Σας βοηθά να αντιμετωπίσετε επιθέσεις Ransomware

Η Microsoft μόλις κυκλοφόρησε ενημερώσεις κώδικα για τα Windows XP, τα Windows 8 και ορισμένες πλατφόρμες διακομιστών που δεν περιλαμβάνονταν αρχικά στην ενημέρωση MS17-010.

Επιπλέον, είδαμε επίσης μια νέα παραλλαγή WannaCry που δεν χρησιμοποιεί τον αρχικό διακόπτη "killswitch". Οι ερευνητές υποπτεύονται τώρα ότι αυτός ο μηχανισμός είναι στην πραγματικότητα μια προσπάθεια παράκαμψης της μηχανής δυναμικής ανάλυσης που ανταποκρίνεται αυτόματα σε αιτήματα GET προκειμένου να αποφευχθεί ο εντοπισμός.

Αρχική περιγραφή:

Ένα αυτο-αναπαραγόμενο ransomware που ονομάζεται Wanna, WannaCry ή Wcr καταστρέφει υπολογιστές σε όλο τον κόσμο. Οι αρχικές πληροφορίες έδειξαν ότι η αρχική εξάπλωση στις περισσότερες εταιρείες έγινε μέσω παραδοσιακών μεθόδων, κυρίως email και αρχείων PDF από το botnet Necurs. Το WannaCry είναι μοναδικό στο ότι μπορεί να εξαπλωθεί γρήγορα σε δίκτυα με δυνατότητα SMBv1 ξεκινώντας από τον πρώτο ασθενή.

Αυτό το μη πιστοποιημένο απομακρυσμένο-Κώδικα-εργαλείο SMBv1 κυκλοφόρησε από τον οργανισμό "Shadow Broker" στις 14 Απριλίου 2017. Αναφέρεται ανεπίσημα ως "Eternal Blue" και η Microsoft το ανέφερε ενεργά στο ενημερωτικό δελτίο ασφαλείας MS17-010 της 14ης Μαρτίου.

Ρίξτε μια ματιά στο δημόσιο παράδειγμα "Eternal Blue" παρακάτω και αφήστε μας να καταλάβουμε γιατί αυτό το ransomware μπορεί να εξαπλωθεί αποτελεσματικά. μπορεί να διαδοθεί σε μια ευάλωτη εταιρεία χωρίς καμία ενέργεια από τους εισβολείς.

Αφού η Microsoft κυκλοφόρησε την αντίστοιχη ενημερωμένη έκδοση κώδικα (MS17-010), πολλοί χρήστες εξακολουθούν να μην έχουν αναπτύξει την ενημερωμένη έκδοση κώδικα.

Αν και το ransomware είναι πολύ ανησυχητικό, οι πελάτες που έχουν υιοθετήσει τη λύση ασφαλείας της Juniper μπορούν να είναι σχετικά πιο άνετα και το περιβάλλον τους προστατεύεται. Ας εξετάσουμε τις δυνατότητες του WannaCry και τα διαθέσιμα εργαλεία για να αποτρέψουμε την έκρηξή του.

Πρώτον, οι πελάτες που έχουν αναπτύξει την προηγμένη μας λύση προστασίας από κακόβουλο λογισμικό cloud SkyATP είναι πιθανό να προστατεύονται σε πολλαπλά επίπεδα:

Μέσω της ασφάλειας και των έξυπνων ενημερώσεων προώθησης πληροφοριών του SkyATP, η επικοινωνία μεταξύ του χρήστη και του botnet Necurs περικόπτεται αυτόματα. Η εσωτερική πρόσβαση μπορεί να απορριφθεί από το τείχος προστασίας SRX της Juniper.

Εάν δεν χρησιμοποιείτε τις παραπάνω πληροφορίες ασφαλείας που βασίζονται στο δίκτυο-για την προώθηση της προστασίας ενημερώσεων, η λειτουργία κατά{1}}κακόβουλου λογισμικού του SkyATP μπορεί να είναι μέσω της ισχυρής γραμμής ανίχνευσης πολλών-τμημάτων (συμπεριλαμβανομένης της ανίχνευσης βάσει υπογραφής, της στατικής ανάλυσης μηχανικής εκμάθησης και της ανάλυσης με βάση το sandbox{4}). Μέχρι τώρα (12 Μαΐου), έχουμε αναλύσει 24 ανεξάρτητες περιπτώσεις, οι οποίες ταυτοποιήθηκαν και καταγράφηκαν όλες μέσα σε 30 δευτερόλεπτα.

Με βάση τον παραπάνω μηχανισμό υλοποίησης, θεωρείται ότι ακόμα κι αν το SkyATP δεν μπλοκάρει την αρχική λήψη του αρχείου, μόλις το SkyATP αναγνωρίσει ότι το αρχείο είναι κακόβουλο, μπορεί να περάσει αυτές τις πληροφορίες στις συσκευές SRX διαφόρων επιχειρήσεων, απομονώνοντας έτσι το κακόβουλο σε επίπεδο δικτύου. λογισμικό.