Kuigi suurem osa lunavara tekitatud kahjust sünnib valimatute rünnakute käigus, milles kasutatakse näiteks Locky ja GlobaImposteri taolist tarkvara, on sagenemas laastavad, snaipritäpsusega sihitud rünnakud.
Sihitud rünnaku korral valivad kurjategijad välja haavatava organisatsiooni ja kohandavad oma tegutsemisviisi nii, et see tekitaks võimalikult suurt kahju ja häireid. Nii saavad kurjategijad suurendada oma mõjuvõimu ja pressida välja suuri lunarahasummasid.
Üks sel viisil tegutsevate häkkerite populaarne tööriist on lunavara SamSam, mida tuntakse ka Samase nime all.
SamSami rünnakud on suhteliselt harvad ning näivad keskenduvat tervishoiu-, valitsus- ja haridussektorile. Kuigi rünnakutel on ühiseid jooni, pole ükski neist teisega täpselt samasugune. SamSami tarkvara seadistus ja lunarahanõuded on ohvriti erinevad ning nõutav lunaraha ulatub kuni 60 000 USA dollarini.
SamSamiga seotud Bitcoini aadressidele on sel aastal laekunud lunarahana üle miljoni USA dollari.
Rünnakute olemuse tõttu on nende kohta vähe täpset teavet. SophosLabs on uurinud hiljutisi rünnakuid ja leidnud uut teavet selle kohta, kuidas lunavara on viimastel kuudel arenenud. Lisateabe saamiseks lugege meie ülevaateraportit „Lunavara Samsam valib oma sihtmärke hoolikalt“.
Kaitske oma ettevõtet!
Kuigi häkkerid kohandavad oma tegutsemisviisi sihtmärgi järgi ja kasutavad ära selle konkreetseid nõrkusi, on rünnakutel ühiseid jooni, millele tuleks pöörata erilist tähelepanu.
1. Sulgege kõik uksed
SamSami rünnakud algavad sageli sellest, et ründajad kasutavad ära RDP-kontode nõrku paroole.
Kui te RDP-d ei vaja, keelake see.
Veenduge, et kasutajad kasutaksid tugevaid paroole.
Lubage kaheastmeline autentimine (2FA) kõikjal, kus võimalik.
Lubage RDP-ühendusi ainult volitatud arvutitest.
Kehtestage kontode lukustamise poliitika, et piirata paroolide proovimise kordade arvu.
2. Kõrvaldage kõik turvanõrkused
Samuti arvatakse, et SamSami ründajad on pääsenud sihtmärkide võrkudesse Java deserialiseerimise turvanõrkuste ja paikamata JBossi süsteemide kaudu, kasutades ära selliseid turvaauke nagu CVE-2010-0738, CVE-2012-0874 ja CVE-2010-1428.
Loomulikult on mõistlik eeldada, et SamSami häkkerid kasutavad ära iga avalikult ligipääsetavat turvanõrkust, mis nende eesmärke teenib. Seega pole see loetelu ammendav ning endiselt kehtib tavapärane soovitus hoida süsteemid ajakohasena.
3. Hoidke kõik puhas ja korras
Kui ründaja pääseb teie võrku, piisab ründe tõkestamiseks harva vaid ühe ilmselgelt pahatahtliku faili tuvastamisest. Paljusid SamSami rünnetes kasutatavaid tööriistu kasutatakse just seetõttu, et tegu on seadusliku tarkvaraga, mis on teie võrgus juba olemas, näiteks PsExec, Powershell, WScript või CScript.
Kui olete juba Sophose klient, saate Application Controli abil seadistada oma organisatsioonis juurdepääsu seaduslikele rakendustele. Nii saate näiteks tagada, et Powershelli vajavatel administraatoritel on sellele juurdepääs, tavakasutajatel aga mitte.
SamSami levitamiseks võrkudes on kasutatud PsExeci. Vaikimisi tuvastavad ja blokeerivad meie tooted PsExeci potentsiaalselt soovimatu rakendusena (PUA).
Administraatorid peaksid veenduma, et potentsiaalselt soovimatute rakenduste (PUA) kontroll on sisse lülitatud ja et PsExeci pole lubatud rakenduste loendisse lisatud. Kui peate PsExeci kasutama, saate selle lubada ainult neile kasutajatele, kes seda vajavad, ning loa tühistada kohe, kui töö on tehtud.
4. Hankige endale hea valvekoer (või kaks)
Iga teie kasutatav turvakiht on mõeldud eri tüüpi ohtude tõrjumiseks ning parim lähenemine on endiselt süvakaitsestrateegia, mis kasutab mitut kattuvat kaitsekihti.
Sophos Endpoint ja Server blokeerivad SamSami praegused versioonid tuvastusnimedega Troj / Samas-F, Troj / RansRun-A ja Mal / Kryptik-BV.
Kliendid, kes kasutavad lahendust Intercept X või lahendust Exploit Prevention, on SamSami eest kaitstud meie lunavaratõrjelahendusega CryptoGuard.
Klientidel, kellel on Central Server Advancedlitsentsid, on võimalik kasutada funktsiooni Server Lockdown (lubatud rakenduste loend), et kaitsta oma servereid volitamata muudatuste eest.
Kliendid, kes kasutavad lahendust Sophos Central koos tulemüüriga XG Firewalliga , saavad kasutada funktsiooni Security Heartbeat ™, mis võimaldab lõppseadmetel tulemüüriga suhelda ning luua reegleid, mis ohu tuvastamisest teatamisel seadme automaatselt isoleerivad.