Sebbene la maggior parte del danno inflitto dal ransomware sia il risultato di attacchi non mirati, diffusi usando software come Locky e GlobaImposter, stanno aumentando gli attacchi mirati, devastanti proprio come quelli dei cecchini.
In un attacco mirato i criminali selezionano un’organizzazione vulnerabile e adattano il loro approccio per causare il massimo del danno e dei disservizi. Lavorando in questo modo, i criminali sono in grado di minimizzare la loro esposizione mentre estorcono un alto riscatto.
Uno strumento popolare per gli hacker che lavorano in questo modo è il ransomware SamSam, noto anche come Samas.
Gli attacchi di SamSam sono ancora relativamente rari e sembrano focalizzati sui settori sanitario, amministrativo e dell’istruzione. Non ci sono due attacchi uguali anche se tra loro ci sono elementi comuni. La configurazione del software SamSam e le richieste di riscatto variano da una vittima all’altra arrivando a sfiorare i $ 60.000.
Solo nel 2018 gli indirizzi bitcoin associati a SamSam hanno ricevuto oltre 1 milione di dollari in pagamenti di riscatto.
A causa della natura degli attacchi, i dettagli precisi sono scarsi. Gli specilisti hanno indagato su quelli più recenti e hanno scoperto nuove informazioni su come il ransomware si è evoluto negli ultimi mesi.
In un attacco mirato i criminali selezionano un’organizzazione vulnerabile e adattano il loro approccio per causare il massimo del danno e dei disservizi. Lavorando in questo modo, i criminali sono in grado di minimizzare la loro esposizione mentre estorcono un alto riscatto.
Uno strumento popolare per gli hacker che lavorano in questo modo è il ransomware SamSam, noto anche come Samas.
Gli attacchi di SamSam sono ancora relativamente rari e sembrano focalizzati sui settori sanitario, amministrativo e dell’istruzione. Non ci sono due attacchi uguali anche se tra loro ci sono elementi comuni. La configurazione del software SamSam e le richieste di riscatto variano da una vittima all’altra arrivando a sfiorare i $ 60.000.
Solo nel 2018 gli indirizzi bitcoin associati a SamSam hanno ricevuto oltre 1 milione di dollari in pagamenti di riscatto.
A causa della natura degli attacchi, i dettagli precisi sono scarsi. Gli specilisti hanno indagato su quelli più recenti e hanno scoperto nuove informazioni su come il ransomware si è evoluto negli ultimi mesi.
Rimanere protetti
Anche se l’approccio degli hacker varia da un obiettivo all’altro, facendo leva sulle loro specifiche debolezze, ci sono thread comuni a cui vale la pena prestare particolare attenzione.
Anche se l’approccio degli hacker varia da un obiettivo all’altro, facendo leva sulle loro specifiche debolezze, ci sono thread comuni a cui vale la pena prestare particolare attenzione.
Chiudere la porta
Gli attacchi di SamSam iniziano spesso con gli aggressori che sfruttano password deboli su account RDP, quindi:
Gli attacchi di SamSam iniziano spesso con gli aggressori che sfruttano password deboli su account RDP, quindi:
- se non serve l’RDP, spegnere il servizio.
- assicurarsi che gli utenti abbiano password efficaci
- abilitare l’autenticazione a 2 fattori (2FA) quando possibile
- accettare connessioni RDP solo da computer autorizzati
- configurare una policy di blocco per limitare il numero di tentativi delle password
Risolvere eventuali falle
Si ritiene inoltre che gli aggressori di SamSam abbiano ottenuto l’accesso alle reti degli obiettivi sfruttando le vulnerabilità di Java e i sistemi JBoss senza patch, utilizzando vulnerabilità quali: CVE-2010-0738, CVE-2012-0874 e CVE-2010-1428.
Ovviamente è ragionevole presumere che gli hacker SamSam sfrutteranno qualsiasi vulnerabilità rivolta al pubblico che serva ai loro scopi, quindi questo non è un elenco completo – si applica il consueto consiglio di rimanere aggiornati sulle patch.
Si ritiene inoltre che gli aggressori di SamSam abbiano ottenuto l’accesso alle reti degli obiettivi sfruttando le vulnerabilità di Java e i sistemi JBoss senza patch, utilizzando vulnerabilità quali: CVE-2010-0738, CVE-2012-0874 e CVE-2010-1428.
Ovviamente è ragionevole presumere che gli hacker SamSam sfrutteranno qualsiasi vulnerabilità rivolta al pubblico che serva ai loro scopi, quindi questo non è un elenco completo – si applica il consueto consiglio di rimanere aggiornati sulle patch.
Mantenere ogni cosa pulita ed in ordine
Se un utente malintenzionato accede alla rete, arrestare l’attacco è raramente una semplice questione di rilevamento di un singolo file, ovviamente dannoso. Molti degli strumenti utilizzati negli attacchi SamSam sono utilizzati proprio perché sono pezzi legittimi di software già presenti nella rete, come PsExec, Powershell, WScript o CScript.
E' buona norma assicurarsi che solo gli amministratori che hanno bisogno di PowerShell vi abbiano accesso e gli utenti normali no.
SamSam è stato visto usare PsExec per diffondersi attraverso le reti. Per impostazione predefinita, PsExec viene rilevato dai nostri sistemi di protezione come un’applicazione potenzialmente indesiderata (PUA) e viene bloccato.
Gli amministratori devono accertarsi che PsExec non sia stato aggiunto all’elenco delle autorizzazioni. Se è necessario utilizzare PsExec, è possibile autorizzarlo solo per gli utenti che ne hanno bisogno e quindi revocare l’autorizzazione al termine.
Se un utente malintenzionato accede alla rete, arrestare l’attacco è raramente una semplice questione di rilevamento di un singolo file, ovviamente dannoso. Molti degli strumenti utilizzati negli attacchi SamSam sono utilizzati proprio perché sono pezzi legittimi di software già presenti nella rete, come PsExec, Powershell, WScript o CScript.
E' buona norma assicurarsi che solo gli amministratori che hanno bisogno di PowerShell vi abbiano accesso e gli utenti normali no.
SamSam è stato visto usare PsExec per diffondersi attraverso le reti. Per impostazione predefinita, PsExec viene rilevato dai nostri sistemi di protezione come un’applicazione potenzialmente indesiderata (PUA) e viene bloccato.
Gli amministratori devono accertarsi che PsExec non sia stato aggiunto all’elenco delle autorizzazioni. Se è necessario utilizzare PsExec, è possibile autorizzarlo solo per gli utenti che ne hanno bisogno e quindi revocare l’autorizzazione al termine.
Utilizzare un buon cane da guardia (meglio due)
Ogni livello di sicurezza che si possiede è progettato per un diverso tipo di minaccia, quindi una strategia di difesa in profondità che impiega più livelli di protezione sovrapposti è, come sempre, l’approccio migliore.
Ogni livello di sicurezza che si possiede è progettato per un diverso tipo di minaccia, quindi una strategia di difesa in profondità che impiega più livelli di protezione sovrapposti è, come sempre, l’approccio migliore.