Er bod y rhan fwyaf o’r difrod a achosir gan feddalwedd wystlo yn deillio o ymosodiadau diwahân, heb darged penodol, sy’n defnyddio meddalwedd fel Locky a GlobaImposter, mae ymosodiadau dinistriol wedi’u targedu â manylder saethwr cudd ar gynnydd.
Mewn ymosodiad wedi’i dargedu, mae troseddwyr yn dewis sefydliad sy’n agored i niwed ac yn teilwra eu dull o weithredu i achosi cymaint o ddifrod ac aflonyddwch â phosibl. Fel hyn, gall y troseddwyr gynyddu eu dylanwad wrth fynnu pridwerthi mawr drwy gribddeiliaeth.
Un offeryn poblogaidd ymhlith hacwyr sy’n gweithio fel hyn yw SamSam Ransomware, a elwir hefyd yn Samas.
Mae ymosodiadau SamSam yn gymharol brin ac mae’n ymddangos eu bod yn canolbwyntio ar y sectorau iechyd, llywodraeth ac addysg. Nid oes yr un ddau ymosodiad yn union yr un fath, er bod elfennau cyffredin rhyngddynt. Mae ffurfweddiad meddalwedd SamSam a’r symiau a fynnir yn bridwerth yn amrywio o un dioddefwr i’r llall, gyda’r pridwerthi’n cyrraedd hyd at 60,000 o ddoleri’r Unol Daleithiau.
Mae’r cyfeiriadau Bitcoin sy’n gysylltiedig â SamSam wedi derbyn taliadau pridwerth gwerth dros filiwn o ddoleri’r Unol Daleithiau eleni.
Oherwydd natur yr ymosodiadau, prin yw’r manylion manwl gywir sydd ar gael. Mae SophosLabs wedi ymchwilio i’r ymosodiadau diweddaraf ac wedi darganfod gwybodaeth newydd am sut mae’r feddalwedd wystlo wedi datblygu dros y misoedd diwethaf. Am ragor o fanylion, darllenwch ein papur gwyn Mae Samsam Ransomware yn dewis ei dargedau’n ofalus.
Diogelwch eich busnes!
Er bod dull yr hacwyr o weithredu’n amrywio o un targed i’r llall, gan fanteisio ar wendidau penodol pob un, mae rhai themâu cyffredin sy’n haeddu sylw arbennig.
1. Caewch bob drws
Mae ymosodiadau SamSam yn aml yn dechrau gydag ymosodwyr yn manteisio ar gyfrineiriau gwan ar gyfrifon RDP.
Os nad oes angen RDP arnoch, analluogwch ef.
Sicrhewch fod gan ddefnyddwyr gyfrineiriau cryf.
Galluogwch ddilysu dau ffactor (2FA) lle bynnag y bo modd.
Derbyniwch gysylltiadau RDP gan gyfrifiaduron awdurdodedig yn unig.
Pennwch bolisi cloi cyfrifon i gyfyngu ar nifer y cynigion y gellir eu gwneud i roi cynnig ar gyfrineiriau.
2. Caewch bob bwlch diogelwch
Credir hefyd fod ymosodwyr SamSam wedi cael mynediad at rwydweithiau eu targedau drwy fanteisio ar wendidau dadgyfresoli Java a systemau JBoss heb eu clytio, gan ddefnyddio bylchau diogelwch fel CVE-2010-0738, CVE-2012-0874 a CVE-2010-1428.
Wrth gwrs, mae'n rhesymol tybio y bydd hacwyr SamSam yn manteisio ar unrhyw wendid sy'n agored i'r cyhoedd ac sy'n ateb eu dibenion, felly nid yw hon yn rhestr gyflawn – mae'r cyngor arferol i gadw popeth yn gyfredol yn dal yn berthnasol.
3. Cadwch bethau'n lân ac yn daclus
Os bydd ymosodwr yn cael mynediad i'ch rhwydwaith, anaml y bydd atal yr ymosodiad mor syml ag adnabod un ffeil sy'n amlwg yn faleisus. Defnyddir llawer o'r offer mewn ymosodiadau SamSam yn union am eu bod yn ddarnau dilys o feddalwedd sydd eisoes ar eich rhwydwaith, fel PsExec, Powershell, WScript neu CScript.
Os ydych eisoes yn gwsmer i Sophos, gallwch ddefnyddio Application Control i ffurfweddu mynediad eich sefydliad at raglenni dilys. Er enghraifft, gallwch sicrhau bod gan weinyddwyr sydd angen Powershell fynediad ato, ond nad oes gan ddefnyddwyr cyffredin fynediad.
Mae SamSam wedi cael ei ddefnyddio gyda PsExec i helpu i ledaenu ar draws rhwydweithiau. Yn ddiofyn, mae ein cynhyrchion yn adnabod PsExec fel rhaglen a allai fod yn annymunol (PUA) ac yn ei rhwystro.
Dylai gweinyddwyr sicrhau bod sganio am PUA wedi'i alluogi ac nad yw PsExec wedi'i ychwanegu at y rhestr o raglenni awdurdodedig. Os oes rhaid i chi ddefnyddio PsExec, gallwch roi caniatâd i'r defnyddwyr sydd ei angen yn unig ei ddefnyddio, a diddymu'r caniatâd hwnnw cyn gynted ag y byddwch wedi gorffen.
4. Mynnwch gi gwarchod da (neu ddau)
Mae pob haen o ddiogelwch sydd gennych wedi'i chynllunio ar gyfer math gwahanol o fygythiad, a strategaeth amddiffyn mewn dyfnder sy'n defnyddio sawl haen o ddiogelwch sy'n gorgyffwrdd yw'r dull gorau o hyd.
Sophos Endpoint a Server yn rhwystro fersiynau cyfredol o SamSam fel Troj / Samas-F, Troj / RansRun-A a Mal / Kryptik-BV.
Mae cwsmeriaid sydd â Intercept X neu Exploit Prevention wedi’u diogelu rhag SamSam gan ein hamddiffyniad rhag meddalwedd wystlo, CryptoGuard.
Ar gyfer cwsmeriaid sydd â thrwyddedau Central Server Advanced, gellir defnyddio Server Lockdown (rhestr ganiatáu) i ddiogelu eich gweinyddion rhag newidiadau heb awdurdod.
Gall cwsmeriaid sy’n defnyddio Sophos Central ar y cyd â XG Firewall ddefnyddio’r swyddogaeth Security Heartbeat ™, sy’n galluogi eich dyfeisiau terfynol i gyfathrebu â’ch wal dân a chreu polisïau sy’n ynysu peiriant yn awtomatig pan roddir gwybod am ganfyddiad.