Bien que les dégâts causés par les ransomwares résultent en grande partie d’attaques non ciblées et menées sans discernement à l’aide de logiciels comme Locky et GlobaImposter, les attaques ciblées dévastatrices, menées avec la précision d’un tireur d’élite, sont de plus en plus fréquentes.
Lors d’une attaque ciblée, les cybercriminels choisissent une organisation vulnérable et adaptent leur approche pour provoquer un maximum de dégâts et de perturbations. Ils renforcent ainsi leur pouvoir de pression pour extorquer des rançons élevées.
Le ransomware SamSam, également connu sous le nom de Samas, est un outil prisé des pirates qui procèdent de cette manière.
Les attaques de SamSam sont relativement rares et semblent se concentrer sur les secteurs de la santé, de l’administration publique et de l’éducation. Aucune attaque n’est identique à une autre, même si elles présentent des points communs. La configuration du logiciel SamSam et les demandes de rançon varient d’une victime à l’autre, les montants réclamés pouvant atteindre 60 000 dollars américains.
Les adresses Bitcoin associées à SamSam ont reçu cette année plus d’un million de dollars américains de rançons.
Compte tenu de la nature de ces attaques, les informations précises sont rares. SophosLabs a analysé les attaques récentes et découvert de nouveaux éléments sur l’évolution du ransomware au cours des derniers mois. Pour en savoir plus, consultez notre livre blanc « Le ransomware Samsam choisit soigneusement ses cibles ».
Protégez votre entreprise !
Bien que les pirates adaptent leur approche à chaque cible pour exploiter ses vulnérabilités spécifiques, certains points communs méritent une attention particulière.
1. Fermez toutes les portes
Les attaques SamSam commencent souvent par l’exploitation de mots de passe faibles sur des comptes RDP.
Si vous n’avez pas besoin de RDP, désactivez-le.
Assurez-vous que les utilisateurs disposent de mots de passe robustes.
Activez l’authentification à deux facteurs (2FA) partout où c’est possible.
N’acceptez que les connexions RDP provenant d’ordinateurs autorisés.
Définissez une politique de verrouillage des comptes pour limiter le nombre de tentatives de saisie de mots de passe.
2. Corrigez toutes les vulnérabilités
On pense également que les attaquants utilisant SamSam ont accédé aux réseaux de leurs cibles en exploitant des vulnérabilités de désérialisation Java et des systèmes JBoss non corrigés, notamment via les failles CVE-2010-0738, CVE-2012-0874 et CVE-2010-1428.
Bien entendu, il est raisonnable de supposer que les pirates utilisant SamSam exploitent toute vulnérabilité publiquement connue qui sert leurs objectifs. Cette liste n’est donc pas exhaustive : le conseil habituel de maintenir vos systèmes à jour reste de mise.
3. Gardez votre environnement propre et bien organisé
Lorsqu’un attaquant parvient à accéder à votre réseau, l’en déloger se résume rarement à repérer un seul fichier manifestement malveillant. De nombreux outils employés dans les attaques SamSam le sont précisément parce qu’il s’agit de logiciels légitimes déjà présents sur votre réseau, tels que PsExec, Powershell, WScript ou CScript.
Si vous êtes déjà client Sophos, vous pouvez utiliser Application Control pour configurer l’accès de votre organisation aux applications légitimes. Vous pouvez ainsi veiller, par exemple, à ce que les administrateurs qui ont besoin de Powershell puissent y accéder, contrairement aux utilisateurs standard.
PsExec a été utilisé pour faciliter la propagation de SamSam sur les réseaux. Par défaut, nos produits détectent et bloquent PsExec en tant qu’application potentiellement indésirable (PUA).
Les administrateurs doivent s’assurer que la détection des applications potentiellement indésirables (PUA) est activée et que PsExec n’a pas été ajouté à la liste des applications autorisées. Si vous devez utiliser PsExec, vous pouvez l’autoriser uniquement pour les utilisateurs qui en ont besoin, puis révoquer cette autorisation dès que vous avez terminé.
4. Adoptez un bon chien de garde (ou deux)
Chaque couche de sécurité que vous mettez en place est conçue pour contrer un type de menace différent. Une stratégie de défense en profondeur reposant sur plusieurs couches de protection qui se recoupent reste donc la meilleure approche.
Sophos Endpoint et Server bloquent les versions actuelles de SamSam sous les noms Troj / Samas-F, Troj / RansRun-A et Mal / Kryptik-BV.
Les clients disposant de Intercept X ou d’Exploit Prevention sont protégés contre SamSam grâce à notre protection anti-ransomware CryptoGuard.
Pour les clients disposant de licences Central Server Advanced, Server Lockdown (mise sur liste d’autorisation) peut être utilisé pour protéger vos serveurs contre les modifications non autorisées.
Les clients qui utilisent Sophos Central en combinaison avec XG Firewall peuvent utiliser la fonctionnalité Security Heartbeat ™, qui permet à leurs terminaux de communiquer avec leur pare-feu et de créer des politiques isolant automatiquement une machine lorsqu’une détection est signalée.