Bár a zsarolóvírusok okozta károk legnagyobb része olyan szoftverekkel végrehajtott, válogatás nélküli támadásokból ered, mint a Locky és a GlobaImposter, egyre terjednek a mesterlövészek pontosságával végrehajtott, pusztító célzott támadások.
Célzott támadás esetén a bűnözők kiválasztanak egy sebezhető szervezetet, és úgy alakítják a módszereiket, hogy a lehető legnagyobb kárt és fennakadást okozzák. Így növelhetik befolyásukat, miközben magas váltságdíjakat csikarnak ki.
Az így dolgozó hackerek egyik kedvelt eszköze a SamSam zsarolóvírus, más néven Samas.
A SamSam-támadások viszonylag ritkák, és úgy tűnik, elsősorban az egészségügyi, kormányzati és oktatási szektort veszik célba. Nincs két egyforma támadás, bár vannak közös elemeik. A SamSam konfigurációja és a követelt váltságdíj áldozatonként eltérő; az összeg akár a 60 000 amerikai dollárt is elérheti.
A SamSamhez köthető Bitcoin-címekre idén több mint 1 millió amerikai dollár értékű váltságdíj érkezett.
A támadások jellegéből adódóan ritkán állnak rendelkezésre pontos részletek. A SophosLabs megvizsgálta a közelmúlt támadásait, és új információkat tárt fel arról, hogyan fejlődött a zsarolóvírus az elmúlt hónapokban. További részletekért olvassa el az alábbi tanulmányunkat: Tanulmány: A Samsam zsarolóvírus gondosan választja ki célpontjait.
Védje meg vállalatát!
Bár a hackerek módszerei célpontonként eltérnek, és az adott célpont sajátos sebezhetőségeit használják ki, vannak közös pontok, amelyekre különös figyelmet kell fordítani.
1. Zárjon be minden ajtót
A SamSam-támadások gyakran azzal kezdődnek, hogy a támadók kihasználják az RDP-fiókok gyenge jelszavait.
Ha nincs szüksége az RDP-re, tiltsa le.
Gondoskodjon arról, hogy a felhasználók erős jelszavakat használjanak.
Ahol csak lehet, kapcsolja be a kétfaktoros hitelesítést (2FA).
Csak az engedélyezett számítógépekről érkező RDP-kapcsolatokat fogadja el.
Állítson be fiókzárolási házirendet, hogy korlátozza a jelszópróbálkozások gyakoriságát.
2. Szüntessen meg minden sebezhetőséget
Feltételezések szerint a SamSam támadói Java-deszerializációs sebezhetőségeket és javítatlan JBoss-rendszereket kihasználva is bejutottak a célpontok hálózataiba, többek között a CVE-2010-0738, a CVE-2012-0874 és a CVE-2010-1428 jelű biztonsági réseken keresztül.
Természetesen joggal feltételezhető, hogy a SamSam mögött álló hackerek minden nyilvánosan elérhető, a céljaiknak megfelelő sebezhetőséget kihasználnak, így ez a lista nem teljes körű – itt is érvényes a szokásos tanács: tartsa naprakészen a rendszereit.
3. Tartson rendet és tisztaságot
Ha egy támadó hozzáfér a hálózatához, a kizárásához ritkán elegendő egyetlen, egyértelműen rosszindulatú fájl felismerése. A SamSam-támadások során használt eszközök közül sokat éppen azért vetnek be, mert legitim szoftverek, amelyek már eleve megtalálhatók a hálózatában, például a PsExec, a Powershell, a WScript vagy a CScript.
Ha Ön már a Sophos ügyfele, az Application Control segítségével szabályozhatja, hogy a szervezetén belül ki férhet hozzá a legitim alkalmazásokhoz. Így például biztosíthatja, hogy a Powershell elérhető legyen azoknak a rendszergazdáknak, akiknek szükségük van rá, az általános felhasználóknak viszont ne.
A SamSam hálózaton belüli terjedésének elősegítésére a PsExec eszközt is használták. Termékeink alapértelmezés szerint potenciálisan nemkívánatos alkalmazásként (PUA) észlelik és blokkolják a PsExec eszközt.
A rendszergazdáknak gondoskodniuk kell arról, hogy a potenciálisan nemkívánatos alkalmazások keresése engedélyezve legyen, és a PsExec ne szerepeljen az engedélyezési listán. Ha szükség van a PsExec használatára, csak azoknak a felhasználóknak engedélyezze, akiknek valóban szükségük van rá, majd a munka végeztével vonja vissza az engedélyt.
4. Szerezzen be egy jó házőrzőt (vagy kettőt)
Minden biztonsági réteg más típusú fenyegetés ellen nyújt védelmet, és továbbra is a több, egymást átfedő védelmi rétegre épülő mélységi védelmi stratégia a legjobb megközelítés.
Sophos Endpoint és Server Troj / Samas-F, Troj / RansRun-A és Mal / Kryptik-BV néven észleli és blokkolja a SamSam jelenlegi változatait.
Azok az ügyfelek, akik Intercept X vagy Exploit Prevention megoldást használnak, a CryptoGuard zsarolóvírusok elleni védelmének köszönhetően védettek a SamSam ellen.
A Central Server Advanced-licenccel rendelkező ügyfelek a Server Lockdown (engedélyezési listán alapuló védelem) segítségével védhetik meg szervereiket a jogosulatlan módosításoktól.
Azok az ügyfelek, akik a Sophos Central megoldást az XG Firewall megoldással együtt használják, igénybe vehetik a Security Heartbeat ™ funkciót, amely lehetővé teszi, hogy a végpontok kommunikáljanak a tűzfallal, és olyan szabályokat hozzanak létre, amelyek fenyegetés észlelésekor automatikusan elkülönítik az érintett gépet.