Fidye yazılımlarının yol açtığı zararın büyük bölümü Locky ve GlobaImposter gibi yazılımlarla gerçekleştirilen, belirli bir hedef gözetmeyen rastgele saldırılardan kaynaklansa da keskin nişancı hassasiyetiyle yürütülen, yıkıcı ve hedefli saldırılar giderek artıyor.
Hedefli bir saldırıda siber suçlular, güvenlik açıkları bulunan bir kuruluş seçer ve yöntemlerini en fazla zarara ve kesintiye yol açacak şekilde uyarlar. Böylece kurbanları üzerindeki baskı güçlerini artırarak yüksek miktarlarda fidye koparabilirler.
Bu şekilde çalışan bilgisayar korsanlarının sıkça tercih ettiği araçlardan biri, Samas olarak da bilinen SamSam fidye yazılımıdır.
SamSam saldırıları nispeten nadir görülüyor ve sağlık, kamu ve eğitim sektörlerine odaklanıyor gibi görünüyor. Ortak unsurlar bulunsa da hiçbir saldırı bir diğerinin aynısı değil. SamSam yazılımının yapılandırması ve fidye talepleri kurbandan kurbana değişiyor; talep edilen fidye 60.000 ABD dolarına kadar çıkabiliyor.
SamSam ile bağlantılı Bitcoin adreslerine bu yıl 1 milyon ABD dolarını aşan tutarda fidye ödemesi yapıldı.
Saldırıların niteliği gereği, bunlarla ilgili kesin ayrıntılara nadiren ulaşılabiliyor. SophosLabs, son saldırıları inceleyerek fidye yazılımının son aylarda nasıl geliştiğine dair yeni bilgiler ortaya çıkardı. Daha fazla bilgi için şu ayrıntılı raporumuzu okuyun: Teknik rapor: Samsam fidye yazılımı hedeflerini özenle seçiyor.
İşletmenizi koruyun!
Bilgisayar korsanlarının kullandığı yöntemler hedefe göre değişse ve her hedefin kendine özgü güvenlik açıklarından yararlansa da özellikle dikkat edilmesi gereken ortak noktalar var.
1. Tüm kapıları kapatın
SamSam saldırıları genellikle saldırganların RDP hesaplarındaki zayıf parolalardan yararlanmasıyla başlar.
RDP'ye ihtiyacınız yoksa devre dışı bırakın.
Kullanıcıların güçlü parolalar kullandığından emin olun.
Mümkün olan her yerde iki faktörlü kimlik doğrulamayı (2FA) etkinleştirin.
Yalnızca yetkili bilgisayarlardan gelen RDP bağlantılarını kabul edin.
Parola denemelerinin sayısını sınırlamak için bir hesap kilitleme ilkesi belirleyin.
2. Tüm güvenlik açıklarını kapatın
SamSam saldırganlarının Java'daki seri durumdan çıkarma açıklarından ve yama uygulanmamış JBoss sistemlerindeki CVE-2010-0738, CVE-2012-0874 ve CVE-2010-1428 gibi güvenlik açıklarından yararlanarak hedef aldıkları ağlara erişim sağladıkları da düşünülüyor.
Elbette SamSam saldırganlarının dışarıdan erişilebilen ve amaçlarına hizmet eden her türlü güvenlik açığından yararlanacağını varsaymak makuldür. Dolayısıyla bu liste tüm olası açıkları kapsamıyor; sistemlerinizi güncel tutmanız yönündeki genel tavsiye burada da geçerli.
3. Sistemlerinizi temiz ve düzenli tutun
Bir saldırgan ağınıza erişim sağladığında, saldırıyı durdurmak nadiren tek bir bariz kötü amaçlı dosyayı tespit etmek kadar kolaydır. SamSam saldırılarında kullanılan araçların çoğu, tam da ağınızda zaten bulunan meşru yazılımlar oldukları için tercih edilir. PsExec, Powershell, WScript veya CScript bunlara örnektir.
Zaten Sophos müşterisiyseniz, kuruluşunuzun meşru uygulamalara erişimini yapılandırmak için Application Control kullanabilirsiniz. Örneğin, Powershell'e ihtiyaç duyan yöneticilerin bu uygulamaya erişebilmesini, standart kullanıcıların ise erişememesini sağlayabilirsiniz.
SamSam'in ağlarda yayılmasını kolaylaştırmak için PsExec kullanılmıştır. PsExec, ürünlerimiz tarafından varsayılan olarak potansiyel olarak istenmeyen uygulama (PUA) şeklinde algılanır ve engellenir.
Yöneticiler, PUA taramasının etkin olduğundan ve PsExec'in izin verilenler listesine eklenmediğinden emin olmalıdır. PsExec kullanmanız gerekiyorsa, yalnızca ihtiyaç duyan kullanıcılara kullanım izni verebilir ve işiniz biter bitmez bu izni kaldırabilirsiniz.
4. İyi bir bekçi köpeği edinin (hatta iki tane)
Sahip olduğunuz her güvenlik katmanı farklı bir tehdit türüne karşı tasarlanmıştır. Bu nedenle, birbiriyle örtüşen birden fazla koruma katmanını kullanan derinlemesine savunma stratejisi hâlâ en iyi yaklaşımdır.
Sophos Endpoint ve Server SamSam'in güncel sürümlerini Troj / Samas-F, Troj / RansRun-A ve Mal / Kryptik-BV olarak engeller.
Müşterilerimizden Intercept X veya Exploit Prevention kullananlar, fidye yazılımlarına karşı koruma sağlayan CryptoGuard teknolojimiz sayesinde SamSam'e karşı korunur.
Müşterilerimizden Central Server Advancedlisansına sahip olanlar, sunucularını yetkisiz değişikliklere karşı korumak için Server Lockdown (izin verilenler listesi) özelliğini kullanabilir.
Sophos Central ile birlikte XG Firewall kullanan müşteriler, uç noktaların güvenlik duvarıyla iletişim kurmasını ve bir tehdit algılandığı bildirildiğinde ilgili makineyi otomatik olarak izole eden ilkeler oluşturulmasını sağlayan Security Heartbeat ™ özelliğinden yararlanabilir.