Þótt mestur hluti tjóns af völdum gíslahugbúnaðar verði í handahófskenndum árásum með hugbúnaði á borð við Locky og GlobaImposter, færast markvissar og skaðvænlegar árásir að hætti leyniskyttna í vöxt.
Í markvissri árás velja glæpamenn sér fyrirtæki eða stofnun með veikleika sem hægt er að nýta og haga aðferðum sínum þannig að þær valdi sem mestu tjóni og röskun. Þannig geta þeir styrkt stöðu sína og kúgað fórnarlömb sín til að greiða há lausnargjöld.
SamSam Ransomware, einnig þekktur sem Samas, er vinsælt verkfæri meðal tölvuþrjóta sem beita þessum aðferðum.
SamSam-árásir eru tiltölulega sjaldgæfar og virðast einkum beinast að heilbrigðisstofnunum, opinberum stofnunum og menntastofnunum. Engar tvær árásir eru eins, þótt þær eigi ýmislegt sameiginlegt. Uppsetning SamSam-hugbúnaðarins og kröfur um lausnargjald eru mismunandi eftir fórnarlömbum og lausnargjaldið getur numið allt að 60.000 Bandaríkjadölum.
Á þessu ári hafa lausnargjaldsgreiðslur að andvirði yfir einnar milljónar Bandaríkjadala borist á Bitcoin-vistföng sem tengjast SamSam.
Vegna eðlis árásanna liggja sjaldnast fyrir nákvæmar upplýsingar um þær. SophosLabs hefur rannsakað nýjustu árásirnar og aflað nýrra upplýsinga um hvernig gíslahugbúnaðurinn hefur þróast undanfarna mánuði. Nánari upplýsingar er að finna í hvítbókinni okkar Hvítbók: Samsam Ransomware velur skotmörk sín af kostgæfni.
Verndaðu fyrirtækið þitt!
Þótt tölvuþrjótarnir lagi aðferðir sínar að hverju skotmarki og nýti sér veikleika þess eru nokkur sameiginleg atriði sem vert er að huga sérstaklega að.
1. Lokaðu öllum dyrum
SamSam-árásir hefjast oft með því að árásaraðilar nýta sér veik lykilorð á RDP-reikningum.
Ef þið þurfið ekki á RDP að halda skaltu slökkva á því.
Gangið úr skugga um að notendur séu með sterk lykilorð.
Virkjið tveggja þátta auðkenningu (2FA) alls staðar þar sem það er hægt.
Leyfið aðeins RDP-tengingar frá tölvum sem hafa tilskilda heimild.
Setjið reglur um læsingu aðgangs til að takmarka hversu oft má reyna að slá inn lykilorð.
2. Lokið öllum öryggisglufum
Einnig er talið að SamSam-árásaraðilarnir hafi komist inn á net fórnarlamba sinna með því að nýta sér veikleika í afraðvæðingu Java-gagna og JBoss-kerfi sem ekki höfðu fengið öryggisuppfærslur. Þar hafi þeir meðal annars nýtt sér öryggisglufurnar CVE-2010-0738, CVE-2012-0874 og CVE-2010-1428.
Auðvitað er eðlilegt að gera ráð fyrir að SamSam-árásaraðilarnir nýti sér alla veikleika sem eru aðgengilegir utan frá og henta tilgangi þeirra. Þessi listi er því ekki tæmandi og hefðbundna ráðið um að halda kerfum uppfærðum á enn við.
3. Haldið öllu hreinu og snyrtilegu
Ef árásaraðili kemst inn á netið þitt þarf yfirleitt meira til að stöðva árásina en að finna eina skrá sem er augljóslega skaðleg. Mörg verkfæranna sem notuð eru í SamSam-árásum eru valin einmitt vegna þess að þau eru lögmætur hugbúnaður sem er þegar til staðar á netinu þínu, svo sem PsExec, Powershell, WScript eða CScript.
Ef þú ert nú þegar viðskiptavinur Sophos geturðu notað Application Control til að stilla aðgang að lögmætum forritum innan fyrirtækisins. Þannig geturðu til dæmis tryggt að kerfisstjórar sem þurfa Powershell hafi aðgang að því, en almennir notendur ekki.
PsExec hefur verið notað með SamSam til að auðvelda útbreiðslu um net. Sjálfgefið er að vörurnar okkar greini PsExec sem hugsanlega óæskilegt forrit (PUA) og loki á það.
Kerfisstjórar ættu að ganga úr skugga um að kveikt sé á leit að hugsanlega óæskilegum forritum (PUA) og að PsExec hafi ekki verið bætt á lista yfir leyfð forrit. Ef þú þarft að nota PsExec geturðu leyft aðeins þeim notendum sem þurfa á því að halda að nota það og afturkallað leyfið um leið og notkuninni er lokið.
4. Fáðu þér góðan varðhund (eða tvo)
Hvert öryggislag er hannað til að verjast tiltekinni tegund ógnar. Marglaga varnarstefna, þar sem nokkur verndarlög skarast, er því enn besta leiðin.
Sophos Endpoint og Server loka á núverandi útgáfur af SamSam sem Troj / Samas-F, Troj / RansRun-A og Mal / Kryptik-BV.
Viðskiptavinir með Intercept X eða Exploit Prevention eru varðir gegn SamSam með fjárkúgunarvörninni okkar, CryptoGuard.
Hjá viðskiptavinum með Central Server Advanced-leyfi má nota Server Lockdown (lista yfir leyfð forrit) til að verja netþjóna þeirra gegn óheimilum breytingum.
Viðskiptavinir sem nota Sophos Central ásamt XG Firewall geta notað Security Heartbeat ™-eiginleikann, sem gerir endapunktum þeirra kleift að eiga samskipti við eldvegginn og búa til reglur sem einangra tölvu sjálfkrafa þegar tilkynnt er um ógn.