SamSam Ransomware

תוכנות זדוניות נותרות אחת האיומים הדחופים ביותר על יחידים וארגונים כאחד. פושעי סייבר ממשיכים לחדש, לפתח אסטרטגיות תקיפה חדשות שנועדו לנצל פגיעויות ולקבל גישה בלתי חוקית למידע רגיש. מבין האיומים הללו, SamSam Ransomware בולטת כזן מסוכן במיוחד, בעיקר משום שהיא חורגת משיטות ההדבקה הרגילות המבוססות על פישינג. הבנת אופן פעולתה ויישום אמצעי אבטחה חזקים חיוניים לשמירה על בטיחות המערכות שלכם.

מהי SamSam Ransomware?

תוכנת הכופר SamSam, הידועה גם בשם Samas או SamsamCrypt, זכתה במהרה לתהילה בזכות התקפותיה הממוקדות על מגזרים קריטיים, כולל שירותי בריאות, תחבורה, חינוך וממשל מקומי. בניגוד לקמפיינים טיפוסיים של תוכנות כופר המסתמכים על טקטיקות הנדסה חברתית, SamSam משתמשת בניצול ישיר של הרשת.

למרות שחשבו בתחילה שמקורה במזרח אירופה, חקירות קישרו מאוחר יותר את הנוזקה לפושעי סייבר איראנים, כאשר שני אנשים הוגשו כתבי אישום בשנת 2018. השפעתה הייתה גלובלית, עם מתקפות מתועדות בארצות הברית, בריטניה, צרפת, פורטוגל, אוסטרליה, קנדה והמזרח התיכון.

קמפיינים של תקיפה ידועה לשמצה

מחלקת התחבורה של קולורדו
בפברואר 2018, משרד התחבורה של קולורדו התמודד עם שיבוש משמעותי כאשר SamSam הצפינה את מערכותיה ודרשה תשלום בביטקוין. CDOT סירבה להיענות לדרישות, והוציאה כ-1.7 מיליון דולר על מאמצי שיקום.

השלטון המקומי של אטלנטה
במרץ 2018, העיר אטלנטה שותקה עקב מתקפת SamSam שבוצעה באמצעות כניסה בכוח ברוט בפרוטוקול שולחן העבודה המרוחק (RDP) שלה. שירותים שונים, החל מתשתיות ועד למערכת המשפט, נפגעו. התוקפים דרשו 51,000 דולר בביטקוין, אך העיר סירבה ובסופו של דבר הוציאה 2.7 מיליון דולר על תיקונים.

להיטים במגזר הבריאות
SamSam פגעה במיוחד בתעשיית הבריאות, עם קורבנות בולטים כמו Allied Physicians of Michiana, Hancock Health ו-Allscripts. בשנת 2018 לבדה, שירותי הבריאות היו אחראים לרבע מכלל התקפות SamSam הידועות.

כיצד פועלת תוכנת הכופר SamSam?

בניגוד לתוכנות כופר המופצות באמצעות הודעות דיוג או קבצים מצורפים זדוניים, SamSam מנצלת מערכות פגיעות ופרטי גישה גנובים. על פי הסוכנות לאבטחת סייבר ותשתיות (CISA), תוקפים מנצלים חולשות בשרתי Windows ומשיגים גישה מרחוק באמצעות:

• חיבורי RDP חשופים או לא מתוקנים
• פרטי התחברות שנרכשו או כפויים

לאחר שנכנסו לרשת, התוקפים מגדילים את ההרשאות, פורסים את התוכנה הזדונית באופן ידני ומצפינים קבצים קריטיים. גישה מעשית זו מאפשרת מיקוד מדויק ונזק נרחב בתוך רשתות שנפרצו.

שטר הכופר וטקטיקות התשלום

לאחר השלמת ההצפנה, מפעילי SamSam משאירים פתק כופר המורה לקורבנות לתקשר דרך פורטל מבוסס Tor. התשלומים נדרשים בביטקוין, ובעוד שחלק מהקורבנות קיבלו מפתחות פענוח לאחר התשלום, אין ערובה שהתוקפים יכבדו את ההסכם.

האם סמסאם עדיין מהווה איום?

בעוד שהתקפות שנחשפו פחתו לאחר 2018 ומפעילי מפתח נעצרו, אין ראיות לכך שהכופרה הושמדה. לא קיים כלי פענוח רשמי, מה שאומר ש-SamSam עדיין צריכה להיחשב כסיכון פעיל.

חזקו את ההגנה שלכם: שיטות אבטחה מומלצות

מניעת הדבקה ב-SamSam דורשת אסטרטגיית אבטחה פרואקטיבית המתמקדת בסגירת הפגיעויות שהוא מנצל. להלן צעדים חיוניים שכל ארגון צריך ליישם:

1. אבטחה וביקורת של גישת RDP

• בטל את RDP אם אין צורך בכך.
• עבור שירותי RDP נחוצים, יש לאכוף אימות חזק ולהגביל את הגישה לכתובות IP מהימנות.
• יש להחיל את תיקוני האבטחה העדכניים ביותר באופן מיידי כדי למנוע פגמים הניתנים לניצול.

2. אכיפת עקרון הפריבילגיה המינימלית

• הגבל את הרשאות המשתמש לפונקציות חיוניות בלבד.
• השתמש בבקרת גישה מבוססת תפקידים כדי למנוע נזק נרחב מחשבון אחד שנפרץ.

3. אימוץ סיסמאות חזקות ומדיניות אימות

• אסטרטגיית סיסמה חזקה צריכה לכלול:
• שילוב של אותיות גדולות וקטנות, מספרים ותווים מיוחדים.
• שינויי סיסמה באופן קבוע ואיסור שימוש חוזר.
• טעויות נפוצות שיש להימנע מהן:
• שיתוף אישורים עם אחרים.
• השבתת אימות רב-גורמי (MFA).
• אחסון סיסמאות בקבצים לא מאובטחים.

4. שמרו על גיבויים קבועים

• שמור גיבויים במצב לא מקוון או ברשתות מפולחות.
• יש לבדוק את הליכי השיקום מעת לעת כדי להבטיח את יעילותם.

מחשבות אחרונות

תוכנת הכופר SamSam משמשת תזכורת חדה לכך שמתקפות כופר לא תמיד מסתמכות על הטעיית משתמשים, אלא לרוב מנצלות חולשות טכניות. ארגונים שלא מצליחים לאבטח את חיבורי ה-RDP שלהם, לאכוף אמצעי אימות חזקים או לתחזק גיבויים תקינים מסתכנים בהפיכה לכותרת הבאה. ערנות, בקרות אבטחה מרובדות וכוח אדם משכיל נותרים ההגנה הטובה ביותר מפני איומי סייבר מתפתחים.