Παρότι το μεγαλύτερο μέρος της ζημιάς που προκαλεί το ransomware οφείλεται σε μαζικές επιθέσεις χωρίς συγκεκριμένο στόχο, με τη χρήση λογισμικού όπως το Locky και το GlobaImposter, πληθαίνουν οι καταστροφικές, στοχευμένες επιθέσεις με ακρίβεια ελεύθερου σκοπευτή.
Σε μια στοχευμένη επίθεση, οι κυβερνοεγκληματίες επιλέγουν έναν ευάλωτο οργανισμό και προσαρμόζουν την προσέγγισή τους ώστε να προκαλέσουν τη μέγιστη δυνατή ζημιά και αναστάτωση στη λειτουργία του. Με αυτόν τον τρόπο, ενισχύουν τη διαπραγματευτική τους ισχύ, αποσπώντας υψηλά λύτρα μέσω εκβιασμού.
Ένα δημοφιλές εργαλείο για τους χάκερ που δρουν με αυτόν τον τρόπο είναι το SamSam Ransomware, γνωστό και ως Samas.
Οι επιθέσεις με το SamSam είναι σχετικά σπάνιες και φαίνεται να επικεντρώνονται στους τομείς της υγείας, της δημόσιας διοίκησης και της εκπαίδευσης. Καμία επίθεση δεν είναι ίδια με κάποια άλλη, αν και υπάρχουν κοινά στοιχεία. Η διαμόρφωση του λογισμικού SamSam και τα απαιτούμενα λύτρα διαφέρουν από θύμα σε θύμα, με τα ποσά να φτάνουν έως και τα 60.000 δολάρια ΗΠΑ.
Οι διευθύνσεις Bitcoin που συνδέονται με το SamSam έχουν δεχτεί φέτος πληρωμές λύτρων συνολικού ύψους άνω του 1 εκατομμυρίου δολαρίων ΗΠΑ.
Λόγω της φύσης των επιθέσεων, σπάνια υπάρχουν ακριβείς λεπτομέρειες. Η SophosLabs εξέτασε τις πρόσφατες επιθέσεις και ανακάλυψε νέα στοιχεία για την εξέλιξη του ransomware τους τελευταίους μήνες. Για περισσότερες λεπτομέρειες, διαβάστε τη λευκή βίβλο μας «Το Samsam Ransomware επιλέγει προσεκτικά τους στόχους του».
Προστατέψτε την επιχείρησή σας!
Παρότι η προσέγγιση των χάκερ διαφέρει ανάλογα με τον στόχο και εκμεταλλεύεται τις ιδιαίτερες αδυναμίες του, υπάρχουν ορισμένα κοινά σημεία που χρειάζονται ιδιαίτερη προσοχή.
1. Κλείστε όλες τις πόρτες
Οι επιθέσεις SamSam συχνά ξεκινούν με την εκμετάλλευση αδύναμων κωδικών πρόσβασης σε λογαριασμούς RDP.
Αν δεν χρειάζεστε το RDP, απενεργοποιήστε το.
Βεβαιωθείτε ότι οι χρήστες χρησιμοποιούν ισχυρούς κωδικούς πρόσβασης.
Ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων (2FA), όπου είναι δυνατόν.
Να επιτρέπετε συνδέσεις RDP μόνο από εξουσιοδοτημένους υπολογιστές.
Ορίστε μια πολιτική κλειδώματος λογαριασμών, ώστε να περιορίσετε τον αριθμό των προσπαθειών εισαγωγής κωδικού πρόσβασης.
2. Καλύψτε όλα τα κενά ασφαλείας
Εκτιμάται επίσης ότι οι επιτιθέμενοι που χρησιμοποιούν το SamSam απέκτησαν πρόσβαση στα δίκτυα των στόχων τους εκμεταλλευόμενοι ευπάθειες αποσειριοποίησης Java και συστήματα JBoss στα οποία δεν είχαν εφαρμοστεί ενημερώσεις ασφαλείας, αξιοποιώντας κενά ασφαλείας όπως τα CVE-2010-0738, CVE-2012-0874 και CVE-2010-1428.
