Embora a maior parte dos danos causados por ransomware resulte de ataques indiscriminados, sem um alvo específico, com recurso a software como o Locky e o GlobaImposter, os ataques direcionados, devastadores e com uma precisão quase cirúrgica, estão a aumentar.
Num ataque direcionado, os criminosos escolhem uma organização vulnerável e adaptam a sua abordagem de modo a causar o máximo de danos e perturbações. Desta forma, conseguem aumentar o seu poder de pressão e exigir resgates elevados.
Uma ferramenta popular entre os hackers que atuam desta forma é o SamSam Ransomware, também conhecido como Samas.
Os ataques de SamSam são relativamente raros e parecem concentrar-se nos setores da saúde, da administração pública e da educação. Não há dois ataques iguais, embora existam elementos em comum. A configuração do software SamSam e os valores dos resgates exigidos variam de vítima para vítima, podendo os resgates chegar aos 60.000 dólares americanos.
Os endereços Bitcoin associados ao SamSam receberam este ano mais de 1 milhão de dólares americanos em pagamentos de resgates.
Devido à natureza dos ataques, são escassas as informações pormenorizadas. A SophosLabs investigou os ataques mais recentes e descobriu novas informações sobre a evolução deste ransomware nos últimos meses. Para mais informações, consulte o nosso documento técnico «Samsam Ransomware escolhe cuidadosamente os seus alvos».
Proteja a sua empresa!
Embora a abordagem dos hackers varie de alvo para alvo, explorando as vulnerabilidades específicas de cada um, existem aspetos comuns que merecem especial atenção.
1. Feche todas as portas
Os ataques SamSam começam frequentemente com a exploração de palavras-passe fracas em contas RDP pelos atacantes.
Se não precisar de RDP, desative-o.
Certifique-se de que os utilizadores têm palavras-passe fortes.
Ative a autenticação de dois fatores (2FA) sempre que possível.
Aceite apenas ligações RDP de computadores autorizados.
Defina uma política de bloqueio para limitar o número de tentativas de introdução de palavras-passe.
2. Corrija todas as vulnerabilidades
Pensa-se também que os atacantes por detrás do SamSam terão conseguido aceder às redes das vítimas ao explorar vulnerabilidades de desserialização Java e sistemas JBoss sem correções de segurança, tirando partido de falhas como CVE-2010-0738, CVE-2012-0874 e CVE-2010-1428.
Naturalmente, é razoável pressupor que os hackers por detrás do SamSam explorem qualquer vulnerabilidade publicamente conhecida que sirva os seus propósitos, pelo que esta lista não é exaustiva — mantém-se o conselho habitual de manter os sistemas atualizados.
3. Mantenha tudo limpo e organizado
Se um atacante conseguir aceder à sua rede, travar o ataque raramente se resume a identificar um único ficheiro claramente malicioso. Muitas das ferramentas utilizadas nos ataques SamSam são escolhidas precisamente por serem programas legítimos que já se encontram na sua rede, como PsExec, Powershell, WScript ou CScript.
Se já é cliente da Sophos, pode utilizar o Application Control para configurar o acesso da sua organização a aplicações legítimas. Por exemplo, pode garantir que os administradores que precisam do Powershell têm acesso ao mesmo, mas os utilizadores comuns não.
O SamSam tem sido utilizado em conjunto com o PsExec para facilitar a sua propagação nas redes. Por predefinição, os nossos produtos detetam e bloqueiam o PsExec como uma aplicação potencialmente indesejada (PUA).
Os administradores devem garantir que a deteção de PUA está ativada e que o PsExec não foi adicionado à lista de aplicações autorizadas. Se precisar de utilizar o PsExec, pode autorizá-lo apenas para os utilizadores que dele necessitam e revogar essa autorização assim que terminar.
4. Arranje um bom cão de guarda (ou dois)
Cada camada de segurança foi concebida para um tipo de ameaça diferente, e uma estratégia de defesa em profundidade, com várias camadas de proteção sobrepostas, continua a ser a melhor abordagem.
Sophos Endpoint e Server bloqueiam as versões atuais do SamSam como Troj / Samas-F, Troj / RansRun-A e Mal / Kryptik-BV.
Os clientes com Intercept X ou Exploit Prevention estão protegidos contra o SamSam pela nossa proteção antirransomware CryptoGuard.
Para os clientes com licenças Central Server Advanced, é possível utilizar o Server Lockdown (listas de permissões) para proteger os seus servidores contra alterações não autorizadas.
Os clientes que utilizam o Sophos Central em conjunto com a XG Firewall podem utilizar a funcionalidade Security Heartbeat ™, que permite aos seus endpoints comunicar com a firewall e criar políticas que isolam automaticamente uma máquina quando é comunicada uma deteção.