Megjithëse pjesa më e madhe e dëmeve të shkaktuara nga ransomware vjen nga sulme pa objektiva të caktuara dhe pa dallim, me ndihmën e programeve si Locky dhe GlobaImposter, sulmet shkatërruese të shënjestruara, me saktësinë e një snajperi, po bëhen gjithnjë e më të shpeshta.
Në një sulm të shënjestruar, kriminelët zgjedhin një organizatë të cenueshme dhe e përshtatin qasjen e tyre për të shkaktuar sa më shumë dëme dhe ndërprerje të veprimtarisë. Në këtë mënyrë, ata arrijnë të rrisin ndikimin e tyre, ndërkohë që zhvatin shuma të mëdha parash si shpërblim.
Një mjet i parapëlqyer nga hakerët që veprojnë në këtë mënyrë është SamSam Ransomware, i njohur edhe si Samas.
Sulmet me SamSam janë relativisht të rralla dhe duket se përqendrohen te sektorët e shëndetësisë, qeverisjes dhe arsimit. Asnjë sulm nuk është i njëjtë me tjetrin, megjithëse kanë elemente të përbashkëta. Konfigurimi i programit SamSam dhe kërkesat për shpërblim ndryshojnë nga një viktimë te tjetra, dhe shumat e kërkuara arrijnë deri në 60.000 dollarë amerikanë.
Adresat Bitcoin të lidhura me SamSam kanë marrë këtë vit pagesa shpërblimi në vlerë mbi 1 milion dollarë amerikanë.
Për shkak të natyrës së sulmeve, hollësitë e sakta janë të pakta. SophosLabs ka hetuar sulmet e fundit dhe ka zbuluar informacione të reja se si ka evoluar ransomware gjatë muajve të fundit. Për më shumë hollësi, ju lutemi lexoni raportin tonë raportin teknik «Samsam Ransomware i zgjedh me kujdes objektivat e tij».
Mbroni biznesin tuaj!
Megjithëse qasja e hakerëve ndryshon sipas objektivit dhe shfrytëzon dobësitë e tij specifike, ka disa aspekte të përbashkëta që meritojnë vëmendje të veçantë.
1. Mbyllni të gjitha dyert
Sulmet SamSam shpesh fillojnë me shfrytëzimin e fjalëkalimeve të dobëta të llogarive RDP nga sulmuesit.
Nëse nuk ju nevojitet RDP, çaktivizojeni.
Sigurohuni që përdoruesit të kenë fjalëkalime të forta.
Aktivizoni autentifikimin me dy faktorë (2FA) kudo që të jetë e mundur.
Pranoni vetëm lidhje RDP nga kompjuterë të autorizuar.
Vendosni një politikë bllokimi për të kufizuar shpeshtësinë me të cilën mund të provohen fjalëkalimet.
2. Mbyllni të gjitha dobësitë
Gjithashtu, besohet se sulmuesit SamSam kanë arritur të hyjnë në rrjetet e shënjestruara duke shfrytëzuar dobësitë në deserializimin e Java dhe sistemet JBoss pa arna sigurie, përmes cenueshmërive si CVE-2010-0738, CVE-2012-0874 dhe CVE-2010-1428.
Sigurisht, është e arsyeshme të supozohet se hakerët e SamSam shfrytëzojnë çdo dobësi publike që u shërben qëllimeve të tyre, kështu që kjo nuk është një listë shteruese - vlen këshilla e zakonshme për të qëndruar të përditësuar.
3. Mbani gjithçka të pastër dhe në rregull
Nëse një sulmues arrin të hyjë në rrjetin tuaj, për ta ndalur sulmin rrallëherë mjafton të identifikoni një skedar të vetëm, dukshëm keqdashës. Shumë nga mjetet e përdorura në sulmet SamSam zgjidhen pikërisht sepse janë programe legjitime që gjenden tashmë në rrjetin tuaj, si p.sh. PsExec, Powershell, WScript ose CScript.
Nëse jeni tashmë klient i Sophos, mund të përdorni Application Control për të konfiguruar qasjen e organizatës suaj në aplikacionet legjitime. Kështu, për shembull, mund të siguroheni që administratorët që kanë nevojë për Powershell të kenë qasje në të, ndërsa përdoruesit e zakonshëm jo.
SamSam është përdorur së bashku me PsExec për të lehtësuar përhapjen në rrjete. Si parazgjedhje, produktet tona e identifikojnë dhe e bllokojnë PsExec si një aplikacion potencialisht të padëshiruar (PUA).
Administratorët duhet të sigurohen që skanimi për PUA të jetë aktivizuar dhe që PsExec të mos jetë shtuar në listën e aplikacioneve të lejuara. Nëse ju duhet të përdorni PsExec, mund ta lejoni vetëm për përdoruesit që kanë nevojë për të dhe ta hiqni këtë leje sapo të keni mbaruar.
4. Gjeni një qen rojë të mirë (ose dy)
Çdo shtresë sigurie që keni është projektuar për një lloj tjetër kërcënimi, dhe një strategji e mbrojtjes në thellësi, që përdor disa shtresa mbrojtjeje të mbivendosura, mbetet qasja më e mirë.
Sophos Endpoint dhe Server bllokojnë versionet aktuale të SamSam si Troj / Samas-F, Troj / RansRun-A dhe Mal / Kryptik-BV.
Klientët me Intercept X ose Exploit Prevention mbrohen nga SamSam falë mbrojtjes sonë kundër ransomware-it CryptoGuard.
Për klientët me Central Server Advanced-licencë, mund të përdoret Server Lockdown (allowlisting) për të mbrojtur serverët tuaj nga ndryshime të paautorizuara.
Klientët që përdorin Sophos Central në kombinim me XG Firewall mund të përdorin funksionin Security Heartbeat™, i cili u mundëson pajisjeve tuaja fundore (endpoints) të komunikojnë me firewall-in tuaj dhe të krijojnë politika që izolojnë automatikisht një makinë kur raportohet një zbulim.