Иако најголемиот дел од штетата предизвикана од рансомвер настанува при неселективни напади со софтвер како Locky и GlobaImposter, сè почести се разорните насочени напади со снајперска прецизност.
При насочен напад, криминалците избираат ранлива организација и го приспособуваат својот пристап така што ќе предизвика максимална штета и нарушувања во работењето. На овој начин можат да го зголемат своето влијание додека изнудуваат високи откупнини.
Популарна алатка меѓу хакерите што дејствуваат на овој начин е рансомверот SamSam, познат и како Samas.
Нападите со SamSam се релативно ретки и се чини дека се насочени кон здравството, државните институции и образованието. Нема два исти напади, иако постојат заеднички елементи. Конфигурацијата на софтверот SamSam и барањата за откуп се разликуваат од жртва до жртва, а бараните откупнини достигнуваат и до 60.000 американски долари.
На Bitcoin-адресите поврзани со SamSam оваа година се уплатени откупнини во вкупен износ од над 1 милион американски долари.
Поради природата на нападите, ретко се достапни прецизни детали. SophosLabs ги истражи најновите напади и откри нови информации за тоа како се развивал рансомверот во последните месеци. За повеќе детали, прочитајте го нашиот стручен извештај „Рансомверот Samsam внимателно ги избира своите цели“.
Заштитете ја вашата компанија!
Иако хакерите го приспособуваат својот пристап на секоја цел и ги искористуваат нејзините специфични слабости, постојат заеднички аспекти на кои треба да им се посвети посебно внимание.
1. Затворете ги сите врати
Нападите со SamSam често започнуваат со искористување на слабите лозинки на сметките за RDP.
Ако не ви е потребен RDP, оневозможете го.
Погрижете се корисниците да имаат силни лозинки.
Овозможете двофакторска автентикација (2FA) секаде каде што е можно.
Дозволувајте RDP-врски само од овластени компјутери.
Поставете политика за заклучување на сметките за да го ограничите бројот на обиди за внесување лозинка.
2. Отстранете ги сите ранливости
Исто така, се претпоставува дека напаѓачите што користат SamSam добиле пристап до мрежите на своите цели преку искористување на ранливости при десеријализација во Java и системи JBoss без инсталирани безбедносни закрпи, односно безбедносни пропусти како CVE-2010-0738, CVE-2012-0874 и CVE-2010-1428.
Секако, разумно е да се претпостави дека хакерите што користат SamSam ќе ја искористат секоја јавно достапна ранливост што им одговара на целите, па затоа ова не е исцрпна листа — и понатаму важи вообичаениот совет редовно да ги ажурирате системите.
3. Одржувајте ги системите чисти и уредни
Ако напаѓач добие пристап до вашата мрежа, спречувањето на нападот ретко се сведува само на откривање една очигледно злонамерна датотека. Многу од алатките што се користат во нападите со SamSam се избрани токму затоа што се легитимен софтвер што веќе е присутен во вашата мрежа, како што се PsExec, Powershell, WScript или CScript.
Ако веќе сте корисник на Sophos, можете да го користите Application Control за да го конфигурирате пристапот на вашата организација до легитимни апликации. Така, на пример, можете да обезбедите пристап до Powershell за администраторите на кои им е потребен, но не и за обичните корисници.
SamSam се користел заедно со PsExec за полесно ширење низ мрежите. Стандардно, нашите производи го препознаваат и блокираат PsExec како потенцијално несакана апликација (PUA).
Администраторите треба да се погрижат проверката за PUA да биде овозможена и PsExec да не биде додаден на списокот со дозволени апликации. Ако мора да го користите PsExec, можете да го дозволите само за корисниците на кои им е потребен и да ја повлечете дозволата штом ќе завршите.
4. Набавете добро куче чувар (или две)
Секој безбедносен слој што го имате е наменет за различен вид закана, а стратегијата за повеќеслојна одбрана, која користи повеќе заштитни слоеви што се преклопуваат, и понатаму е најдобриот пристап.
Sophos Endpoint и Server ги блокираат тековните верзии на SamSam како Troj / Samas-F, Troj / RansRun-A и Mal / Kryptik-BV.
Клиентите со Intercept X или Exploit Prevention се заштитени од SamSam со нашата заштита од рансомвер CryptoGuard.
За клиентите со лиценци за Central Server Advanced, може да се користи Server Lockdown (листа на дозволени апликации) за да се заштитат нивните сервери од неовластени промени.
Клиентите што користат Sophos Central во комбинација со XG Firewall можат да ја користат функцијата Security Heartbeat ™, која им овозможува на крајните уреди да комуницираат со заштитниот ѕид и да создаваат политики што автоматски изолираат компјутер кога ќе се пријави откриена закана.