Хотя основная часть ущерба от программ-вымогателей приходится на массовые атаки без определённой цели с использованием таких программ, как Locky и GlobaImposter, всё большее распространение получают разрушительные целевые атаки, напоминающие снайперские удары.
При целевой атаке злоумышленники выбирают уязвимую организацию и выстраивают свои действия так, чтобы нанести максимальный ущерб и вызвать как можно более серьёзные сбои в её работе. Тем самым они усиливают давление на жертву, вымогая крупные суммы.
Один из популярных инструментов хакеров, действующих таким образом, — SamSam Ransomware, также известный как Samas.
Атаки SamSam происходят сравнительно редко и, судя по всему, нацелены преимущественно на медицинские учреждения, государственные организации и образовательные учреждения. Хотя у этих атак есть общие черты, ни одна из них не повторяет другую. Конфигурация SamSam и требования о выкупе различаются от жертвы к жертве, а сумма выкупа может достигать 60 000 долларов США.
В этом году на биткоин-адреса, связанные с SamSam, поступили платежи в счёт выкупа на общую сумму свыше 1 миллиона долларов США.
Из-за специфики этих атак подробные сведения о них появляются редко. Специалисты SophosLabs изучили недавние атаки и получили новую информацию о том, как эта программа-вымогатель развивалась в последние месяцы. Подробнее читайте в нашем техническом отчёте «Samsam Ransomware тщательно выбирает цели».
Защитите свою компанию!
Хотя хакеры подбирают подход к каждой жертве, используя её конкретные уязвимости, есть ряд общих моментов, которым следует уделить особое внимание.
1. Закройте все двери
Атаки SamSam часто начинаются с того, что злоумышленники подбирают слабые пароли к учетным записям RDP.
Если вы не используете RDP, отключите его.
Убедитесь, что пользователи используют надежные пароли.
Включите двухфакторную аутентификацию (2FA) везде, где это возможно.
Разрешайте RDP-подключения только с авторизованных компьютеров.
Настройте политику блокировки учетных записей, чтобы ограничить количество попыток подбора пароля.
2. Устраните все уязвимости
Также предполагается, что злоумышленники, использующие SamSam, получали доступ к сетям жертв через уязвимости десериализации Java и системы JBoss без установленных исправлений, эксплуатируя такие уязвимости, как CVE-2010-0738, CVE-2012-0874 и CVE-2010-1428.
Разумеется, разумно предположить, что злоумышленники, использующие SamSam, воспользуются любой общедоступной уязвимостью, которая подходит для их целей. Поэтому этот список не является исчерпывающим, а стандартный совет своевременно устанавливать обновления остается в силе.
3. Поддерживайте чистоту и порядок
Если злоумышленник получает доступ к вашей сети, для пресечения атаки редко бывает достаточно обнаружить один явно вредоносный файл. Многие инструменты, используемые в атаках SamSam, выбирают именно потому, что это легитимные программы, уже имеющиеся в вашей сети, например PsExec, Powershell, WScript или CScript.
Если вы уже являетесь клиентом Sophos, вы можете использовать Application Control для настройки доступа к легитимным приложениям в вашей организации. Например, можно предоставить доступ к Powershell администраторам, которым он необходим, и запретить его обычным пользователям.
Для распространения SamSam по сетям использовался PsExec. По умолчанию наши продукты обнаруживают и блокируют PsExec как потенциально нежелательное приложение (PUA).
Администраторам следует убедиться, что проверка на потенциально нежелательные приложения (PUA) включена, а PsExec не добавлен в список разрешённых приложений. Если вам необходимо использовать PsExec, разрешите доступ к нему только тем пользователям, которым он нужен, и отзовите это разрешение сразу после завершения работы.
4. Заведите хорошего сторожевого пса (или двух)
Каждый уровень защиты рассчитан на определённый тип угроз, поэтому стратегия эшелонированной защиты с несколькими перекрывающими друг друга уровнями по-прежнему остаётся лучшим подходом.
Sophos Endpoint и Server блокируют актуальные версии SamSam, определяя их как Troj / Samas-F, Troj / RansRun-A и Mal / Kryptik-BV.
Клиенты, использующие Intercept X или Exploit Prevention, защищены от SamSam благодаря нашей технологии защиты от программ-вымогателей CryptoGuard.
Клиенты с лицензиями Central Server Advancedмогут использовать Server Lockdown (список разрешённых приложений) для защиты своих серверов от несанкционированных изменений.
Клиенты, использующие Sophos Central в сочетании с XG Firewall , могут воспользоваться функцией Security Heartbeat ™, которая обеспечивает обмен данными между конечными устройствами и межсетевым экраном и позволяет создавать политики для автоматической изоляции компьютера при обнаружении угрозы.