Selv om mesteparten av skadene som løsepengevirus forårsaker, oppstår ved vilkårlige masseangrep med programvare som Locky og GlobaImposter, blir ødeleggende, målrettede angrep med skarpskytterpresisjon stadig vanligere.
Ved et målrettet angrep velger de kriminelle ut en sårbar organisasjon og tilpasser fremgangsmåten for å forårsake størst mulig skade og driftsforstyrrelser. På denne måten styrker de sin forhandlingsposisjon når de presser ofrene for store løsepenger.
Et populært verktøy blant hackere som opererer på denne måten, er løsepengeviruset SamSam, også kjent som Samas.
SamSam-angrep er relativt sjeldne og ser ut til å være konsentrert om helsesektoren, offentlig forvaltning og utdanningssektoren. Ingen angrep er helt like, selv om de har enkelte fellestrekk. Både konfigurasjonen av SamSam-programvaren og løsepengekravene varierer fra offer til offer, og kravene kan være på opptil 60 000 amerikanske dollar.
Bitcoin-adressene som er knyttet til SamSam, har i år mottatt løsepengebetalinger på til sammen over én million amerikanske dollar.
På grunn av angrepenes karakter er det sjelden detaljerte opplysninger er tilgjengelige. SophosLabs har undersøkt de siste angrepene og avdekket ny informasjon om hvordan løsepengeviruset har utviklet seg de siste månedene. Du finner mer informasjon i vår fagrapport Samsam Ransomware velger sine mål med omhu.
Beskytt virksomheten din!
Selv om hackerne tilpasser fremgangsmåten til hvert enkelt mål og utnytter målets spesifikke sårbarheter, finnes det noen fellestrekk som det er viktig å være særlig oppmerksom på.
1. Lukk alle dører
SamSam-angrep begynner ofte med at angriperne utnytter svake passord på RDP-kontoer.
Deaktiver RDP hvis du ikke trenger det.
Sørg for at brukerne har sterke passord.
Aktiver tofaktorautentisering (2FA) der det er mulig.
Tillat bare RDP-tilkoblinger fra autoriserte datamaskiner.
Innfør en policy for kontolåsing for å begrense antallet passordforsøk.
2. Tett alle sikkerhetshull
Det antas også at SamSam-angriperne har skaffet seg tilgang til ofrenes nettverk ved å utnytte sårbarheter i Java-deserialisering og JBoss-systemer som mangler sikkerhetsoppdateringer, blant annet sikkerhetshull som CVE-2010-0738, CVE-2012-0874 og CVE-2010-1428.
Det er naturligvis rimelig å anta at SamSam-hackerne utnytter enhver offentlig tilgjengelig sårbarhet som tjener deres formål. Listen er derfor ikke uttømmende – det vanlige rådet om å holde systemene oppdatert gjelder fortsatt.
3. Hold det rent og ryddig
Hvis en angriper får tilgang til nettverket ditt, er det sjelden nok å oppdage én enkelt, åpenbart skadelig fil for å stanse angrepet. Mange av verktøyene som brukes i SamSam-angrep, brukes nettopp fordi de er legitim programvare som allerede finnes i nettverket ditt, for eksempel PsExec, Powershell, WScript eller CScript.
Hvis du allerede er Sophos-kunde, kan du bruke Application Control til å styre organisasjonens tilgang til legitime programmer. Du kan for eksempel sørge for at administratorer som trenger Powershell, har tilgang til det, mens vanlige brukere ikke har det.
SamSam har blitt brukt sammen med PsExec for å gjøre det lettere å spre seg i nettverk. Som standard oppdager og blokkerer produktene våre PsExec som et potensielt uønsket program (PUA).
Administratorer bør sørge for at PUA-skanning er aktivert, og at PsExec ikke er lagt til i listen over godkjente programmer. Hvis du må bruke PsExec, kan du godkjenne det bare for brukerne som trenger det, og trekke tilbake godkjenningen så snart du er ferdig.
4. Skaff deg en god vakthund (eller to)
Hvert sikkerhetslag du har, er utformet for å håndtere en bestemt type trussel. En dybdeforsvarsstrategi med flere overlappende beskyttelseslag er fortsatt den beste tilnærmingen.
Sophos Endpoint og Server blokkerer gjeldende versjoner av SamSam som Troj / Samas-F, Troj / RansRun-A og Mal / Kryptik-BV.
Kunder med Intercept X eller Exploit Prevention er beskyttet mot SamSam av CryptoGuard, vår beskyttelse mot løsepengevirus.
For kunder med Central Server Advanced-lisenser kan Server Lockdown (tillatelseslisting) brukes til å beskytte serverne mot uautoriserte endringer.
Kunder som bruker Sophos Central i kombinasjon med XG Firewall kan bruke Security Heartbeat ™-funksjonen, som gjør det mulig for endepunktene å kommunisere med brannmuren og opprette policyer som automatisk isolerer en maskin når en trussel rapporteres.