Deși cea mai mare parte a pagubelor provocate de ransomware se produce în urma unor atacuri nedirecționate, la întâmplare, cu ajutorul unor programe precum Locky și GlobaImposter, atacurile țintite devastatoare, executate cu precizia unui lunetist, sunt tot mai frecvente.
Într-un atac țintit, infractorii aleg o organizație vulnerabilă și își adaptează abordarea astfel încât să provoace pagube și perturbări cât mai mari. În acest fel, infractorii își pot spori importanța, în timp ce extorchează sume mari drept răscumpărare.
Un instrument popular în rândul hackerilor care acționează în acest mod este ransomware-ul SamSam, cunoscut și sub numele de Samas.
Atacurile SamSam sunt relativ rare și par să vizeze în principal sectoarele sănătății, administrației publice și educației. Nu există două atacuri identice, deși au elemente comune. Configurația programului SamSam și sumele cerute drept răscumpărare variază de la o victimă la alta, acestea din urmă ajungând până la 60.000 de dolari SUA.
Adresele Bitcoin asociate cu SamSam au primit anul acesta plăți de răscumpărare în valoare de peste 1 milion de dolari SUA.
Din cauza naturii acestor atacuri, detaliile precise sunt rare. SophosLabs a investigat atacurile recente și a descoperit informații noi despre evoluția acestui ransomware în ultimele luni. Pentru mai multe detalii, consultați raportul nostru tehnic „Ransomware-ul Samsam își alege cu grijă țintele”.
Protejați-vă compania!
Deși hackerii își adaptează abordarea în funcție de fiecare țintă, exploatând vulnerabilitățile specifice ale acesteia, există câteva aspecte comune care merită o atenție deosebită.
1. Închideți toate ușile
Atacurile SamSam încep adesea prin exploatarea de către atacatori a parolelor slabe ale conturilor RDP.
Dacă nu aveți nevoie de RDP, dezactivați-l.
Asigurați-vă că utilizatorii folosesc parole puternice.
Activați autentificarea cu doi factori (2FA) oriunde este posibil.
Acceptați conexiuni RDP numai de la calculatoare autorizate.
Configurați o politică de blocare a conturilor pentru a limita numărul de încercări de introducere a parolelor.
2. Remediați toate vulnerabilitățile
De asemenea, se presupune că atacatorii SamSam au obținut acces la rețelele vizate exploatând vulnerabilități de deserializare Java și sisteme JBoss fără patch-uri de securitate, prin intermediul unor vulnerabilități precum CVE-2010-0738, CVE-2012-0874 și CVE-2010-1428.
Desigur, este rezonabil să presupunem că hackerii SamSam exploatează orice vulnerabilitate accesibilă public care le servește scopurilor, așa că această listă nu este exhaustivă — recomandarea obișnuită de a menține sistemele la zi rămâne valabilă.
3. Păstrați ordinea și curățenia
Dacă un atacator obține acces la rețeaua dumneavoastră, oprirea atacului presupune rareori doar identificarea unui singur fișier evident rău intenționat. Multe dintre instrumentele folosite în atacurile SamSam sunt alese tocmai pentru că sunt programe legitime care există deja în rețeaua dumneavoastră, de exemplu PsExec, Powershell, WScript sau CScript.
Dacă sunteți deja client Sophos, puteți folosi Application Control pentru a configura accesul organizației dumneavoastră la aplicații legitime. Astfel, vă puteți asigura, de exemplu, că administratorii care au nevoie de Powershell au acces la acesta, iar utilizatorii obișnuiți nu.
SamSam a fost folosit împreună cu PsExec pentru a facilita răspândirea în rețele. În mod implicit, produsele noastre detectează și blochează PsExec ca aplicație potențial nedorită (PUA).
Administratorii ar trebui să se asigure că scanarea pentru aplicații potențial nedorite (PUA) este activată și că PsExec nu a fost adăugat pe lista aplicațiilor autorizate. Dacă trebuie să folosiți PsExec, îl puteți autoriza doar pentru utilizatorii care au nevoie de el, apoi puteți revoca această autorizare imediat ce ați terminat.
4. Luați-vă un câine de pază bun (sau doi)
Fiecare nivel de securitate de care dispuneți este conceput pentru un alt tip de amenințare, iar o strategie de apărare în profunzime, care folosește mai multe niveluri de protecție suprapuse, rămâne cea mai bună abordare.
Sophos Endpoint și Server blochează versiunile actuale de SamSam sub denumirile Troj / Samas-F, Troj / RansRun-A și Mal / Kryptik-BV.
Clienții care folosesc Intercept X sau Exploit Prevention sunt protejați împotriva SamSam de soluția noastră de protecție anti-ransomware CryptoGuard.
Pentru clienții cu licențe Central Server Advanced, se poate utiliza Server Lockdown (listă de permisiuni) pentru a proteja serverele împotriva modificărilor neautorizate.
Clienții care folosesc Sophos Central împreună cu XG Firewall pot utiliza funcția Security Heartbeat ™, care permite dispozitivelor endpoint să comunice cu firewallul și să creeze politici care izolează automat un dispozitiv atunci când este raportată detectarea unei amenințări.