Ransomwareak eragindako kalte gehienak Locky eta GlobaImposter bezalako softwarea erabiliz egindako ausazko eraso ez-zuzenduetan gertatzen badira ere, gero eta ohikoagoak dira frankotiratzaileen antzera egindako eraso zuzendu suntsitzaileak.
Eraso zuzendu batean, gaizkileek erakunde zaurgarri bat aukeratzen dute, eta ahalik eta kalte eta eten gehien eragiteko moldatzen dute beren jokabidea. Horrela, presio egiteko ahalmena handitzen dute, biktimak erreskate handiak ordaintzera behartzen dituzten bitartean.
Horrela jarduten duten hackerrek maiz erabiltzen duten tresna bat SamSam Ransomware da, Samas izenez ere ezaguna.
SamSam erasoak nahiko bakanak dira, eta badirudi osasunaren, gobernuaren eta hezkuntzaren sektoreak dituztela jomuga nagusi. Ez dago bi eraso berdin, nahiz eta elementu komunak izan. SamSam softwarearen konfigurazioa eta eskatutako erreskateak aldatu egiten dira biktima batetik bestera, eta erreskateak 60.000 dolar estatubatuarrerainokoak izan daitezke.
SamSam-ekin lotutako Bitcoin helbideek milioi bat dolar estatubatuar baino gehiago jaso dituzte aurten erreskate-ordainketetan.
Erasoen izaera dela eta, xehetasun zehatz gutxi ezagutzen dira. SophosLabs-ek azken erasoak aztertu ditu, eta azken hilabeteetan ransomwareak izan duen bilakaerari buruzko informazio berria aurkitu du. Informazio gehiago lortzeko, irakurri gure «Samsam Ransomware: arretaz aukeratzen ditu bere helburuak» txosten teknikoa.
Babestu zure enpresa!
Hackerrek helburu bakoitzera egokitzen dute beren jokabidea, helburu horren ahultasun zehatzak ustiatzeko. Hala ere, badira arreta berezia merezi duten alderdi komun batzuk.
1. Itxi ate guztiak
SamSam erasoak hasteko, erasotzaileek RDP kontuetako pasahitz ahulak baliatzen dituzte maiz.
RDP behar ez baduzu, desgaitu.
Ziurtatu erabiltzaileek pasahitz sendoak dituztela.
Gaitu bi faktoreko autentifikazioa (2FA) ahal duzun guztietan.
Onartu soilik baimendutako ordenagailuetatik datozen RDP konexioak.
Ezarri blokeo-politika bat, pasahitzak probatzeko saiakeren kopurua mugatzeko.
2. Konpondu ahultasun guztiak
Uste da, halaber, SamSam erasotzaileak helburuen sareetan sartu direla Javaren deserializazio-ahultasunak eta adabakirik gabeko JBoss sistemak baliatuta, CVE-2010-0738, CVE-2012-0874 eta CVE-2010-1428 bezalako segurtasun-zuloak ustiatuz.
Jakina, zentzuzkoa da pentsatzea SamSam hackerrek beren helburuetarako baliagarria zaien edozein ahultasun publikoki irisgarri baliatuko dutela. Beraz, hau ez da zerrenda osoa: dena eguneratuta mantentzeko ohiko aholkuak indarrean jarraitzen du.
3. Mantendu dena garbi eta txukun
Erasotzaile batek zure sarerako sarbidea lortzen badu, erasoa geldiaraztea oso gutxitan izaten da argi eta garbi gaiztoa den fitxategi bakar bat hautematea bezain erraza. SamSam erasoetan erabiltzen diren tresna asko, hain zuzen ere, zure sarean dagoeneko badagoen software legitimoa direlako erabiltzen dira, hala nola PsExec, Powershell, WScript edo CScript.
Dagoeneko Sophos-en bezeroa bazara, Application Control erabil dezakezu zure erakundeak aplikazio legitimoetarako duen sarbidea konfiguratzeko. Horrela, adibidez, Powershell behar duten administratzaileek hura erabiltzeko sarbidea dutela berma dezakezu, eta erabiltzaile arruntek, berriz, ez dutela.
SamSam PsExec-ekin batera erabili izan da sareetan hedatzen laguntzeko. Lehenespenez, gure produktuek PsExec nahi gabekoa izan daitekeen aplikazio (PUA) gisa hautematen eta blokeatzen dute.
Administratzaileek ziurtatu behar dute PUA azterketa gaituta dagoela eta PsExec ez dela gehitu baimendutakoen zerrendara. PsExec erabili behar baduzu, behar duten erabiltzaileei soilik eman diezaiekezu hura erabiltzeko baimena, eta baimen hori ezezta dezakezu amaitu bezain laster.
4. Eskuratu zaindari-txakur on bat (edo bi)
Duzun segurtasun-geruza bakoitza mehatxu mota desberdin bati aurre egiteko diseinatuta dago, eta elkarren gainean ezarritako hainbat babes-geruza erabiltzen dituen sakoneko defentsa-estrategia da oraindik ere ikuspegirik onena.
Sophos Endpoint eta Server SamSam-en egungo bertsioak Troj / Samas-F, Troj / RansRun-A eta Mal / Kryptik-BV gisa blokeatzen dituzte.
Bezeroek Intercept X edo Exploit Prevention badute, SamSam-en aurka babestuta daude gure CryptoGuard ransomwarearen aurkako babesari esker.
Bezeroek Central Server Advancedlizentziak badituzte, Server Lockdown (baimendutakoen zerrenda) erabil dezakete zerbitzariak baimenik gabeko aldaketetatik babesteko.
Sophos Central eta XG Firewall batera erabiltzen dituzten bezeroek Security Heartbeat ™ funtzioa erabil dezakete. Funtzio horri esker, amaierako gailuak suebakiarekin komunikatu daitezke, eta mehatxu baten detekzioa jakinarazten denean makina automatikoki isolatzen duten politikak sor daitezke.