Iako najveći deo štete koju prouzrokuje ransomware nastaje u neselektivnim napadima bez određene mete, uz pomoć softvera kao što su Locky i GlobaImposter, razorni ciljani napadi, precizni poput snajperskih, sve su češći.
U ciljanom napadu kriminalci biraju ranjivu organizaciju i prilagođavaju svoj pristup tako da izazovu najveću moguću štetu i poremećaje u radu. Na taj način mogu da povećaju svoj uticaj dok iznuđuju visoke otkupnine.
Jedan od popularnih alata među hakerima koji rade na ovaj način jeste ransomware SamSam, poznat i kao Samas.
Napadi ransomware-a SamSam relativno su retki i čini se da su uglavnom usmereni na zdravstvo, državne institucije i obrazovanje. Nijedna dva napada nisu ista, iako imaju zajedničke elemente. Konfiguracija softvera SamSam i zahtevi za otkupninu razlikuju se od žrtve do žrtve, a traženi iznosi dostižu i 60.000 američkih dolara.
Na Bitcoin adrese povezane sa ransomware-om SamSam ove godine je uplaćeno više od milion američkih dolara na ime otkupnine.
Zbog prirode ovih napada, precizni podaci su retko dostupni. SophosLabs je istražio nedavne napade i otkrio nove informacije o tome kako se ovaj ransomware razvijao tokom proteklih meseci. Za više detalja pročitajte naš stručni izveštaj „Ransomware Samsam pažljivo bira svoje mete“.
Zaštitite svoje preduzeće!
Iako hakeri prilagođavaju pristup svakoj meti i iskorišćavaju njene specifične ranjivosti, postoje zajedničke tačke kojima treba posvetiti posebnu pažnju.
1. Zatvorite sva vrata
SamSam napadi često počinju tako što napadači iskoriste slabe lozinke na RDP nalozima.
Ako vam RDP nije potreban, onemogućite ga.
Pobrinite se da korisnici imaju jake lozinke.
Omogućite dvofaktorsku autentifikaciju (2FA) gde god je to moguće.
Dozvolite RDP veze samo sa ovlašćenih računara.
Podesite pravila zaključavanja naloga da biste ograničili broj pokušaja unosa lozinke.
2. Otklonite sve ranjivosti
Takođe se pretpostavlja da su napadači koji koriste SamSam pristupali mrežama svojih meta iskorišćavanjem ranjivosti u deserijalizaciji u Javi i JBoss sistema bez instaliranih bezbednosnih zakrpa, koristeći bezbednosne propuste kao što su CVE-2010-0738, CVE-2012-0874 i CVE-2010-1428.
Naravno, razumno je pretpostaviti da će hakeri koji koriste SamSam iskoristiti svaku javno dostupnu ranjivost koja odgovara njihovim ciljevima, pa ova lista nije konačna — i dalje važi uobičajeni savet da redovno ažurirate sisteme.
3. Održavajte red i čistoću
Ako napadač dobije pristup vašoj mreži, zaustavljanje napada retko se svodi na jednostavno otkrivanje jedne očigledno zlonamerne datoteke. Mnogi alati koji se koriste u napadima SamSam koriste se upravo zato što je reč o legitimnom softveru koji se već nalazi u vašoj mreži, kao što su PsExec, Powershell, WScript ili CScript.
Ako ste već korisnik kompanije Sophos, možete da koristite Application Control da biste podesili pristup legitimnim aplikacijama u svojoj organizaciji. Tako, na primer, možete da obezbedite da administratori kojima je Powershell potreban imaju pristup tom alatu, a obični korisnici ne.
SamSam je korišćen u kombinaciji sa alatom PsExec radi lakšeg širenja kroz mreže. Naši proizvodi podrazumevano prepoznaju i blokiraju PsExec kao potencijalno neželjenu aplikaciju (PUA).
Administratori treba da provere da li je otkrivanje potencijalno neželjenih aplikacija (PUA) omogućeno i da li je PsExec izostavljen sa liste dozvoljenih aplikacija. Ako morate da koristite PsExec, možete da ga dozvolite samo korisnicima kojima je potreban i da ukinete tu dozvolu čim završite s korišćenjem.
4. Nabavite dobrog psa čuvara (ili dva)
Svaki sloj vaše zaštite namenjen je drugačijoj vrsti pretnje, a strategija dubinske odbrane, koja koristi više slojeva zaštite koji se preklapaju, i dalje je najbolji pristup.
Sophos Endpoint i Server blokiraju aktuelne verzije zlonamernog softvera SamSam kao Troj / Samas-F, Troj / RansRun-A i Mal / Kryptik-BV.
Korisnici koji koriste Intercept X ili Exploit Prevention zaštićeni su od pretnje SamSam zahvaljujući našoj zaštiti od ransomvera CryptoGuard.
Korisnicima sa Central Server Advancedlicencama na raspolaganju je Server Lockdown (lista dozvoljenih aplikacija) za zaštitu servera od neovlašćenih izmena.
Korisnici koji koriste Sophos Central u kombinaciji sa rešenjem XG Firewall mogu da koriste funkciju Security Heartbeat ™, koja omogućava krajnjim uređajima da komuniciraju sa zaštitnim zidom i kreiranje pravila koja automatski izoluju računar kada se prijavi otkrivena pretnja.