Għalkemm il-biċċa l-kbira tal-ħsara kkawżata mir-ransomware isseħħ f’attakki każwali u mhux immirati permezz ta’ software bħal Locky u GlobaImposter, qed jiżdiedu l-attakki mmirati li jolqtu bi preċiżjoni bħal dik ta’ tiratur magħżul u jħallu ħerba warajhom.
F’attakk immirat, il-kriminali jagħżlu organizzazzjoni vulnerabbli u jfasslu l-approċċ tagħhom b’mod li jikkawża l-akbar ħsara u tfixkil possibbli. B’dan il-mod, ikunu jistgħu jżidu l-influwenza tagħhom waqt li jitolbu somom kbar ta’ flus bħala riskatt.
Għodda popolari fost il-hackers li jaħdmu b’dan il-mod hija SamSam Ransomware, magħrufa wkoll bħala Samas.
L-attakki ta’ SamSam huma relattivament rari u jidhru li jiffukaw fuq is-setturi tas-saħħa, tal-gvern u tal-edukazzjoni. L-ebda żewġ attakki ma huma l-istess, għalkemm għandhom elementi komuni. Il-konfigurazzjoni tas-software SamSam u t-talbiet għal riskatt ivarjaw minn vittma għal oħra, u s-somom mitluba jilħqu sa 60,000 dollaru Amerikan.
L-indirizzi Bitcoin marbuta ma’ SamSam irċevew pagamenti ta’ riskatt li jammontaw għal aktar minn miljun dollaru Amerikan din is-sena.
Minħabba n-natura tal-attakki, id-dettalji preċiżi huma skarsi. SophosLabs investigat l-attakki reċenti u skopriet informazzjoni ġdida dwar kif evolva r-ransomware fl-aħħar xhur. Għal aktar dettalji, jekk jogħġbok aqra l-whitepaper tagħna Whitepaper: Samsam Ransomware jagħżel il-miri tiegħu bir-reqqa.
Ipproteġi n-negozju tiegħek!
Għalkemm l-approċċ tal-hackers ivarja minn mira għal oħra biex jisfrutta l-vulnerabbiltajiet speċifiċi tagħha, hemm aspetti komuni li jistħoqqilhom attenzjoni partikolari.
1. Agħlaq il-bibien kollha
L-attakki ta’ SamSam spiss jibdew billi l-attakkanti jisfruttaw passwords dgħajfa fuq kontijiet RDP.
Jekk ma għandkomx bżonn RDP, iddiżattivawh.
Kun żgur li l-utenti jkollhom passwords b’saħħithom.
Attivaw l-awtentikazzjoni b’żewġ fatturi (2FA) kull fejn ikun possibbli.
Aċċettaw biss konnessjonijiet RDP minn kompjuters awtorizzati.
Stabbilixxu politika ta’ mblukkar biex tillimitaw l-għadd ta’ tentattivi li jistgħu jsiru biex jiġu ppruvati l-passwords.
2. Agħlqu l-lakuni kollha fis-sigurtà
Huwa maħsub ukoll li l-attakkanti ta’ SamSam kisbu aċċess għan-netwerks tal-miri tagħhom billi sfruttaw vulnerabbiltajiet fid-deserjalizzazzjoni ta’ Java u sistemi JBoss li ma kinux ġew aġġornati b’garżi tas-sigurtà, permezz ta’ lakuni fis-sigurtà bħal CVE-2010-0738, CVE-2012-0874 u CVE-2010-1428.
Naturalment, huwa raġonevoli li wieħed jassumi li l-hackers ta’ SamSam jisfruttaw kwalunkwe vulnerabbiltà aċċessibbli pubblikament li taqdi l-iskopijiet tagħhom. Għalhekk, din mhijiex lista eżawrjenti — il-parir tas-soltu li żżommu s-sistemi aġġornati jibqa’ japplika.
3. Żommu kollox nadif u fl-ordni
Jekk attakkant jikseb aċċess għan-netwerk tagħkom, it-twaqqif tal-attakk rari jkun sempliċement kwistjoni li tidentifikaw fajl wieħed li jkun ċar li hu malizzjuż. Ħafna mill-għodod użati fl-attakki ta’ SamSam jintużaw proprju għax huma programmi leġittimi li diġà jinsabu fin-netwerk tagħkom, bħal PsExec, Powershell, WScript jew CScript.
Jekk diġà intom klijenti ta’ Sophos, tistgħu tużaw Application Control biex tikkonfiguraw l-aċċess tal-organizzazzjoni tagħkom għal applikazzjonijiet leġittimi. B’hekk, pereżempju, tiżguraw li l-amministraturi li jkollhom bżonn Powershell ikollhom aċċess għalih, iżda l-utenti ordinarji le.
SamSam intuża flimkien ma’ PsExec biex jgħin fit-tixrid fin-netwerks. B’mod awtomatiku, il-prodotti tagħna jidentifikaw u jimblukkaw PsExec bħala applikazzjoni potenzjalment mhux mixtieqa (PUA).
L-amministraturi għandhom jiżguraw li l-iskannjar għall-PUA jkun attivat u li PsExec ma jkunx ġie miżjud mal-lista tal-applikazzjonijiet awtorizzati. Jekk ikollkom bżonn tużaw PsExec, tistgħu tawtorizzawh biss għall-utenti li jkollhom bżonnu, u tirrevokaw din l-awtorizzazzjoni malli tlestu.
4. Ġibu kelb tal-għassa tajjeb (jew tnejn)
Kull saff ta’ sigurtà li għandkom huwa mfassal għal tip differenti ta’ theddida, u strateġija ta’ difiża fuq diversi livelli, li tuża diversi saffi ta’ protezzjoni li jikkoinċidu, għadha l-aħjar approċċ.
Sophos Endpoint u Server jimblukkaw il-verżjonijiet attwali ta’ SamSam bħala Troj / Samas-F, Troj / RansRun-A u Mal / Kryptik-BV.
Il-klijenti li għandhom Intercept X jew Exploit Prevention huma protetti kontra SamSam permezz ta’ CryptoGuard, il-protezzjoni tagħna kontra r-ransomware.
Għall-klijenti b’liċenzji ta’ Central Server Advanced, jista’ jintuża Server Lockdown (lista ta’ elementi awtorizzati) biex jipproteġi s-servers tagħhom minn bidliet mhux awtorizzati.
Il-klijenti li jużaw Sophos Central flimkien ma’ XG Firewall jistgħu jużaw il-funzjoni Security Heartbeat ™, li tippermetti lill-endpoints tagħhom jikkomunikaw mal-firewall tagħhom u joħolqu politiki li jiżolaw awtomatikament magna meta jiġi rrappurtat li nstabet theddida.