkelt, åbenlyst ondsindet fil for at få stoppet angrebet. Mange af de værktøjer, der bruges i SamSam-angreb, er valgt, netop fordi de er legitim software, som allerede findes på dit netværk, f.eks. PsExec, Powershell, WScript eller CScript.
Hvis du allerede er Sophos-kunde, kan du bruge Application Control til at konfigurere din organisations adgang til legitime programmer. Du kan f.eks. sikre, at administratorer, der har brug for Powershell, har adgang til det, mens almindelige brugere ikke har.
SamSam er blevet brugt sammen med PsExec til at sprede sig på netværk. Som standard registrerer og blokerer vores produkter PsExec som et potentielt uønsket program (PUA).
Administratorer bør sikre, at scanning efter potentielt uønskede programmer (PUA) er aktiveret, og at PsExec ikke er føjet til listen over tilladte programmer. Hvis du har brug for at anvende PsExec, kan du nøjes med at tillade det for de brugere, der har behov for det, og fjerne tilladelsen igen, så snart du er færdig.
4. Anskaf en god vagthund (eller to)
Hvert sikkerhedslag er beregnet til at beskytte mod en bestemt type trussel, og en strategi med forsvar i dybden, der omfatter flere overlappende beskyttelseslag, er stadig den bedste tilgang.
Sophos Endpoint og Server blokerer aktuelle versioner af SamSam som Troj / Samas-F, Troj / RansRun-A og Mal / Kryptik-BV.
Kunder med Intercept X eller Exploit Prevention er beskyttet mod SamSam af vores ransomwarebeskyttelse CryptoGuard.
For kunder med Central Server Advanced-licenser kan Server Lockdown (allowlisting) bruges til at beskytte jeres servere mod uautoriserede ændringer.
Kunder, der bruger Sophos Central sammen med XG Firewall kan bruge funktionen Security Heartbeat ™, som gør det muligt for jeres endpoints at kommunikere med jeres firewall og oprette politikker, der automatisk isolerer en maskine, når der rapporteres om en registreret trussel.