Iako najveći dio štete koju uzrokuje ucjenjivački softver nastaje u neselektivnim napadima bez određene mete, uz pomoć softvera kao što su Locky i GlobaImposter, sve su češći razorni ciljani napadi snajperske preciznosti.
U ciljanom napadu kriminalci odabiru ranjivu organizaciju i prilagođavaju svoj pristup tako da prouzroče najveću moguću štetu i poremećaje u radu. Time povećavaju svoj pritisak na žrtve kako bi iznudili visoke otkupnine.
Popularan alat među hakerima koji djeluju na taj način jest ucjenjivački softver SamSam, poznat i kao Samas.
Napadi ucjenjivačkim softverom SamSam relativno su rijetki i čini se da su uglavnom usmjereni na zdravstvo, javnu upravu i obrazovanje. Nijedna dva napada nisu ista, iako imaju zajedničkih elemenata. Konfiguracija softvera SamSam i zahtjevi za otkupninom razlikuju se od žrtve do žrtve, a traženi iznosi dosežu i 60.000 američkih dolara.
Na Bitcoin adrese povezane s ucjenjivačkim softverom SamSam ove su godine uplaćene otkupnine u ukupnom iznosu većem od milijun američkih dolara.
Zbog prirode tih napada rijetko su dostupne precizne pojedinosti. SophosLabs istražio je nedavne napade i otkrio nove informacije o tome kako se taj ucjenjivački softver razvijao posljednjih mjeseci. Više pojedinosti potražite u našem stručnom izvješću „Ucjenjivački softver Samsam pomno bira svoje mete”.
Zaštitite svoje poduzeće!
Iako hakeri prilagođavaju pristup svakoj meti i iskorištavaju njezine specifične ranjivosti, postoje zajednički obrasci kojima treba posvetiti posebnu pozornost.
1. Zatvorite sva vrata
Napadi SamSam često počinju tako što napadači iskorištavaju slabe lozinke na RDP računima.
Ako vam RDP nije potreban, onemogućite ga.
Pobrinite se da korisnici imaju snažne lozinke.
Omogućite dvofaktorsku autentifikaciju (2FA) gdje god je to moguće.
Dopustite RDP veze samo s ovlaštenih računala.
Postavite pravilo zaključavanja računa kako biste ograničili broj pokušaja unosa lozinke.
2. Uklonite sve ranjivosti
Također se pretpostavlja da su napadači koji koriste SamSam pristupali mrežama svojih žrtava iskorištavanjem ranjivosti deserijalizacije u Javi i sustava JBoss bez instaliranih sigurnosnih zakrpa, odnosno sigurnosnih propusta poput CVE-2010-0738, CVE-2012-0874 i CVE-2010-1428.
Naravno, razumno je pretpostaviti da će hakeri koji koriste SamSam iskoristiti svaku javno dostupnu ranjivost koja odgovara njihovim ciljevima, pa ovaj popis nije iscrpan – i dalje vrijedi uobičajeni savjet da redovito ažurirate sustave.
3. Održavajte čistoću i red
Ako napadač dobije pristup vašoj mreži, zaustavljanje napada rijetko se svodi na jednostavno prepoznavanje jedne, očito zlonamjerne datoteke. Mnogi alati koji se upotrebljavaju u napadima SamSam odabrani su upravo zato što je riječ o legitimnom softveru koji se već nalazi u vašoj mreži, primjerice PsExec, Powershell, WScript ili CScript.
Ako ste već korisnik Sophosovih proizvoda, možete upotrijebiti Application Control da biste konfigurirali pristup legitimnim aplikacijama u svojoj organizaciji. Tako, primjerice, možete osigurati da administratori kojima je Powershell potreban imaju pristup tom alatu, a obični korisnici ne.
SamSam se koristio alatom PsExec za lakše širenje mrežama. Naši proizvodi prema zadanim postavkama prepoznaju i blokiraju PsExec kao potencijalno neželjenu aplikaciju (PUA).
Administratori bi trebali provjeriti je li uključeno skeniranje radi otkrivanja potencijalno neželjenih aplikacija (PUA) i da PsExec nije dodan na popis dopuštenih aplikacija. Ako morate upotrebljavati PsExec, možete ga dopustiti samo korisnicima kojima je potreban i opozvati to dopuštenje čim završite s upotrebom.
4. Nabavite dobrog psa čuvara (ili dva)
Svaki sigurnosni sloj koji imate namijenjen je drugoj vrsti prijetnje, a strategija dubinske obrane s više zaštitnih slojeva koji se međusobno preklapaju i dalje je najbolji pristup.
Sophos Endpoint i Server blokiraju aktualne verzije zlonamjernog softvera SamSam pod nazivima Troj / Samas-F, Troj / RansRun-A i Mal / Kryptik-BV.
Korisnici koji upotrebljavaju Intercept X ili Exploit Prevention zaštićeni su od ucjenjivačkog softvera SamSam našom zaštitom od ucjenjivačkog softvera CryptoGuard.
Za korisnike s licencama za Central Server Advancedmože se primijeniti Server Lockdown (popis dopuštenih aplikacija) kako bi se poslužitelji zaštitili od neovlaštenih promjena.
Korisnici koji upotrebljavaju Sophos Central u kombinaciji s proizvodom XG Firewall mogu upotrebljavati funkciju Security Heartbeat ™, koja krajnjim uređajima omogućuje komunikaciju s vatrozidom i izradu pravila koja automatski izoliraju računalo kada se prijavi otkrivena prijetnja.