Hoci väčšina škôd spôsobených ransomvérom vzniká pri necielených, náhodných útokoch pomocou softvéru ako Locky a GlobaImposter, čoraz častejšie sa objavujú aj ničivé cielené útoky s presnosťou ostreľovača.
Pri cielenom útoku si zločinci vyberú zraniteľnú organizáciu a prispôsobia svoj postup tak, aby spôsobili čo najväčšie škody a narušenie prevádzky. Tým zvyšujú svoj nátlak na obeť a vymáhajú vysoké výkupné.
Obľúbeným nástrojom hackerov, ktorí takto postupujú, je ransomvér SamSam, známy aj ako Samas.
Útoky ransomvéru SamSam sú pomerne zriedkavé a zdá sa, že sa sústreďujú na zdravotníctvo, verejnú správu a školstvo. Žiadne dva útoky nie sú rovnaké, hoci majú spoločné prvky. Konfigurácia softvéru SamSam aj požadované výkupné sa pri jednotlivých obetiach líšia, pričom výkupné dosahuje až 60 000 amerických dolárov.
Na bitcoinové adresy spojené s ransomvérom SamSam boli tento rok zaslané platby výkupného v celkovej výške viac ako 1 milión amerických dolárov.
Vzhľadom na povahu týchto útokov je presných podrobností málo. SophosLabs preskúmali nedávne útoky a zistili nové informácie o tom, ako sa tento ransomvér za posledné mesiace vyvíjal. Ďalšie podrobnosti nájdete v našom dokumente „Ransomvér Samsam si starostlivo vyberá svoje ciele“.
Chráňte svoju firmu!
Hoci hackeri svoj postup prispôsobujú jednotlivým cieľom a využívajú ich konkrétne slabiny, existujú spoločné oblasti, ktorým treba venovať osobitnú pozornosť.
1. Zatvorte všetky dvere
Útoky SamSam sa často začínajú tým, že útočníci zneužijú slabé heslá účtov RDP.
Ak RDP nepotrebujete, vypnite ho.
Zabezpečte, aby používatelia používali silné heslá.
Zapnite dvojfaktorové overovanie (2FA) všade, kde je to možné.
Povoľte pripojenia RDP iba z autorizovaných počítačov.
Nastavte politiku blokovania účtov, ktorá obmedzí počet pokusov o zadanie hesla.
2. Odstráňte všetky zraniteľnosti
Predpokladá sa tiež, že útočníci využívajúci SamSam získali prístup do sietí svojich cieľov zneužitím zraniteľností pri deserializácii v jazyku Java a neopravených systémov JBoss, konkrétne bezpečnostných chýb ako CVE-2010-0738, CVE-2012-0874 a CVE-2010-1428.
Samozrejme, je rozumné predpokladať, že hackeri využívajúci SamSam zneužijú akúkoľvek verejne dostupnú zraniteľnosť, ktorá poslúži ich zámerom. Tento zoznam preto nie je úplný a platí obvyklé odporúčanie udržiavať systémy aktualizované.
3. Udržiavajte poriadok a čistotu
Ak útočník získa prístup do vašej siete, na odvrátenie útoku zvyčajne nestačí len odhaliť jeden zjavne škodlivý súbor. Mnohé nástroje používané pri útokoch SamSam si útočníci vyberajú práve preto, že ide o legitímny softvér, ktorý sa už vo vašej sieti nachádza, napríklad PsExec, Powershell, WScript alebo CScript.
Ak už ste zákazníkom spoločnosti Sophos, môžete pomocou funkcie Application Control nastaviť prístup k legitímnym aplikáciám vo vašej organizácii. Môžete tak napríklad zabezpečiť, aby správcovia, ktorí potrebujú Powershell, k nemu mali prístup, zatiaľ čo bežní používatelia nie.
Pri útokoch SamSam sa na uľahčenie šírenia v sieťach používal nástroj PsExec. Naše produkty štandardne rozpoznávajú a blokujú PsExec ako potenciálne nechcenú aplikáciu (PUA).
Správcovia by mali zabezpečiť, aby bola zapnutá kontrola potenciálne nechcených aplikácií (PUA) a aby nástroj PsExec nebol pridaný do zoznamu povolených aplikácií. Ak potrebujete používať PsExec, môžete ho povoliť len používateľom, ktorí ho potrebujú, a toto povolenie zrušiť hneď po dokončení práce.
4. Zaobstarajte si dobrého strážneho psa (alebo dvoch)
Každá vrstva zabezpečenia, ktorú máte k dispozícii, je určená na ochranu pred iným typom hrozby. Stratégia hĺbkovej obrany, ktorá využíva viacero prekrývajúcich sa vrstiev ochrany, preto zostáva najlepším prístupom.
Sophos Endpoint a Server blokujú aktuálne verzie SamSam pod označeniami Troj / Samas-F, Troj / RansRun-A a Mal / Kryptik-BV.
Zákazníci s riešením Intercept X alebo Exploit Prevention sú pred ransomvérom SamSam chránení našou ochranou proti ransomvéru CryptoGuard.
Zákazníci s licenciami Central Server Advancedmôžu využiť Server Lockdown (zoznam povolených aplikácií) na ochranu svojich serverov pred neoprávnenými zmenami.
Zákazníci, ktorí používajú Sophos Central v kombinácii s riešením XG Firewall , môžu využívať funkciu Security Heartbeat ™, ktorá umožňuje koncovým zariadeniam komunikovať s firewallom a vytvárať politiky, ktoré pri nahlásení detekcie automaticky izolujú príslušné zariadenie.