Sophos資安白皮書深入分析了大賺近六百萬美元勒索軟體—SamSam

Sophos最新發表的白皮書深入探討於2015年首度出現的SamSam勒索軟體攻擊。 • 先前坊間報告多指SamSam只賺了八萬五千美元贖金，但根據Sophos白皮書，SamSam其實在過去兩年半以來已賺取了接近六百萬美元贖款。

全球網路和端點安全領域領導者Sophos 發表了名為《SamSam: The (Almost) Six Million Dollar Ransomware》的白皮書，詳細探討於2015年12月首度出現的SamSam勒索軟體攻擊，透過瞭解其主要攻擊工具、技術和原理，讓各界深入了解這種獨特的勒索軟體攻擊。

SamSam與其他大部分勒索軟體不同，是全面性的加密工具，除了工作資料檔案之外，還會令那些不會影響Windows運作的程式無法執行，而這些程式一般都不會有例行性的備份。SamSam的獨特之處在於以手動發動攻擊，因此有需要時駭客可以作出因應的行動以躲避安全工具的偵測。假如資料加密過程受到干擾，這款惡意軟體甚至能夠即時徹底清除任何自身痕跡以躲避偵查。此外，若企業要回復運作，除了需要重新載入檔案鏡像或重新安裝軟體，還得要還原備份，使得許多受害者因無法及時復原系統以維持業務運作，結果唯有就範支付贖金。

SamSam勒索軟體白皮書的主要發現包括：
• Sophos揭示有74% 的已知受害者來自美國，至於其他主要受攻擊地區就包括：澳洲 (2%)、印度 (1%)、中東 (1%)、加拿大 (5%)，以及英國 (8%)。
• 有部分受害者回報了一些影響廣泛的勒索軟體事件，其嚴重妨礙一些大型機構，包括醫院，學校及市政府的運作。
• Sophos透過追蹤支付到駭客已知錢包位址的Bitcoin款項，計算出SamSam已經 (註) 賺取了超過五百九十萬美元贖金，而非如先前市場所知的八萬五千美元。

Sophos全球惡意軟體升級經理Peter Mackenzie指出：「絕大部分勒索軟體都是利用簡單的手法，大張旗鼓地發動具規模但欠缺特定目標的垃圾郵件攻擊，以求感染不同的受害者，所要求的贖金亦相對較少。反之，SamSam屬於針對性的攻擊，並為造成目標重大損失而設計，所要求的贖金也數以萬美元計。更令人驚訝的是，SamSam是透過人工作出攻擊，駭客不會明目張膽，而是靜悄悄翻牆入室。他們可以採取對策來躲避安全工具，還會在受到干擾時立即消除自身的痕跡以妨礙調查。」

他補充：「SamSam提醒了企業必須主動監管它們的安全策略。企業可以利用多層式防禦機制來減少企業網路暴露於安全威脅之下，避免其成為駭客易於尋獲且垂手可得的目標。我們建議IT主管施行以下最佳作法，包括使用難以破解的密碼及嚴格執行程式修補。」

Sophos建議以下四項安全措施：
• 限制任何人連接3389埠 (即預設RDP埠)，只容許使用VPN的員工透過遙距儲存系統，而VPN儲存方面亦同時要求使用多重認證。
• 對整個企業網路定時執行漏洞掃描和滲透測試。若企業尚未執行近期的滲透測試，便應立即執行。
• 為所有敏感的內部系統啟用多重認證，即使是LAN或VPN上的員工也必須遵從。
• 建立離線的異地備份，以及制訂涵蓋修復資料與整個系統的災難復原計畫。

註：為了在大幅波動的匯率下更準確評估贖金價值，若SamSam攻擊者在收到Bitcoin贖金後馬上將其兌換成現金，Sophos便會按SamSam攻擊者獲取該批Bitcoin當日的兌換價計算贖金價值。