Även om merparten av de skador som orsakas av ransomware uppstår vid urskillningslösa attacker med program som Locky och GlobaImposter, blir förödande, prickskyttsliknande riktade attacker allt vanligare.
Vid en riktad attack väljer brottslingarna ut en sårbar organisation och anpassar sitt tillvägagångssätt för att orsaka så stora skador och störningar som möjligt. På så sätt kan de stärka sin maktposition samtidigt som de pressar offren på stora lösensummor.
Ett populärt verktyg bland hackare som arbetar på det här sättet är SamSam Ransomware, även känt som Samas.
SamSam-attacker är relativt sällsynta och verkar främst rikta sig mot sjukvården, myndigheter och utbildningssektorn. Ingen attack är den andra lik, även om det finns gemensamma inslag. Konfigurationen av SamSam och kraven på lösensumma varierar från offer till offer, och lösensummorna kan uppgå till 60 000 US-dollar.
De bitcoinadresser som är kopplade till SamSam har i år tagit emot lösensummor på sammanlagt över 1 miljon US-dollar.
På grund av attackernas karaktär finns det sällan detaljerade uppgifter att tillgå. SophosLabs har undersökt de senaste attackerna och fått fram ny information om hur detta ransomware har utvecklats under de senaste månaderna. Läs mer i vårt whitepaper Samsam Ransomware väljer sina mål med omsorg.
Skydda ditt företag!
Även om hackarna anpassar sitt tillvägagångssätt efter varje mål och utnyttjar dess specifika sårbarheter, finns det gemensamma mönster som är värda att uppmärksamma särskilt.
1. Stäng alla dörrar
SamSam-attacker börjar ofta med att angriparna utnyttjar svaga lösenord för RDP-konton.
Inaktivera RDP om ni inte behöver det.
Se till att användarna har starka lösenord.
Aktivera tvåfaktorsautentisering (2FA) överallt där det är möjligt.
Tillåt endast RDP-anslutningar från behöriga datorer.
Inför en policy för kontolåsning som begränsar antalet lösenordsförsök.
2. Täpp till alla säkerhetsluckor
SamSam-angriparna tros också ha tagit sig in i offrens nätverk genom att utnyttja sårbarheter i Java-deserialisering och opatchade JBoss-system, däribland säkerhetsluckor som CVE-2010-0738, CVE-2012-0874 och CVE-2010-1428.
Det är naturligtvis rimligt att anta att SamSam-hackarna utnyttjar alla offentligt kända sårbarheter som passar deras syften. Listan är alltså inte uttömmande – det vanliga rådet att hålla systemen uppdaterade gäller även här.
3. Håll rent och snyggt
Om en angripare får tillgång till ert nätverk räcker det sällan att identifiera en enda, uppenbart skadlig fil för att stänga angriparen ute. Många av verktygen som används i SamSam-attacker används just för att de är legitima program som redan finns i ert nätverk, till exempel PsExec, Powershell, WScript eller CScript.
Om ni redan är Sophos-kund kan ni använda Application Control för att styra åtkomsten till legitima program i er organisation. På så sätt kan ni till exempel se till att administratörer som behöver Powershell får tillgång till det, medan vanliga användare inte får det.
SamSam har använts tillsammans med PsExec för att underlätta spridning i nätverk. Som standard identifierar och blockerar våra produkter PsExec som ett potentiellt oönskat program (PUA).
Administratörer bör se till att sökning efter potentiellt oönskade program (PUA) är aktiverad och att PsExec inte har lagts till i listan över tillåtna program. Om ni behöver använda PsExec kan ni tillåta det enbart för de användare som behöver det och återkalla tillåtelsen så snart ni är klara.
4. Skaffa en bra vakthund (eller två)
Varje säkerhetslager ni har är utformat för en viss typ av hot, och en djupförsvarsstrategi med flera överlappande skyddslager är fortfarande det bästa tillvägagångssättet.
Sophos Endpoint och Server blockerar aktuella versioner av SamSam som Troj / Samas-F, Troj / RansRun-A och Mal / Kryptik-BV.
Kunder med Intercept X eller Exploit Prevention skyddas mot SamSam av vårt skydd mot ransomware, CryptoGuard.
För kunder med Central Server Advanced-licenser kan Server Lockdown (tillåtelselista) användas för att skydda servrarna mot obehöriga ändringar.
Kunder som använder Sophos Central i kombination med XG Firewall kan använda funktionen Security Heartbeat ™, som gör det möjligt för era klienter att kommunicera med brandväggen och skapa policyer som automatiskt isolerar en dator när ett hot rapporteras.