Vaikka suurin osa kiristyshaittaohjelmien aiheuttamista vahingoista syntyy summittaisissa hyökkäyksissä, joissa käytetään Lockyn ja GlobaImposterin kaltaisia ohjelmistoja, tuhoisat, tarkka-ampujan tavoin kohdistetut hyökkäykset ovat yleistymässä.
Kohdistetussa hyökkäyksessä rikolliset valitsevat haavoittuvan organisaation ja räätälöivät toimintatapansa aiheuttamaan mahdollisimman paljon vahinkoa ja häiriöitä. Näin he vahvistavat neuvotteluasemaansa kiristäessään suuria lunnaita.
Yksi tällä tavoin toimivien hakkereiden suosimista työkaluista on SamSam-kiristyshaittaohjelma, joka tunnetaan myös nimellä Samas.
SamSam-hyökkäykset ovat suhteellisen harvinaisia, ja ne näyttävät kohdistuvan erityisesti terveydenhuoltoon, julkishallintoon ja koulutussektorille. Yksikään hyökkäys ei ole täysin samanlainen kuin toinen, vaikka niissä onkin yhteisiä piirteitä. SamSam-ohjelmiston asetukset ja lunnasvaatimukset vaihtelevat uhrista toiseen, ja vaaditut lunnaat voivat olla jopa 60 000 Yhdysvaltain dollaria.
SamSamiin yhdistettyihin Bitcoin-osoitteisiin on tänä vuonna maksettu lunnaita yli miljoonan Yhdysvaltain dollarin arvosta.
Hyökkäysten luonteen vuoksi niistä on harvoin saatavilla tarkkoja tietoja. SophosLabs on tutkinut viimeaikaisia hyökkäyksiä ja saanut uutta tietoa siitä, miten kiristyshaittaohjelma on kehittynyt viime kuukausina. Lisätietoja saat julkaisustamme Tekninen raportti: Samsam-kiristyshaittaohjelma valitsee kohteensa huolellisesti.
Suojaa yrityksesi!
Vaikka hakkereiden toimintatavat vaihtelevat kohteittain ja hyödyntävät kunkin kohteen omia heikkouksia, hyökkäyksissä on yhteisiä piirteitä, joihin on syytä kiinnittää erityistä huomiota.
1. Sulje kaikki ovet
SamSam-hyökkäykset alkavat usein siitä, että hyökkääjät käyttävät hyväkseen RDP-tilien heikkoja salasanoja.
Jos et tarvitse RDP:tä, poista se käytöstä.
Varmista, että käyttäjillä on vahvat salasanat.
Ota kaksivaiheinen todennus (2FA) käyttöön aina kun mahdollista.
Salli RDP-yhteydet vain hyväksytyiltä tietokoneilta.
Määritä tilien lukituskäytäntö, joka rajoittaa salasanan syöttöyritysten määrää.
2. Korjaa kaikki haavoittuvuudet
SamSam-hyökkääjien uskotaan myös päässeen kohteidensa verkkoihin hyödyntämällä Javan deserialisointihaavoittuvuuksia ja päivittämättömiä JBoss-järjestelmiä sekä tietoturva-aukkoja, kuten CVE-2010-0738, CVE-2012-0874 ja CVE-2010-1428.
On tietenkin perusteltua olettaa, että SamSam-hakkerit hyödyntävät mitä tahansa julkisesta verkosta hyödynnettävissä olevaa haavoittuvuutta, joka palvelee heidän tarkoituksiaan. Tämä luettelo ei siis ole kattava, ja tavanomainen neuvo pitää järjestelmät ajan tasalla pätee tässäkin.
3. Pidä ympäristö siistinä ja järjestyksessä
Jos hyökkääjä pääsee verkkoonne, hyökkäyksen torjumiseen riittää harvoin vain yhden selvästi haitallisen tiedoston tunnistaminen. Monia SamSam-hyökkäyksissä käytettyjä työkaluja käytetään juuri siksi, että ne ovat laillisia ohjelmia, joita verkossanne on jo valmiiksi, kuten PsExec, Powershell, WScript tai CScript.
Jos olette jo Sophosin asiakas, voitte määrittää Application Control -toiminnolla, miten organisaationne käyttäjät saavat käyttää laillisia sovelluksia. Näin voitte esimerkiksi varmistaa, että Powershelliä tarvitsevat järjestelmänvalvojat voivat käyttää sitä, mutta tavalliset käyttäjät eivät.
PsExeciä on käytetty SamSamin levittämiseen verkoissa. Tuotteemme tunnistavat PsExecin oletusarvoisesti mahdollisesti ei-toivotuksi sovellukseksi (PUA) ja estävät sen käytön.
Järjestelmänvalvojien tulisi varmistaa, että PUA-tarkistus on käytössä eikä PsExeciä ole lisätty sallittujen sovellusten luetteloon. Jos PsExeciä on tarpeen käyttää, voitte sallia sen käytön vain sitä tarvitseville käyttäjille ja perua luvan heti käytön päätyttyä.
4. Hankkikaa hyvä vahtikoira (tai kaksi)
Jokainen käytössänne oleva suojauskerros on suunniteltu torjumaan erityyppisiä uhkia. Useita päällekkäisiä suojauskerroksia hyödyntävä monikerroksinen suojaus onkin edelleen paras lähestymistapa.
Sophos Endpoint ja Server estävät SamSamin nykyiset versiot tunnisteilla Troj / Samas-F, Troj / RansRun-A ja Mal / Kryptik-BV.
Asiakkaat, joilla on Intercept X tai Exploit Prevention, ovat CryptoGuard-kiristyshaittaohjelmasuojauksemme ansiosta suojassa SamSamilta.
Asiakkaat, joilla on Central Server Advanced-lisenssi, voivat käyttää Server Lockdown -toimintoa (sallittujen sovellusten luettelo) suojatakseen palvelimensa luvattomilta muutoksilta.
Asiakkaat, jotka käyttävät Sophos Centralia yhdessä XG Firewall -palomuurin kanssa, voivat käyttää Security Heartbeat ™ -toimintoa, jonka avulla päätelaitteet voivat viestiä palomuurin kanssa ja luoda käytäntöjä, jotka eristävät koneen automaattisesti, kun uhkahavainnosta ilmoitetaan.