اگرچه بیشتر خسارت‌های ناشی از باج‌افزارها در حملات بی‌هدف و تصادفی با استفاده از نرم‌افزارهایی مانند Locky و GlobaImposter رخ می‌دهد، حملات هدفمند و ویرانگری که با دقتی شبیه به تک‌تیراندازها انجام می‌شوند، رو به افزایش‌اند.
در یک حملهٔ هدفمند، مجرمان سازمانی آسیب‌پذیر را انتخاب می‌کنند و شیوهٔ حملهٔ خود را طوری تنظیم می‌کنند که بیشترین خسارت و اختلال را ایجاد کند. به این ترتیب، آن‌ها می‌توانند قدرت چانه‌زنی خود را افزایش دهند و مبالغ هنگفتی باج‌گیری کنند.
یکی از ابزارهای محبوب هکرهایی که به این شیوه عمل می‌کنند، باج‌افزار SamSam است که با نام Samas نیز شناخته می‌شود.
حملات SamSam نسبتاً نادرند و به نظر می‌رسد بیشتر بر بخش‌های بهداشت و درمان، دولتی و آموزشی متمرکز باشند. هیچ دو حمله‌ای کاملاً یکسان نیستند، هرچند عناصر مشترکی دارند. پیکربندی نرم‌افزار SamSam و مبلغ باج درخواستی برای هر قربانی متفاوت است و مبلغ درخواستی تا ۶۰ هزار دلار آمریکا می‌رسد.
نشانی‌های بیت‌کوین مرتبط با SamSam در سال جاری بیش از یک میلیون دلار آمریکا باج دریافت کرده‌اند.
به دلیل ماهیت این حملات، جزئیات دقیق به‌ندرت در دسترس است. SophosLabs حملات اخیر را بررسی کرده و اطلاعات تازه‌ای دربارهٔ چگونگی تحول این باج‌افزار در ماه‌های گذشته به دست آورده است. برای آگاهی از جزئیات بیشتر، لطفاً گزارش تخصصی ما را با این عنوان مطالعه کنید: گزارش تخصصی: باج‌افزار Samsam اهداف خود را با دقت انتخاب می‌کند.
از کسب‌وکارتان محافظت کنید!
اگرچه شیوهٔ کار هکرها بسته به هدف متفاوت است و از نقاط ضعف خاص هر هدف سوءاستفاده می‌کند، نکات مشترکی وجود دارد که باید به آن‌ها توجه ویژه‌ای داشت.
۱. همهٔ درهای ورود را ببندید
حملات SamSam اغلب با سوءاستفادهٔ مهاجمان از گذرواژه‌های ضعیف حساب‌های RDP آغاز می‌شوند.
اگر به RDP نیاز ندارید، آن را غیرفعال کنید.
مطمئن شوید که کاربران از گذرواژه‌های قوی استفاده می‌کنند.
هر جا که امکان دارد، احراز هویت دومرحله‌ای (2FA) را فعال کنید.
فقط اتصال‌های RDP از رایانه‌های مجاز را بپذیرید.
برای محدود کردن تعداد دفعات امتحان کردن گذرواژه‌ها، سیاست قفل‌کردن حساب را تنظیم کنید.
۲. همهٔ آسیب‌پذیری‌ها را برطرف کنید
همچنین گمان می‌رود که مهاجمان SamSam با سوءاستفاده از آسیب‌پذیری‌های سریال‌زدایی در Java و سیستم‌های JBoss که وصله‌های امنیتی روی آن‌ها نصب نشده است، از طریق حفره‌های امنیتی مانند CVE-2010-0738، CVE-2012-0874 و CVE-2010-1428 به شبکه‌های اهداف خود دسترسی پیدا کرده‌اند.
البته منطقی است فرض کنیم که هکرهای SamSam از هر آسیب‌پذیریِ در دسترس عموم که به کارشان بیاید سوءاستفاده می‌کنند؛ بنابراین این فهرست جامع نیست و توصیهٔ همیشگیِ به‌روز نگه داشتن سیستم‌ها همچنان به قوت خود باقی است.
۳. محیط شبکه را پاکیزه و مرتب نگه دارید
اگر مهاجمی به شبکهٔ شما دسترسی پیدا کند، مقابله با حمله به‌ندرت به سادگیِ شناسایی یک فایل با ماهیت آشکارا مخرب است. بسیاری از ابزارهایی که در حملات SamSam به کار می‌روند، دقیقاً به این دلیل انتخاب می‌شوند که نرم‌افزارهای مجازی هستند که از قبل در شبکهٔ شما وجود دارند؛ مانند PsExec، Powershell، WScript یا CScript.
اگر از مشتریان Sophos هستید، می‌توانید با استفاده از Application Control، دسترسی سازمان خود به برنامه‌های مجاز را تنظیم کنید. برای مثال، می‌توانید مطمئن شوید که مدیران سیستمی که به Powershell نیاز دارند به آن دسترسی دارند، اما کاربران عادی چنین دسترسی‌ای ندارند.
برای کمک به گسترش SamSam در شبکه‌ها، از PsExec استفاده شده است. محصولات ما به‌طور پیش‌فرض PsExec را به‌عنوان یک برنامهٔ بالقوه ناخواسته (PUA) شناسایی و مسدود می‌کنند.
مدیران سیستم باید مطمئن شوند که بررسی برنامه‌های بالقوه ناخواسته (PUA) فعال است و PsExec به فهرست برنامه‌های مجاز اضافه نشده است. اگر ناچار به استفاده از PsExec هستید، می‌توانید استفاده از آن را فقط برای کاربرانی که به آن نیاز دارند مجاز کنید و به‌محض پایان کار، این مجوز را لغو کنید.
۴. یک سگ نگهبان خوب (یا حتی دو تا) داشته باشید
هر لایهٔ امنیتی شما برای مقابله با نوع متفاوتی از تهدید طراحی شده است و راهبرد دفاع در عمق، که از چندین لایهٔ حفاظتی هم‌پوشان استفاده می‌کند، همچنان بهترین رویکرد است.
Sophos Endpoint و Server نسخه‌های فعلی SamSam را با نام‌های Troj / Samas-F، Troj / RansRun-A و Mal / Kryptik-BV شناسایی و مسدود می‌کنند.
مشتریانی که از Intercept X یا Exploit Prevention استفاده می‌کنند، با قابلیت ضدباج‌افزار CryptoGuard ما در برابر SamSam محافظت می‌شوند.
برای مشتریانی که مجوز Central Server Advancedرا دارند، می‌توان از Server Lockdown (فهرست مجاز) برای محافظت از سرورها در برابر تغییرات غیرمجاز استفاده کرد.
مشتریانی که از Sophos Central در کنار XG Firewall استفاده می‌کنند، می‌توانند از قابلیت Security Heartbeat ™ بهره ببرند. این قابلیت به نقاط پایانی شما امکان می‌دهد با فایروال ارتباط برقرار کنند و امکان ایجاد سیاست‌هایی را فراهم می‌کند که به‌محض گزارش شناسایی تهدید، دستگاه را به‌طور خودکار از شبکه جدا می‌کنند.