Aunque la mayor parte de los daños causados por el ransomware se produce en ataques indiscriminados con software como Locky y GlobaImposter, cada vez son más frecuentes los devastadores ataques dirigidos, ejecutados con la precisión de un francotirador.
En un ataque dirigido, los delincuentes eligen una organización vulnerable y adaptan su estrategia para causar el máximo daño y las mayores interrupciones posibles. De este modo, consiguen aumentar su capacidad de presión para exigir cuantiosos rescates.
Una herramienta popular entre los hackers que actúan de esta manera es el ransomware SamSam, también conocido como Samas.
Los ataques de SamSam son relativamente poco frecuentes y parecen centrarse en los sectores sanitario, gubernamental y educativo. No hay dos ataques iguales, aunque sí comparten ciertos elementos. La configuración del software SamSam y las exigencias de rescate varían de una víctima a otra, con importes que alcanzan los 60.000 dólares estadounidenses.
Las direcciones de Bitcoin vinculadas a SamSam han recibido este año pagos de rescates por valor de más de un millón de dólares estadounidenses.
Debido a la naturaleza de los ataques, apenas se dispone de detalles precisos. SophosLabs ha investigado los ataques más recientes y ha descubierto nuevos datos sobre la evolución del ransomware en los últimos meses. Para obtener más información, consulte nuestro informe técnico «El ransomware Samsam elige cuidadosamente sus objetivos».
¡Proteja su empresa!
Aunque los hackers adaptan su estrategia a cada objetivo y aprovechan sus vulnerabilidades específicas, hay aspectos comunes a los que conviene prestar especial atención.
1. Cierre todas las puertas
Los ataques de SamSam suelen comenzar cuando los atacantes aprovechan las contraseñas débiles de las cuentas RDP.
Si no necesita RDP, desactívelo.
Asegúrese de que los usuarios utilicen contraseñas seguras.
Active la autenticación de dos factores (2FA) siempre que sea posible.
Permita únicamente conexiones RDP desde equipos autorizados.
Establezca una política de bloqueo para limitar el número de intentos de introducir contraseñas.
2. Corrija todas las vulnerabilidades
También se cree que los atacantes de SamSam han accedido a las redes de sus víctimas aprovechando vulnerabilidades de deserialización de Java y sistemas JBoss sin parchear, mediante fallos de seguridad como CVE-2010-0738, CVE-2012-0874 y CVE-2010-1428.
Por supuesto, cabe suponer que los ciberdelincuentes de SamSam aprovecharán cualquier vulnerabilidad accesible públicamente que les resulte útil, por lo que esta lista no es exhaustiva: sigue siendo válido el consejo habitual de mantener los sistemas actualizados.
3. Mantenga todo limpio y ordenado
Si un atacante consigue acceder a su red, detener el ataque rara vez es tan sencillo como detectar un único archivo claramente malicioso. Muchas de las herramientas empleadas en los ataques de SamSam se utilizan precisamente porque son programas legítimos que ya están presentes en su red, como PsExec, Powershell, WScript o CScript.
Si ya es cliente de Sophos, puede utilizar Application Control para configurar el acceso de su organización a aplicaciones legítimas. Así, por ejemplo, puede asegurarse de que los administradores que necesitan Powershell tengan acceso a él, pero los usuarios normales no.
SamSam se ha utilizado junto con PsExec para facilitar su propagación por las redes. De forma predeterminada, nuestros productos detectan y bloquean PsExec como aplicación potencialmente no deseada (PUA).
Los administradores deben asegurarse de que el análisis de PUA esté activado y de que PsExec no se haya añadido a la lista de aplicaciones autorizadas. Si necesita utilizar PsExec, puede autorizar su uso únicamente a los usuarios que lo necesiten y revocar esa autorización en cuanto terminen.
4. Consiga un buen perro guardián (o dos)
Cada capa de seguridad de la que dispone está diseñada para un tipo de amenaza diferente, y una estrategia de defensa en profundidad que combine varias capas de protección superpuestas sigue siendo la mejor opción.
Sophos Endpoint y Server bloquean las versiones actuales de SamSam como Troj / Samas-F, Troj / RansRun-A y Mal / Kryptik-BV.
Los clientes con Intercept X o Exploit Prevention están protegidos frente a SamSam gracias a nuestra protección contra ransomware CryptoGuard.
Para los clientes con licencias de Central Server Advanced, se puede utilizar Server Lockdown (listas de aplicaciones permitidas) para proteger sus servidores frente a cambios no autorizados.
Los clientes que utilizan Sophos Central en combinación con XG Firewall pueden utilizar la función Security Heartbeat ™, que permite que sus endpoints se comuniquen con su firewall y crear políticas que aíslen automáticamente un equipo cuando se notifique una detección.