Hoewel de meeste schade door ransomware wordt veroorzaakt door ongerichte, willekeurige aanvallen met software zoals Locky en GlobaImposter, zijn verwoestende, doelgerichte aanvallen met de precisie van een sluipschutter in opkomst.
Bij een gerichte aanval kiezen criminelen een kwetsbare organisatie uit en stemmen ze hun aanpak zo af dat ze maximale schade en ontwrichting veroorzaken. Zo kunnen ze hun invloed vergroten terwijl ze hoge losgeldbedragen afpersen.
Een populair hulpmiddel voor hackers die op deze manier te werk gaan, is SamSam Ransomware, ook bekend als Samas.
SamSam-aanvallen zijn relatief zeldzaam en lijken vooral gericht te zijn op de zorg, de overheid en het onderwijs. Geen twee aanvallen zijn hetzelfde, al zijn er wel overeenkomsten. De configuratie van de SamSam-software en de losgeldeisen verschillen per slachtoffer. Het geëiste losgeld kan oplopen tot 60.000 Amerikaanse dollar.
Op de Bitcoin-adressen die aan SamSam zijn gekoppeld, is dit jaar meer dan 1 miljoen Amerikaanse dollar aan losgeld ontvangen.
Door de aard van de aanvallen zijn er zelden gedetailleerde gegevens beschikbaar. SophosLabs heeft de recente aanvallen onderzocht en nieuwe informatie ontdekt over hoe de ransomware zich de afgelopen maanden heeft ontwikkeld. Lees voor meer informatie onze whitepaper Samsam Ransomware kiest zijn doelwitten zorgvuldig uit.
Bescherm uw bedrijf!
Hoewel hackers hun aanpak per doelwit aanpassen en specifieke kwetsbaarheden uitbuiten, zijn er gemeenschappelijke aandachtspunten die extra aandacht verdienen.
1. Sluit alle deuren
SamSam-aanvallen beginnen vaak doordat aanvallers misbruik maken van zwakke wachtwoorden voor RDP-accounts.
Schakel RDP uit als u het niet nodig hebt.
Zorg ervoor dat gebruikers sterke wachtwoorden hebben.
Schakel waar mogelijk tweefactorauthenticatie (2FA) in.
Sta alleen RDP-verbindingen vanaf geautoriseerde computers toe.
Stel een vergrendelingsbeleid in om het aantal wachtwoordpogingen te beperken.
2. Verhelp alle kwetsbaarheden
Ook wordt aangenomen dat de SamSam-aanvallers toegang hebben gekregen tot de netwerken van hun doelwitten door misbruik te maken van kwetsbaarheden in Java-deserialisatie en ongepatchte JBoss-systemen, waaronder beveiligingslekken zoals CVE-2010-0738, CVE-2012-0874 en CVE-2010-1428.
Het is uiteraard aannemelijk dat de SamSam-hackers elke publiek toegankelijke kwetsbaarheid uitbuiten die hun doelen dient. Deze lijst is dus niet uitputtend: het gebruikelijke advies om alles up-to-date te houden blijft van kracht.
3. Houd alles netjes en opgeruimd
Als een aanvaller toegang krijgt tot uw netwerk, is het afweren van de aanval zelden zo eenvoudig als het opsporen van één duidelijk kwaadaardig bestand. Veel van de tools die bij SamSam-aanvallen worden ingezet, worden juist gebruikt omdat het legitieme software is die al in uw netwerk aanwezig is, zoals PsExec, Powershell, WScript of CScript.
Als u al klant bent bij Sophos, kunt u Application Control gebruiken om de toegang tot legitieme toepassingen binnen uw organisatie in te stellen. Zo zorgt u er bijvoorbeeld voor dat beheerders die Powershell nodig hebben er toegang toe hebben, maar gewone gebruikers niet.
Bij SamSam-aanvallen is PsExec gebruikt om de verspreiding binnen netwerken te bevorderen. Onze producten detecteren en blokkeren PsExec standaard als potentieel ongewenste toepassing (PUA).
Beheerders moeten ervoor zorgen dat de PUA-controle is ingeschakeld en dat PsExec niet aan de lijst met toegestane toepassingen is toegevoegd. Als u PsExec moet gebruiken, kunt u het alleen toestaan voor gebruikers die het nodig hebben en die toestemming weer intrekken zodra u klaar bent.
4. Neem een goede waakhond (of twee)
Elke beveiligingslaag die u gebruikt, is ontworpen voor een ander type dreiging. Een gelaagde beveiligingsstrategie met meerdere overlappende beschermingslagen blijft dan ook de beste aanpak.
Sophos Endpoint en Server blokkeren de huidige versies van SamSam als Troj / Samas-F, Troj / RansRun-A en Mal / Kryptik-BV.
Klanten met Intercept X of Exploit Prevention zijn dankzij onze antiransomwarebescherming CryptoGuard beschermd tegen SamSam.
Voor klanten met Central Server Advanced-licenties kan Server Lockdown (allowlisting) worden ingezet om hun servers te beschermen tegen ongeautoriseerde wijzigingen.
Klanten die Sophos Central gebruiken in combinatie met de XG Firewall kunnen gebruikmaken van de Security Heartbeat™-functie, waarmee hun endpoints met hun firewall kunnen communiceren en beleidsregels kunnen worden opgesteld die een machine automatisch isoleren wanneer er een detectie wordt gemeld.