Хоча більшість збитків від програм-вимагачів припадає на масові невибіркові атаки із застосуванням таких програм, як Locky і GlobaImposter, дедалі частіше трапляються й руйнівні цілеспрямовані атаки зі снайперською точністю.
Під час цілеспрямованої атаки зловмисники обирають вразливу організацію та вибудовують свої дії так, щоб завдати максимальної шкоди й спричинити якомога серйозніші збої в її роботі. Так вони посилюють свій вплив на жертву, вимагаючи великі суми викупу.
Одним із популярних інструментів хакерів, які діють у такий спосіб, є програма-вимагач SamSam, також відома як Samas.
Атаки SamSam трапляються відносно рідко й, схоже, спрямовані переважно на заклади охорони здоров’я, державні установи та освітні заклади. Двох однакових атак не буває, хоча вони й мають спільні риси. Конфігурація SamSam та вимоги щодо викупу різняться залежно від жертви, а сума викупу сягає 60 000 доларів США.
Цього року на Bitcoin-адреси, пов’язані із SamSam, надійшло понад 1 мільйон доларів США у вигляді викупів.
Через характер цих атак докладні відомості про них з’являються рідко. SophosLabs дослідила нещодавні атаки й отримала нові дані про те, як ця програма-вимагач розвивалася протягом останніх місяців. Докладніше читайте в нашому аналітичному звіті «Програма-вимагач Samsam ретельно обирає свої цілі».
Захистіть свою компанію!
Хоча хакери щоразу адаптують свій підхід до конкретної цілі, використовуючи її вразливості, є спільні аспекти, яким варто приділити особливу увагу.
1. Зачиніть усі двері
Атаки SamSam часто починаються з того, що зловмисники використовують слабкі паролі облікових записів RDP.
Якщо вам не потрібен RDP, вимкніть його.
Переконайтеся, що користувачі мають надійні паролі.
Увімкніть двофакторну автентифікацію (2FA) скрізь, де це можливо.
Дозволяйте RDP-з’єднання лише з авторизованих комп’ютерів.
Налаштуйте політику блокування, щоб обмежити кількість спроб введення пароля.
2. Усуньте всі вразливості
Також вважається, що зловмисники, які використовують SamSam, отримували доступ до мереж жертв, використовуючи вразливості десеріалізації Java та системи JBoss без установлених виправлень, зокрема такі вразливості, як CVE-2010-0738, CVE-2012-0874 та CVE-2010-1428.
Звісно, є підстави припускати, що хакери, які використовують SamSam, скористаються будь-якою загальновідомою вразливістю, що відповідає їхнім цілям. Тож цей перелік не є вичерпним, а звична порада своєчасно встановлювати оновлення залишається актуальною.
3. Підтримуйте чистоту й порядок
Якщо зловмисник отримав доступ до вашої мережі, для припинення атаки рідко буває достатньо виявити один явно шкідливий файл. Багато інструментів, які використовують в атаках SamSam, обирають саме тому, що це легітимні програми, які вже є у вашій мережі, наприклад PsExec, Powershell, WScript або CScript.
Якщо ви вже є клієнтом Sophos, ви можете скористатися Application Control, щоб налаштувати доступ до легітимних програм у вашій організації. Наприклад, надати доступ до Powershell адміністраторам, яким він потрібен, але не звичайним користувачам.
SamSam використовували разом із PsExec для поширення в мережах. За замовчуванням наші продукти виявляють і блокують PsExec як потенційно небажану програму (PUA).
Адміністраторам слід переконатися, що перевірку на наявність потенційно небажаних програм (PUA) увімкнено, а PsExec не додано до списку дозволених програм. Якщо вам потрібно використовувати PsExec, ви можете дозволити його лише тим користувачам, яким він потрібен, і скасувати цей дозвіл одразу після завершення роботи.
4. Заведіть хорошого сторожового пса (або двох)
Кожен рівень захисту призначений для протидії певному типу загроз, тому стратегія глибокоешелонованого захисту з кількома рівнями, що перекривають один одного, залишається найкращим підходом.
Sophos Endpoint і Server блокують актуальні версії SamSam як Troj / Samas-F, Troj / RansRun-A та Mal / Kryptik-BV.
Клієнти, які використовують Intercept X або Exploit Prevention, захищені від SamSam завдяки нашій технології захисту від програм-вимагачів CryptoGuard.
Клієнти з ліцензіями Central Server Advancedможуть використовувати Server Lockdown (список дозволених програм), щоб захистити свої сервери від несанкціонованих змін.
Клієнти, які використовують Sophos Central у поєднанні з XG Firewall , можуть скористатися функцією Security Heartbeat ™, яка дає змогу кінцевим пристроям обмінюватися даними з брандмауером, а також створювати політики для автоматичної ізоляції комп’ютера в разі виявлення загрози.