Choć większość szkód wyrządzanych przez ransomware jest skutkiem masowych ataków na przypadkowe ofiary z użyciem oprogramowania takiego jak Locky i GlobaImposter, coraz częściej dochodzi do niszczycielskich ataków ukierunkowanych, przeprowadzanych ze snajperską precyzją.
W ataku ukierunkowanym przestępcy wybierają organizację podatną na atak i dostosowują swoje działania tak, aby spowodować jak największe szkody i zakłócenia. W ten sposób umacniają swoją pozycję, wymuszając wysokie okupy.
Popularnym narzędziem hakerów działających w ten sposób jest ransomware SamSam, znane również jako Samas.
Ataki z użyciem SamSam są stosunkowo rzadkie i wydają się koncentrować na sektorach ochrony zdrowia, administracji publicznej i edukacji. Nie ma dwóch identycznych ataków, choć można wskazać ich wspólne elementy. Konfiguracja oprogramowania SamSam i żądania okupu różnią się w zależności od ofiary, a wysokość okupu sięga 60 000 dolarów amerykańskich.
Na adresy Bitcoin powiązane z SamSam wpłynęły w tym roku wpłaty okupu o łącznej wartości ponad 1 miliona dolarów amerykańskich.
Ze względu na charakter tych ataków szczegółowe informacje są rzadko dostępne. Zespół SophosLabs zbadał ostatnie ataki i odkrył nowe informacje o tym, jak ransomware ewoluowało w ciągu ostatnich miesięcy. Więcej szczegółów można znaleźć w naszym raporcie „Ransomware Samsam starannie wybiera swoje cele”.
Chroń swoją firmę!
Choć hakerzy dostosowują sposób działania do konkretnej ofiary i wykorzystują jej specyficzne słabości, pewne elementy są wspólne dla tych ataków i warto zwrócić na nie szczególną uwagę.
1. Zamknij wszystkie drzwi
Ataki SamSam często zaczynają się od wykorzystania słabych haseł do kont RDP.
Jeśli nie potrzebujesz RDP, wyłącz tę usługę.
Upewnij się, że użytkownicy stosują silne hasła.
Włącz uwierzytelnianie dwuskładnikowe (2FA) wszędzie tam, gdzie to możliwe.
Zezwalaj na połączenia RDP wyłącznie z autoryzowanych komputerów.
Skonfiguruj zasady blokowania kont, aby ograniczyć liczbę prób wprowadzania hasła.
2. Usuń wszystkie luki w zabezpieczeniach
Przypuszcza się również, że sprawcy ataków SamSam uzyskiwali dostęp do sieci swoich ofiar, wykorzystując luki w deserializacji obiektów Java oraz niezałatane systemy JBoss, w tym luki takie jak CVE-2010-0738, CVE-2012-0874 i CVE-2010-1428.
Oczywiście należy zakładać, że hakerzy stojący za SamSam wykorzystają każdą publicznie znaną lukę, która posłuży ich celom. Nie jest to więc wyczerpująca lista — nadal obowiązuje standardowe zalecenie, aby na bieżąco instalować aktualizacje.
3. Dbaj o porządek
Jeśli atakujący uzyska dostęp do Twojej sieci, powstrzymanie ataku rzadko sprowadza się do wykrycia jednego, ewidentnie złośliwego pliku. Wiele narzędzi wykorzystywanych w atakach SamSam jest wybieranych właśnie dlatego, że są to legalne programy, które już znajdują się w Twojej sieci, np. PsExec, Powershell, WScript czy CScript.
Jeśli jesteś już klientem Sophos, możesz skorzystać z funkcji Application Control, aby skonfigurować dostęp do legalnych aplikacji w swojej organizacji. W ten sposób możesz na przykład zapewnić dostęp do Powershell administratorom, którzy go potrzebują, a jednocześnie zablokować go zwykłym użytkownikom.
SamSam wykorzystywał narzędzie PsExec, aby ułatwić rozprzestrzenianie się w sieciach. Nasze produkty domyślnie wykrywają i blokują PsExec jako potencjalnie niepożądaną aplikację (PUA).
Administratorzy powinni upewnić się, że skanowanie w poszukiwaniu potencjalnie niepożądanych aplikacji (PUA) jest włączone i że PsExec nie został dodany do listy dozwolonych aplikacji. Jeśli musisz korzystać z PsExec, możesz zezwolić na jego używanie tylko tym użytkownikom, którzy go potrzebują, a po zakończeniu pracy cofnąć to zezwolenie.
4. Postaw na dobrego psa stróżującego (lub dwa)
Każda warstwa zabezpieczeń chroni przed innym rodzajem zagrożeń, dlatego strategia obrony w głąb, oparta na wielu nakładających się warstwach ochrony, nadal pozostaje najlepszym podejściem.
Sophos Endpoint i Server blokują aktualne wersje SamSam jako Troj / Samas-F, Troj / RansRun-A i Mal / Kryptik-BV.
Klienci korzystający z Intercept X lub Exploit Prevention są chronieni przed SamSam przez nasz mechanizm ochrony przed ransomware CryptoGuard.
Klienci z licencjami Central Server Advancedmogą korzystać z funkcji Server Lockdown (listy dozwolonych), aby chronić swoje serwery przed nieautoryzowanymi zmianami.
Klienci korzystający z Sophos Central w połączeniu z XG Firewall mogą korzystać z funkcji Security Heartbeat ™, umożliwiającej komunikację punktów końcowych z zaporą sieciową oraz tworzenie zasad, które automatycznie izolują komputer po zgłoszeniu wykrycia zagrożenia.