მიუხედავად იმისა, რომ გამომძალველი პროგრამებით გამოწვეული ზიანის უდიდესი ნაწილი ისეთი პროგრამების გამოყენებით განხორციელებულ განურჩეველ, არამიზნობრივ შეტევებზე მოდის, როგორიცაა Locky და GlobaImposter, სულ უფრო ხშირდება დამანგრეველი, სნაიპერული სიზუსტით განხორციელებული მიზნობრივი შეტევები.
მიზნობრივი შეტევისას დამნაშავეები ირჩევენ მოწყვლად ორგანიზაციას და შეტევას ისე გეგმავენ, რომ მაქსიმალური ზიანი მიაყენონ მას და შეძლებისდაგვარად შეაფერხონ მისი საქმიანობა. ამ გზით ისინი აძლიერებენ საკუთარ გავლენას და მსხვერპლს დიდ გამოსასყიდს სძალავენ.
ამგვარად მოქმედ ჰაკერებს შორის ერთ-ერთი პოპულარული ინსტრუმენტია SamSam Ransomware, რომელიც ასევე ცნობილია სახელით Samas.
SamSam-ის შეტევები შედარებით იშვიათია და, როგორც ჩანს, ძირითადად ჯანდაცვის, სახელმწიფო და განათლების სექტორებზეა მიმართული. საერთო ელემენტების მიუხედავად, არცერთი შეტევა არ არის მეორის იდენტური. SamSam-ის კონფიგურაცია და მოთხოვნილი გამოსასყიდი მსხვერპლის მიხედვით იცვლება, გამოსასყიდის ოდენობა კი 60 000 აშშ დოლარს აღწევს.
SamSam-თან დაკავშირებულ Bitcoin-მისამართებზე წელს გამოსასყიდის სახით 1 მილიონ აშშ დოლარზე მეტი ჩაირიცხა.
შეტევების ხასიათიდან გამომდინარე, ზუსტი დეტალები იშვიათად ხდება ცნობილი. SophosLabs-მა ბოლო პერიოდში განხორციელებული შეტევები შეისწავლა და ახალი ინფორმაცია მოიპოვა იმის შესახებ, თუ როგორ განვითარდა ეს გამომძალველი პროგრამა ბოლო თვეებში. დამატებითი ინფორმაციისთვის გაეცანით ჩვენს ტექნიკურ ანგარიშს „Samsam Ransomware სამიზნეებს გულდასმით არჩევს“.
დაიცავით თქვენი კომპანია!
მიუხედავად იმისა, რომ ჰაკერების მიდგომა სამიზნის მიხედვით იცვლება და მისთვის დამახასიათებელ სისუსტეებს იყენებს, არსებობს საერთო საკითხები, რომლებსაც განსაკუთრებული ყურადღება უნდა მიაქციოთ.
1. ჩაკეტეთ ყველა კარი
SamSam-ის შეტევები ხშირად იმით იწყება, რომ თავდამსხმელები RDP-ის ანგარიშების სუსტ პაროლებს იყენებენ.
თუ RDP არ გჭირდებათ, გამორთეთ ის.
დარწმუნდით, რომ მომხმარებლებს ძლიერი პაროლები აქვთ.
ჩართეთ ორფაქტორიანი ავთენტიფიკაცია (2FA) ყველგან, სადაც ეს შესაძლებელია.
დაუშვით RDP-კავშირები მხოლოდ ავტორიზებული კომპიუტერებიდან.
დააწესეთ ანგარიშის დაბლოკვის პოლიტიკა, რათა შეზღუდოთ პაროლის შეყვანის მცდელობების სიხშირე.
2. აღმოფხვერით ყველა დაუცველობა
ასევე ვარაუდობენ, რომ SamSam-ის თავდამსხმელებმა სამიზნე ქსელებზე წვდომა Java-ს დესერიალიზაციის დაუცველობებისა და უსაფრთხოების განახლებების გარეშე დარჩენილი JBoss-სისტემების გამოყენებით მოიპოვეს. მათ გამოიყენეს უსაფრთხოების ისეთი ხარვეზები, როგორიცაა CVE-2010-0738, CVE-2012-0874 და CVE-2010-1428.
