Nors didžioji dalis išpirkos reikalaujančių programų padaromos žalos tenka beatodairiškoms, į konkrečius taikinius nenukreiptoms atakoms, vykdomoms naudojant tokias programas kaip Locky ir GlobaImposter, vis dažniau pasitaiko ir niokojančių tikslinių atakų, vykdomų snaiperio tikslumu.
Vykdydami tikslinę ataką, nusikaltėliai pasirenka pažeidžiamą organizaciją ir pritaiko savo veiksmus taip, kad padarytų kuo daugiau žalos ir kuo labiau sutrikdytų jos veiklą. Taip jie sustiprina savo pozicijas reikalaudami didelių išpirkų.
Vienas populiarių taip veikiančių įsilaužėlių įrankių – išpirkos reikalaujanti programa SamSam, dar žinoma kaip Samas.
SamSam atakos gana retos ir, regis, daugiausia nukreiptos į sveikatos priežiūros, valdžios ir švietimo sektorius. Nors atakos turi bendrų bruožų, dviejų vienodų nebūna. SamSam programos konfigūracija ir išpirkos reikalavimai skiriasi priklausomai nuo aukos, o reikalaujamos išpirkos siekia iki 60 000 JAV dolerių.
Šiemet į su SamSam susijusius Bitcoin adresus pervesta daugiau kaip 1 mln. JAV dolerių išpirkų.
Dėl šių atakų pobūdžio išsamios informacijos apie jas turima retai. SophosLabs ištyrė naujausias atakas ir atrado naujos informacijos apie tai, kaip ši išpirkos reikalaujanti programa keitėsi pastaraisiais mėnesiais. Daugiau informacijos rasite mūsų analitinėje ataskaitoje „Išpirkos reikalaujanti programa Samsam kruopščiai renkasi taikinius“.
Apsaugokite savo įmonę!
Nors įsilaužėliai kiekvienam taikiniui taiko skirtingus metodus ir išnaudoja konkrečias jo silpnąsias vietas, yra bendrų aspektų, kuriems reikėtų skirti ypatingą dėmesį.
1. Uždarykite visas duris
SamSam atakos dažnai prasideda nuo to, kad užpuolikai pasinaudoja silpnais RDP paskyrų slaptažodžiais.
Jei RDP jums nereikia, išjunkite jį.
Pasirūpinkite, kad naudotojai naudotų stiprius slaptažodžius.
Kur tik įmanoma, įjunkite dviejų veiksnių autentifikavimą (2FA).
Leiskite RDP ryšius tik iš kompiuterių, kuriems suteikta tokia teisė.
Nustatykite paskyrų blokavimo politiką, kad apribotumėte bandymų įvesti slaptažodį skaičių.
2. Pašalinkite visas saugumo spragas
Taip pat manoma, kad SamSam užpuolikai pateko į aukų tinklus pasinaudoję Java deserializavimo spragomis ir JBoss sistemomis, kuriose nebuvo įdiegtos saugumo pataisos, išnaudodami tokias saugumo spragas kaip CVE-2010-0738, CVE-2012-0874 ir CVE-2010-1428.
Žinoma, pagrįsta manyti, kad SamSam programišiai pasinaudos bet kuria viešai žinoma saugumo spraga, kuri tinka jų tikslams, todėl šis sąrašas nėra baigtinis – tebegalioja įprastas patarimas laiku diegti naujinimus.
3. Palaikykite švarą ir tvarką
Jei užpuolikas gauna prieigą prie jūsų tinklo, atakai sustabdyti retai pakanka aptikti vieną akivaizdžiai kenkėjišką failą. Daugelis per SamSam atakas naudojamų įrankių pasirenkami būtent todėl, kad tai teisėta programinė įranga, kuri jau yra jūsų tinkle, pavyzdžiui, PsExec, Powershell, WScript ar CScript.
Jei jau esate Sophos klientas, naudodami Application Control galite nustatyti, kas jūsų organizacijoje gali naudotis teisėtomis programomis. Pavyzdžiui, galite užtikrinti, kad administratoriai, kuriems reikia Powershell, turėtų prieigą prie šio įrankio, o įprasti naudotojai – ne.
SamSam plitimui tinkluose palengvinti buvo naudojamas PsExec. Pagal numatytuosius nustatymus mūsų produktai aptinka ir blokuoja PsExec kaip galimai nepageidaujamą programą (PUA).
Administratoriai turėtų įsitikinti, kad įjungta PUA patikra ir kad PsExec nėra įtrauktas į leidžiamų programų sąrašą. Jei jums reikia naudoti PsExec, galite leisti juo naudotis tik tiems naudotojams, kuriems jo reikia, o baigę darbą šį leidimą atšaukti.
4. Įsigykite gerą sarginį šunį (arba du)
Kiekvienas jūsų turimas apsaugos sluoksnis skirtas skirtingo tipo grėsmėms, todėl daugiasluoksnės gynybos strategija, apimanti kelis persidengiančius apsaugos sluoksnius, ir toliau išlieka geriausiu sprendimu.
Sophos Endpoint ir Server blokuoja dabartines SamSam versijas, atpažindami jas kaip Troj / Samas-F, Troj / RansRun-A ir Mal / Kryptik-BV.
Klientus, naudojančius Intercept X arba Exploit Prevention, nuo SamSam saugo mūsų apsaugos nuo išpirkos reikalaujančių programų technologija CryptoGuard.
Klientai, turintys Central Server Advancedlicencijas, gali naudoti Server Lockdown (leidžiamųjų sąrašo funkciją), kad apsaugotų savo serverius nuo neleistinų pakeitimų.
Klientai, naudojantys Sophos Central kartu su XG Firewall , gali naudoti Security Heartbeat ™ funkciją, kuri leidžia jūsų galiniams įrenginiams palaikyti ryšį su jūsų užkarda ir kurti taisykles, automatiškai izoliuojančias įrenginį, kai pranešama apie aptiktą grėsmę.