Sebbene la maggior parte dei danni causati dai ransomware derivi da attacchi indiscriminati e non mirati condotti con software come Locky e GlobaImposter, sono in aumento gli attacchi mirati, devastanti e precisi come il tiro di un cecchino.
In un attacco mirato, i criminali scelgono un'organizzazione vulnerabile e adattano il proprio approccio in modo da causare il massimo dei danni e delle interruzioni operative. In questo modo riescono ad accrescere il proprio potere di ricatto ed estorcere riscatti elevati.
Uno strumento molto utilizzato dagli hacker che operano in questo modo è il ransomware SamSam, noto anche come Samas.
Gli attacchi di SamSam sono relativamente rari e sembrano concentrarsi sui settori sanitario, pubblico e dell'istruzione. Non esistono due attacchi identici, anche se vi sono elementi comuni. La configurazione del software SamSam e le richieste di riscatto variano da vittima a vittima, con riscatti che arrivano fino a 60.000 dollari statunitensi.
Quest'anno gli indirizzi Bitcoin associati a SamSam hanno ricevuto pagamenti di riscatti per oltre un milione di dollari statunitensi.
Data la natura degli attacchi, i dettagli precisi sono scarsi. SophosLabs ha analizzato gli attacchi più recenti e ha scoperto nuove informazioni sull'evoluzione del ransomware negli ultimi mesi. Per ulteriori dettagli, leggete il nostro white paper Il ransomware Samsam sceglie con cura i propri bersagli.
Proteggete la vostra azienda!
Sebbene gli hacker adattino il proprio approccio a ciascun bersaglio, sfruttandone le specifiche vulnerabilità, vi sono alcuni aspetti comuni a cui prestare particolare attenzione.
1. Chiudete tutte le porte
Gli attacchi SamSam iniziano spesso sfruttando le password deboli degli account RDP.
Se non vi serve RDP, disattivatelo.
Assicuratevi che gli utenti utilizzino password complesse.
Attivate l'autenticazione a due fattori (2FA) ovunque sia possibile.
Accettate connessioni RDP solo da computer autorizzati.
Impostate un criterio di blocco degli account per limitare il numero di tentativi di inserimento della password.
2. Eliminate tutte le vulnerabilità
Si ritiene inoltre che gli autori degli attacchi SamSam abbiano ottenuto accesso alle reti delle vittime sfruttando vulnerabilità nella deserializzazione Java e sistemi JBoss privi di patch, attraverso falle di sicurezza come CVE-2010-0738, CVE-2012-0874 e CVE-2010-1428.
Naturalmente, è ragionevole supporre che gli hacker dietro SamSam sfruttino qualsiasi vulnerabilità esposta pubblicamente che possa servire ai loro scopi. Questo elenco non è quindi esaustivo: resta valido il consueto consiglio di mantenere aggiornati i sistemi.
3. Mantenete tutto pulito e in ordine
Se un aggressore riesce ad accedere alla vostra rete, fermare l'attacco raramente è semplice come individuare un singolo file palesemente dannoso. Molti degli strumenti impiegati negli attacchi SamSam vengono utilizzati proprio perché sono software legittimi già presenti nella vostra rete, come PsExec, Powershell, WScript o CScript.
Se siete già clienti Sophos, potete utilizzare Application Control per configurare l'accesso della vostra organizzazione alle applicazioni legittime. Ad esempio, potete fare in modo che gli amministratori che hanno bisogno di Powershell possano accedervi, mentre gli utenti comuni no.
SamSam è stato utilizzato insieme a PsExec per facilitarne la diffusione nelle reti. Per impostazione predefinita, i nostri prodotti rilevano e bloccano PsExec come applicazione potenzialmente indesiderata (PUA).
Gli amministratori dovrebbero assicurarsi che la scansione delle PUA sia attiva e che PsExec non sia stato aggiunto all'elenco delle applicazioni autorizzate. Se dovete utilizzare PsExec, potete autorizzarlo solo per gli utenti che ne hanno bisogno e revocare l'autorizzazione non appena avete finito.
4. Procuratevi un buon cane da guardia (o due)
Ogni livello di sicurezza è progettato per contrastare un diverso tipo di minaccia, e una strategia di difesa in profondità che impiega più livelli di protezione sovrapposti resta l'approccio migliore.
Sophos Endpoint e Server bloccano le versioni attuali di SamSam, rilevandole come Troj / Samas-F, Troj / RansRun-A e Mal / Kryptik-BV.
I clienti che utilizzano Intercept X o Exploit Prevention sono protetti da SamSam grazie alla nostra protezione anti-ransomware CryptoGuard.
Per i clienti con licenze Central Server Advancedè possibile utilizzare Server Lockdown (allowlisting) per proteggere i server da modifiche non autorizzate.
I clienti che utilizzano Sophos Central in combinazione con XG Firewall possono utilizzare la funzionalità Security Heartbeat ™, che consente la comunicazione tra gli endpoint e il firewall e la creazione di criteri che isolano automaticamente un computer quando viene segnalato un rilevamento.