Φυσικά, είναι λογικό να υποθέσουμε ότι οι χάκερ που χρησιμοποιούν το SamSam εκμεταλλεύονται οποιαδήποτε ευπάθεια είναι προσβάσιμη από το διαδίκτυο και εξυπηρετεί τους σκοπούς τους. Επομένως, η παραπάνω λίστα δεν είναι εξαντλητική και ισχύει η συνήθης συμβουλή: να διατηρείτε τα συστήματά σας ενημερωμένα.
3. Διατηρείτε το περιβάλλον σας καθαρό και οργανωμένο
Αν ένας εισβολέας αποκτήσει πρόσβαση στο δίκτυό σας, η εξουδετέρωση της επίθεσης σπάνια είναι τόσο απλή όσο ο εντοπισμός ενός και μόνο, προφανώς κακόβουλου αρχείου. Πολλά από τα εργαλεία που χρησιμοποιούνται στις επιθέσεις SamSam επιλέγονται ακριβώς επειδή είναι νόμιμο λογισμικό που υπάρχει ήδη στο δίκτυό σας, όπως τα PsExec, Powershell, WScript ή CScript.
Αν είστε ήδη πελάτης της Sophos, μπορείτε να χρησιμοποιήσετε το Application Control για να ρυθμίσετε την πρόσβαση του οργανισμού σας σε νόμιμες εφαρμογές. Έτσι, για παράδειγμα, μπορείτε να διασφαλίσετε ότι οι διαχειριστές που χρειάζονται το Powershell έχουν πρόσβαση σε αυτό, ενώ οι απλοί χρήστες όχι.
Το SamSam έχει χρησιμοποιηθεί σε συνδυασμό με το PsExec για να διευκολυνθεί η εξάπλωσή του σε δίκτυα. Από προεπιλογή, τα προϊόντα μας εντοπίζουν και αποκλείουν το PsExec ως δυνητικά ανεπιθύμητη εφαρμογή (PUA).
Οι διαχειριστές θα πρέπει να διασφαλίζουν ότι ο έλεγχος για δυνητικά ανεπιθύμητες εφαρμογές (PUA) είναι ενεργοποιημένος και ότι το PsExec δεν έχει προστεθεί στη λίστα επιτρεπόμενων εφαρμογών. Αν πρέπει να χρησιμοποιήσετε το PsExec, μπορείτε να επιτρέψετε τη χρήση του μόνο στους χρήστες που το χρειάζονται και να ανακαλέσετε αυτή την άδεια μόλις ολοκληρωθεί η εργασία.
4. Αποκτήστε έναν καλό φύλακα (ή δύο)
Κάθε επίπεδο ασφάλειας που διαθέτετε έχει σχεδιαστεί για διαφορετικό είδος απειλής. Μια στρατηγική άμυνας σε βάθος, με πολλαπλά, αλληλεπικαλυπτόμενα επίπεδα προστασίας, παραμένει η καλύτερη προσέγγιση.
Sophos Endpoint και Server αποκλείουν τις τρέχουσες εκδόσεις του SamSam ως Troj / Samas-F, Troj / RansRun-A και Mal / Kryptik-BV.
Οι πελάτες με Intercept X ή Exploit Prevention προστατεύονται από το SamSam χάρη στην τεχνολογία προστασίας από ransomware CryptoGuard που παρέχουμε.
Για πελάτες που διαθέτουν άδειες χρήσης Central Server Advanced, μπορεί να χρησιμοποιηθεί το Server Lockdown (λίστα επιτρεπόμενων εφαρμογών) για την προστασία των διακομιστών σας από μη εξουσιοδοτημένες αλλαγές.
Οι πελάτες που χρησιμοποιούν το Sophos Central σε συνδυασμό με το XG Firewall μπορούν να αξιοποιήσουν τη λειτουργία Security Heartbeat ™, η οποία επιτρέπει στις τερματικές συσκευές σας να επικοινωνούν με το τείχος προστασίας σας και να δημιουργούν πολιτικές που απομονώνουν αυτόματα έναν υπολογιστή όταν αναφέρεται ανίχνευση απειλής.