Въпреки че по-голямата част от щетите, причинени от рансъмуер, са резултат от масови атаки без конкретна цел със софтуер като Locky и GlobaImposter, все по-чести стават опустошителните целенасочени атаки със снайперска прецизност.
При целенасочена атака престъпниците избират уязвима организация и приспособяват подхода си така, че да причинят максимални щети и смущения в работата ѝ. По този начин те успяват да засилят влиянието си, като същевременно изнудват за големи суми откуп.
Популярен инструмент сред хакерите, които действат по този начин, е рансъмуерът SamSam, известен още като Samas.
Атаките със SamSam са сравнително редки и изглежда са насочени предимно към здравеопазването, държавните институции и образованието. Няма две еднакви атаки, макар да има общи елементи. Конфигурацията на SamSam и исканията за откуп се различават според жертвата, като сумите достигат до 60 000 щатски долара.
На биткойн адресите, свързани със SamSam, през тази година са получени плащания за откуп на обща стойност над 1 милион щатски долара.
Поради естеството на атаките подробна информация за тях рядко е налична. SophosLabs проучи последните атаки и откри нова информация за развитието на рансъмуера през последните месеци. За повече подробности прочетете нашия технически доклад „Рансъмуерът Samsam избира внимателно целите си“.
Защитете бизнеса си!
Въпреки че хакерите променят подхода си според целта и се възползват от конкретните ѝ уязвимости, има общи аспекти, на които трябва да обърнете специално внимание.
1. Затворете всички врати
Атаките със SamSam често започват с използване на слаби пароли за RDP акаунти от страна на нападателите.
Ако не се нуждаете от RDP, деактивирайте го.
Уверете се, че потребителите използват силни пароли.
Активирайте двуфакторното удостоверяване (2FA) навсякъде, където е възможно.
Разрешавайте RDP връзки само от оторизирани компютри.
Задайте политика за блокиране на акаунти, за да ограничите броя на опитите за въвеждане на парола.
2. Отстранете всички уязвимости
Смята се също, че нападателите, използващи SamSam, са получавали достъп до мрежите на своите жертви чрез уязвимости при десериализацията в Java и системи JBoss без инсталирани корекции за сигурност, като са използвали уязвимости като CVE-2010-0738, CVE-2012-0874 и CVE-2010-1428.
Разбира се, разумно е да се предположи, че хакерите, използващи SamSam, ще се възползват от всяка публично достъпна уязвимост, която служи на целите им. Затова този списък не е изчерпателен — обичайният съвет да поддържате системите си актуализирани важи и тук.
3. Поддържайте ред и чистота
Ако нападател получи достъп до мрежата ви, за да го отстраните, рядко е достатъчно просто да откриете един очевидно зловреден файл. Много от инструментите, използвани при атаките със SamSam, се използват именно защото са легитимен софтуер, който вече е наличен в мрежата ви, например PsExec, Powershell, WScript или CScript.
Ако вече сте клиент на Sophos, можете да използвате Application Control, за да конфигурирате достъпа до легитимни приложения във вашата организация. Така например можете да гарантирате, че администраторите, които се нуждаят от Powershell, имат достъп до него, а обикновените потребители — не.
PsExec е използван за подпомагане на разпространението на SamSam в мрежите. По подразбиране нашите продукти откриват и блокират PsExec като потенциално нежелано приложение (PUA).
Администраторите трябва да се уверят, че проверката за потенциално нежелани приложения (PUA) е активирана и че PsExec не е добавен в списъка с разрешени приложения. Ако се налага да използвате PsExec, можете да го разрешите само за потребителите, които се нуждаят от него, и да оттеглите това разрешение веднага щом приключите.
4. Осигурете си добро куче пазач (или две)
Всеки слой на защита, с който разполагате, е предназначен за различен тип заплахи, а стратегията за защита в дълбочина, която използва няколко припокриващи се защитни слоя, остава най-добрият подход.
Sophos Endpoint и Server блокират текущите версии на SamSam като Troj / Samas-F, Troj / RansRun-A и Mal / Kryptik-BV.
Клиентите с Intercept X или Exploit Prevention са защитени от SamSam чрез нашата защита срещу рансъмуер CryptoGuard.
За клиентите с лицензи за Central Server Advancedможе да се използва Server Lockdown (списък с разрешени приложения), за да се защитят сървърите им от неоторизирани промени.
Клиентите, които използват Sophos Central в комбинация с XG Firewall могат да използват функцията Security Heartbeat ™, която позволява на крайните устройства да комуникират със защитната стена, както и да създават политики за автоматично изолиране на даден компютър при сигнал за открита заплаха.