Aínda que a maior parte dos danos causados polo ransomware se produce en ataques indiscriminados con programas como Locky e GlobaImposter, están a aumentar os ataques dirixidos, devastadores e coa precisión dun francotirador.
Nun ataque dirixido, os delincuentes escollen unha organización vulnerable e adaptan a súa estratexia para causar o máximo de danos e interrupcións. Deste xeito, conseguen aumentar a súa capacidade de presión para esixir rescates elevados.
Unha ferramenta moi utilizada polos hackers que actúan deste xeito é SamSam Ransomware, tamén coñecido como Samas.
Os ataques de SamSam son relativamente pouco frecuentes e parecen centrarse nos sectores sanitario, gobernamental e educativo. Non hai dous ataques iguais, aínda que comparten algúns elementos. A configuración do software SamSam e os rescates esixidos varían dunha vítima a outra, con importes que chegan aos 60.000 dólares estadounidenses.
Os enderezos de Bitcoin vinculados a SamSam recibiron este ano pagamentos de rescates por un valor superior a un millón de dólares estadounidenses.
Pola natureza destes ataques, poucas veces se dispón de detalles precisos. SophosLabs investigou os ataques máis recentes e descubriu nova información sobre como evolucionou o ransomware nos últimos meses. Para obter máis información, consulte o noso informe técnico Samsam Ransomware escolle os seus obxectivos con coidado.
Protexa a súa empresa!
Aínda que a estratexia dos hackers varía segundo o obxectivo e aproveita as súas vulnerabilidades específicas, hai aspectos comúns aos que cómpre prestar especial atención.
1. Peche todas as portas
Os ataques de SamSam adoitan comezar cando os atacantes se aproveitan dos contrasinais débiles das contas RDP.
Se non precisa RDP, desactíveo.
Asegúrese de que os usuarios teñan contrasinais seguros.
Active a autenticación de dous factores (2FA) sempre que sexa posible.
Acepte só conexións RDP de equipos autorizados.
Estableza unha política de bloqueo para limitar o número de intentos de introdución de contrasinais.
2. Corrixa todas as vulnerabilidades
Tamén se cre que os atacantes de SamSam conseguiron acceder ás redes das súas vítimas aproveitando vulnerabilidades de deserialización de Java e sistemas JBoss sen parches, mediante a explotación de fallos de seguridade como CVE-2010-0738, CVE-2012-0874 e CVE-2010-1428.
Por suposto, é razoable supoñer que os atacantes de SamSam aproveitarán calquera vulnerabilidade accesible publicamente que lles resulte útil, polo que esta lista non é exhaustiva: segue sendo válido o consello habitual de manter todo actualizado.
3. Manteña todo limpo e ordenado
Se un atacante consegue acceder á súa rede, deter o ataque rara vez é tan sinxelo como identificar un único ficheiro claramente malicioso. Moitas das ferramentas empregadas nos ataques de SamSam utilízanse precisamente porque son programas lexítimos que xa se atopan na súa rede, como PsExec, Powershell, WScript ou CScript.
Se xa é cliente de Sophos, pode utilizar Application Control para configurar o acceso da súa organización ás aplicacións lexítimas. Así, por exemplo, pode garantir que os administradores que precisan Powershell teñan acceso a esta ferramenta, pero os usuarios comúns non.
SamSam utilizouse xunto con PsExec para facilitar a súa propagación polas redes. De xeito predeterminado, os nosos produtos detectan e bloquean PsExec como aplicación potencialmente non desexada (PUA).
Os administradores deben asegurarse de que a detección de PUA estea activada e de que PsExec non se engadise á lista de aplicacións autorizadas. Se precisa utilizar PsExec, pode autorizalo só para os usuarios que o necesiten e revogar esa autorización en canto rematen de utilizalo.
4. Consiga un bo can de garda (ou dous)
Cada capa de seguridade da que dispón está deseñada para un tipo de ameaza diferente, e unha estratexia de defensa en profundidade que combine varias capas de protección superpostas segue a ser a mellor opción.
Sophos Endpoint e Server bloquean as versións actuais de SamSam como Troj / Samas-F, Troj / RansRun-A e Mal / Kryptik-BV.
Os clientes con Intercept X ou Exploit Prevention están protexidos fronte a SamSam grazas á nosa protección contra ransomware CryptoGuard.
Para os clientes con licenzas de Central Server Advanced, pódese empregar Server Lockdown (lista de aplicacións permitidas) para protexer os seus servidores fronte a cambios non autorizados.
Os clientes que utilizan Sophos Central en combinación con XG Firewall poden utilizar a función Security Heartbeat ™, que permite que os seus equipos terminais se comuniquen coa súa devasa e crear políticas que illen automaticamente un equipo cando se notifica unha detección.