Čeprav večina škode, ki jo povzroči izsiljevalska programska oprema, nastane pri nenamenskih, naključnih napadih s programsko opremo, kot sta Locky in GlobaImposter, je vse več tudi uničujočih ciljno usmerjenih napadov, ki so natančni kot ostrostrelski streli.
Pri ciljno usmerjenem napadu kriminalci izberejo ranljivo organizacijo in svoj pristop prilagodijo tako, da povzročijo čim več škode in motenj. Tako povečajo svoj vpliv in izsiljujejo visoke odkupnine.
Priljubljeno orodje hekerjev, ki delujejo na ta način, je izsiljevalska programska oprema SamSam, znana tudi kot Samas.
Napadi s programsko opremo SamSam so razmeroma redki in so očitno usmerjeni predvsem v zdravstvo, državno upravo in izobraževanje. Nobena dva napada nista enaka, čeprav imata lahko skupne značilnosti. Nastavitve programske opreme SamSam in zahteve za odkupnino se od žrtve do žrtve razlikujejo, zahtevane odkupnine pa dosegajo do 60.000 ameriških dolarjev.
Na naslove za bitcoin, povezane s programsko opremo SamSam, je bilo letos nakazanih že več kot milijon ameriških dolarjev odkupnin.
Zaradi narave teh napadov so podrobne informacije redke. SophosLabs je preučil nedavne napade in odkril nove informacije o tem, kako se je izsiljevalska programska oprema razvijala v zadnjih mesecih. Za več podrobnosti preberite naš strokovni dokument Izsiljevalska programska oprema Samsam skrbno izbira svoje tarče.
Zaščitite svoje podjetje!
Čeprav hekerji svoj pristop prilagajajo posameznim tarčam in izkoriščajo njihove specifične ranljivosti, obstajajo skupne značilnosti, ki jim je treba nameniti posebno pozornost.
1. Zaprite vsa vrata
Napadi z izsiljevalsko programsko opremo SamSam se pogosto začnejo tako, da napadalci izkoristijo šibka gesla računov RDP.
Če protokola RDP ne potrebujete, ga onemogočite.
Poskrbite, da bodo uporabniki uporabljali močna gesla.
Omogočite dvofaktorsko preverjanje pristnosti (2FA), kjer koli je to mogoče.
Dovolite le povezave RDP iz pooblaščenih računalnikov.
Nastavite pravilnik o zaklepanju računov, da omejite število poskusov vnosa gesla.
2. Odpravite vse ranljivosti
Domneva se tudi, da so napadalci, ki uporabljajo SamSam, dostop do omrežij svojih tarč pridobili z izkoriščanjem ranljivosti pri deserializaciji v Javi in sistemov JBoss brez nameščenih varnostnih popravkov, pri čemer so izkoristili varnostne vrzeli, kot so CVE-2010-0738, CVE-2012-0874 in CVE-2010-1428.
Seveda je smiselno predpostaviti, da bodo hekerji, ki uporabljajo SamSam, izkoristili vsako javno dostopno ranljivost, ki ustreza njihovim namenom, zato ta seznam ni izčrpen – še vedno velja običajni nasvet, da skrbite za redno posodabljanje.
3. Poskrbite za čistočo in red
Ko napadalec pridobi dostop do vašega omrežja, zaustavitev napada le redko zahteva zgolj prepoznavanje ene same, očitno zlonamerne datoteke. Številna orodja, uporabljena pri napadih s SamSam, napadalci uporabljajo prav zato, ker gre za legitimno programsko opremo, ki je že prisotna v vašem omrežju, na primer PsExec, Powershell, WScript ali CScript.
Če ste že stranka podjetja Sophos, lahko z orodjem Application Control nastavite dostop do legitimnih aplikacij v svoji organizaciji. Tako lahko na primer zagotovite, da imajo skrbniki, ki potrebujejo Powershell, dostop do njega, običajni uporabniki pa ne.
SamSam so uporabljali skupaj z orodjem PsExec za lažje širjenje po omrežjih. Naši izdelki PsExec privzeto zaznajo kot potencialno neželeno aplikacijo (PUA) in ga blokirajo.
Skrbniki naj poskrbijo, da je preverjanje za potencialno neželene aplikacije (PUA) omogočeno in da PsExec ni dodan na seznam dovoljenih aplikacij. Če morate uporabljati PsExec, lahko njegovo uporabo dovolite le uporabnikom, ki ga potrebujejo, in to dovoljenje prekličete takoj, ko končajo delo.
4. Omislite si dobrega psa čuvaja (ali dva)
Vsaka raven vaše varnostne zaščite je zasnovana za drugo vrsto grožnje, zato strategija večplastne obrambe, ki uporablja več prekrivajočih se ravni zaščite, ostaja najboljši pristop.
Sophos Endpoint in Server blokirata trenutne različice zlonamerne programske opreme SamSam z oznakami Troj / Samas-F, Troj / RansRun-A in Mal / Kryptik-BV.
Stranke, ki uporabljajo Intercept X ali Exploit Prevention, so pred izsiljevalsko programsko opremo SamSam zaščitene z našo zaščito CryptoGuard.
Stranke z licencami Central Server Advancedlahko uporabijo Server Lockdown (seznam dovoljenih aplikacij), da svoje strežnike zaščitijo pred nepooblaščenimi spremembami.
Stranke, ki Sophos Central uporabljajo v kombinaciji s požarnim zidom XG Firewall , lahko uporabljajo funkcijo Security Heartbeat ™, ki končnim točkam omogoča komunikacijo s požarnim zidom in ustvarjanje pravilnikov, ki samodejno izolirajo računalnik, ko je zaznana grožnja.