რა თქმა უნდა, გონივრულია ვივარაუდოთ, რომ SamSam-ის ჰაკერები გამოიყენებენ ნებისმიერ საჯაროდ ცნობილ დაუცველობას, რომელიც მათ მიზნებს ემსახურება. ამიტომ ეს ჩამონათვალი ამომწურავი არ არის — ჩვეული რჩევა, რომ განახლებები დროულად დააყენოთ, კვლავ ძალაშია.
3. დაიცავით სისუფთავე და წესრიგი
თუ თავდამსხმელი თქვენს ქსელში შეაღწევს, თავდასხმის აღსაკვეთად იშვიათად კმარა ერთი აშკარად მავნე ფაილის აღმოჩენა. SamSam-ის თავდასხმებში გამოყენებულ ბევრ ხელსაწყოს სწორედ იმიტომ იყენებენ, რომ ისინი ლეგიტიმური პროგრამებია და თქვენს ქსელში უკვე არსებობს, მაგალითად, PsExec, Powershell, WScript ან CScript.
თუ უკვე Sophos-ის მომხმარებელი ხართ, Application Control-ის მეშვეობით შეგიძლიათ მართოთ თქვენი ორგანიზაციის წვდომა ლეგიტიმურ აპლიკაციებზე. მაგალითად, შეგიძლიათ უზრუნველყოთ, რომ Powershell-ზე წვდომა ჰქონდეთ ადმინისტრატორებს, რომლებსაც ის სჭირდებათ, ხოლო ჩვეულებრივ მომხმარებლებს — არა.
ქსელებში SamSam-ის გავრცელების ხელშესაწყობად PsExec-ს იყენებდნენ. ჩვენი პროდუქტები ნაგულისხმევად ამოიცნობს და ბლოკავს PsExec-ს, როგორც პოტენციურად არასასურველ აპლიკაციას (PUA).
ადმინისტრატორებმა უნდა გადაამოწმონ, რომ PUA-ზე შემოწმება ჩართულია და PsExec დაშვებული პროგრამების სიაში არ არის დამატებული. თუ PsExec-ის გამოყენება გჭირდებათ, მისი გამოყენების ნებართვა შეგიძლიათ მხოლოდ იმ მომხმარებლებს მისცეთ, რომლებსაც ის სჭირდებათ, სამუშაოს დასრულებისთანავე კი ეს ნებართვა გააუქმოთ.
4. შეიძინეთ კარგი დარაჯი ძაღლი (ან ორი)
უსაფრთხოების თითოეული დონე სხვადასხვა ტიპის საფრთხისგან დასაცავად არის განკუთვნილი. ამიტომ საუკეთესო მიდგომად კვლავ მრავალშრიანი თავდაცვის სტრატეგია რჩება, რომელიც დაცვის რამდენიმე, ერთმანეთის გადამფარავ დონეს იყენებს.
Sophos Endpoint და Server ბლოკავს SamSam-ის მიმდინარე ვერსიებს შემდეგი სახელებით: Troj / Samas-F, Troj / RansRun-A და Mal / Kryptik-BV.
მომხმარებლები, რომლებიც იყენებენ Intercept X -ს ან Exploit Prevention-ს, SamSam-ისგან დაცული არიან ჩვენი გამოსასყიდის მომთხოვნი პროგრამებისგან დაცვის ტექნოლოგიით — CryptoGuard-ით.
მომხმარებლებს, რომლებსაც აქვთ Central Server Advanced-ის ლიცენზიები, შეუძლიათ გამოიყენონ Server Lockdown (ნებადართული პროგრამების სია), რათა თავიანთი სერვერები არაავტორიზებული ცვლილებებისგან დაიცვან.
მომხმარებლებს, რომლებიც Sophos Central-ს XG Firewall -თან ერთად იყენებენ, შეუძლიათ ისარგებლონ Security Heartbeat ™ ფუნქციით, რომელიც თქვენს საბოლოო წერტილებს ქსელურ ეკრანთან კომუნიკაციის საშუალებას აძლევს და ისეთი პოლიტიკების შექმნას უზრუნველყოფს, რომლებიც საფრთხის აღმოჩენის შესახებ შეტყობინების მიღებისას კომპიუტერს ავტომატურად იზოლირებს.