Lai gan lielāko daļu izspiedējprogrammatūras radīto zaudējumu izraisa nemērķēti, nejauši uzbrukumi, kuros izmanto tādu programmatūru kā Locky un GlobaImposter, arvien biežāk notiek arī postoši, snaipera šāvienam līdzīgi mērķēti uzbrukumi.
Mērķētā uzbrukumā noziedznieki izvēlas ievainojamu organizāciju un pielāgo savu pieeju tā, lai radītu pēc iespējas lielākus zaudējumus un darbības traucējumus. Tādējādi noziedznieki var palielināt savu ietekmi un pieprasīt lielas izpirkuma summas.
Viens no iecienītākajiem rīkiem hakeriem, kuri darbojas šādā veidā, ir izspiedējprogrammatūra SamSam, kas pazīstama arī kā Samas.
SamSam uzbrukumi ir salīdzinoši reti un, šķiet, galvenokārt vērsti pret veselības aprūpes, valsts pārvaldes un izglītības nozari. Lai gan šiem uzbrukumiem ir kopīgas iezīmes, nav divu pilnīgi vienādu uzbrukumu. SamSam programmatūras konfigurācija un izpirkuma prasības katram upurim atšķiras, un pieprasītā izpirkuma summa var sasniegt 60 000 ASV dolāru.
Ar SamSam saistītajās Bitcoin adresēs šogad saņemti izpirkuma maksājumi vairāk nekā viena miljona ASV dolāru apmērā.
Šo uzbrukumu rakstura dēļ precīza informācija par tiem ir reti pieejama. SophosLabs ir izpētījis jaunākos uzbrukumus un atklājis jaunu informāciju par to, kā šī izspiedējprogrammatūra pēdējos mēnešos ir attīstījusies. Lai uzzinātu vairāk, izlasiet mūsu informatīvo ziņojumu “Izspiedējprogrammatūra Samsam rūpīgi izvēlas savus mērķus”.
Aizsargājiet savu uzņēmumu!
Lai gan hakeri katram mērķim pielāgo savu pieeju, izmantojot tā konkrētās ievainojamības, ir vairāki kopīgi aspekti, kuriem jāpievērš īpaša uzmanība.
1. Aizveriet visas durvis
SamSam uzbrukumi bieži sākas ar to, ka uzbrucēji izmanto RDP kontu vājās paroles.
Ja RDP nav nepieciešams, atspējojiet to.
Pārliecinieties, ka lietotāji izmanto drošas paroles.
Iespējojiet divfaktoru autentifikāciju (2FA) visur, kur vien iespējams.
Atļaujiet RDP savienojumus tikai no autorizētiem datoriem.
Iestatiet kontu bloķēšanas politiku, lai ierobežotu paroles ievadīšanas mēģinājumu skaitu.
2. Novērsiet visas ievainojamības
Tiek arī uzskatīts, ka SamSam uzbrucēji ir piekļuvuši upuru tīkliem, izmantojot Java deserializācijas ievainojamības un JBoss sistēmas, kurās nav instalēti drošības ielāpi, tostarp tādas drošības nepilnības kā CVE-2010-0738, CVE-2012-0874 un CVE-2010-1428.
Protams, ir pamats pieņemt, ka SamSam hakeri izmantos jebkuru publiski pieejamu ievainojamību, kas der viņu mērķiem, tāpēc šis saraksts nav izsmeļošs — joprojām ir spēkā ierastais ieteikums regulāri instalēt atjauninājumus.
3. Uzturiet kārtību un tīrību
Ja uzbrucējs piekļūst jūsu tīklam, uzbrukuma apturēšanai reti kad pietiek ar viena acīmredzami ļaunprātīga faila atklāšanu. Daudzi SamSam uzbrukumos izmantotie rīki tiek lietoti tieši tāpēc, ka tā ir likumīga programmatūra, kas jau atrodas jūsu tīklā, piemēram, PsExec, Powershell, WScript vai CScript.
Ja jau esat Sophos klients, varat izmantot Application Control, lai konfigurētu savas organizācijas piekļuvi likumīgām lietotnēm. Tā, piemēram, varat nodrošināt, ka administratoriem, kuriem nepieciešams Powershell, ir tam piekļuve, bet parastajiem lietotājiem tās nav.
SamSam izplatīšanai tīklos ir izmantots PsExec. Pēc noklusējuma mūsu produkti atpazīst un bloķē PsExec kā potenciāli nevēlamu lietotni (PUA).
Administratoriem jāpārliecinās, ka ir iespējota PUA pārbaude un ka PsExec nav pievienots atļauto lietotņu sarakstam. Ja jums ir nepieciešams izmantot PsExec, varat to atļaut tikai tiem lietotājiem, kuriem tas vajadzīgs, un atsaukt šo atļauju, tiklīdz darbs ir pabeigts.
4. Sagādājiet labu sargsuni (vai divus)
Katrs jūsu drošības slānis ir paredzēts aizsardzībai pret atšķirīga veida apdraudējumiem, un daudzslāņu aizsardzības stratēģija ar vairākiem savstarpēji pārklājošiem aizsardzības slāņiem joprojām ir labākā pieeja.
Sophos Endpoint un Server bloķē pašreizējās SamSam versijas, atpazīstot tās kā Troj / Samas-F, Troj / RansRun-A un Mal / Kryptik-BV.
Klientus, kuri izmanto Intercept X vai Exploit Prevention, no SamSam aizsargā mūsu aizsardzība pret izspiedējprogrammatūru CryptoGuard.
Klientiem ar Central Server Advancedlicencēm serveru aizsardzībai pret neatļautām izmaiņām var izmantot Server Lockdown (atļauto vienumu sarakstu).
Klienti, kuri izmanto Sophos Central kopā ar XG Firewall , var izmantot funkciju Security Heartbeat ™, kas nodrošina galiekārtu saziņu ar ugunsmūri un ļauj izveidot politikas, kas automātiski izolē datoru, ja tiek ziņots par apdraudējuma konstatēšanu.