Ransomware blijft zich ontwikkelen als een van de meest verwoestende cyberdreigingen, en aanvallers vinden steeds nieuwe manieren om kwetsbaarheden te misbruiken. Een van die methoden is het aanvallen van openbaar gedeelde SMB2-verbindingen (Server Message Block versie 2). SMB, dat veel gebruikt wordt voor het delen van bestanden en printers, kan een aantrekkelijk doelwit worden voor aanvallers wanneer het blootgesteld is aan het internet of verkeerd geconfigureerd is. In deze blog onderzoeken we hoe aanvallers openbaar gedeelde SMB2-verbindingen misbruiken om ransomware te verspreiden, gegevens te versleutelen en netwerken te compromitteren. We bespreken ook hoe Seqrite Quick Heal Antivirus kan uw systemen beschermen tegen deze aanvallen.
Hoe maakt ransomware misbruik van SMB2-verbindingen?
SMB2 is een protocol dat is ontworpen voor het efficiënt delen van bestanden binnen netwerken. Het kan echter een beveiligingsrisico vormen wanneer het verkeerd is geconfigureerd of kwetsbaar blijft. Zo maken aanvallers er misbruik van:
- Scannen op blootgestelde aandelen: Cybercriminelen gebruiken tools zoals Shodan om openbaar toegankelijke SMB-shares te vinden. Ze zoeken naar zwakke of verkeerd geconfigureerde SMB2-verbindingen die openstaan voor het internet.
- Exploitatie van kwetsbaarheden: Met behulp van exploits zoals EternalBlue (CVE-2017-0144) richten aanvallers zich op ongepatchte systemen die op SMB2 draaien. Deze exploits maken ongeautoriseerde toegang en privilege-escalatie mogelijk.
- Levering van ransomware: Zodra er toegang is verkregen, uploaden aanvallers ransomware naar de SMB-share of voer het direct uit. Hierdoor kan de ransomware gedeelde bestanden versleutelen en zich verspreiden naar verbonden apparaten.
- Zijwaartse beweging: De ransomware maakt gebruik van het SMB2-protocol om zich lateraal door het netwerk te verplaatsen en zo andere systemen en shares te infecteren.
- Gegevensversleuteling en losgeldeis: Nadat de bestanden zijn versleuteld, laat de ransomware een losgeldbrief achter waarin wordt gevraagd om cryptovaluta te betalen voor decoderingssleutels.
Voorbeelden uit de praktijk van op SMB gebaseerde ransomware-aanvallen
WantToCry : Het SMB-protocol, dat veel gebruikt wordt voor het delen van bestanden en resources via netwerken, is vaak kwetsbaar vanwege zwakke inloggegevens, verouderde software en gebrekkige beveiligingsconfiguraties.
WannaCry : Misbruikte EternalBlue om zich via SMB te verspreiden, wat leidde tot wijdverspreide verstoringen in diverse sectoren.
NotPetya: Gebruikte SMB-exploits om ransomware te verspreiden en systemen wereldwijd te versleutelen.
Ryuk : Benutte contacten binnen het MKB voor horizontale mobiliteit, gericht op waardevolle organisaties.
Hoe Seqrite Beschermt tegen SMB2-aanvallen en ransomware.
Seqrite Endpoint Protection Biedt robuuste bescherming tegen ransomware en kwetsbaarheden die verband houden met SMB-verbindingen. Dit zijn de voordelen:
- Ransomware-bescherming: Seqrite Endpoint protection Het systeem controleert en blokkeert ongeautoriseerde bestandsversleuteling in realtime. Het zorgt ervoor dat ransomware geen bestanden op SMB-shares kan versleutelen.
- Gedragsdetectie: Met Gedragsdetectietechnologie, Seqrite Identificeert en blokkeert verdachte activiteiten, zoals ongeautoriseerde bestandswijzigingen of pogingen tot laterale verplaatsing via SMB2.
- Preventie van netwerkaanvallen: Seqrite Blokkeert pogingen tot misbruik van SMB-kwetsbaarheden, waaronder EternalBlue en verwante aanvallen. Het voorkomt dat aanvallers voet aan de grond krijgen in uw netwerk.
- Gegevensback-up en -herstel: Met de functie Gegevensback-up en -herstel kunt u uw gegevens herstellen in geval van een ransomware-aanval, waardoor de uitvaltijd en het gegevensverlies tot een minimum worden beperkt.
- Kwetsbaarheidsscanner: Seqrite Endpoint Protection Het systeem identificeert systemen zonder patches, onveilige SMB-shares en andere configuratiefouten. Deze proactieve aanpak helpt het aanvalsoppervlak te verkleinen.
- Firewall- en inbraakdetectie: SeqriteDe firewallbeveiliging van 's bewaakt inkomend en uitgaand verkeer en voorkomt ongeautoriseerde toegang tot SMB-verbindingen.
- E-mailbeveiliging: Veel ransomware-aanvallen beginnen met phishing-e-mails. Seqrite Het systeem scant e-mailbijlagen en URL's om ervoor te zorgen dat er geen ransomware op uw systemen wordt gedownload.
Best practices voor SMB2-beveiliging
Terwijl Seqrite Om een sterke verdedigingslaag te bieden, zouden organisaties deze best practices moeten toepassen om SMB2-verbindingen verder te beveiligen:
- Beperk de toegang van het publiek: Blokkeer de toegang tot SMB-poorten (zoals poort 445) op internet.
- Gebruik sterke authenticatie: Zorg dat u sterke wachtwoorden en Multi-Factor Authentication (MFA) gebruikt voor toegang tot SMB.
- Update systemen regelmatig: Herstel SMB-kwetsbaarheden om beschermd te blijven tegen bekende exploits.
- SMB1 uitschakelen: Gebruik SMB2 of SMB3 met encryptie en ondertekening ingeschakeld.
- Netwerkactiviteit bewaken: Controleer en detecteer ongebruikelijk netwerkgedrag.
Conclusie
Ransomware-aanvallen die gebruikmaken van openbaar gedeelde SMB2-verbindingen vormen een ernstige bedreiging voor zowel bedrijven als particulieren. Door de aanvalsvectoren te begrijpen en robuuste beveiligingsmaatregelen te implementeren, zoals die van Seqrite kunt u uw systemen en gegevens beveiligen.
auteurs
Umar Khan A
Niraj Lazarus Makasare
Dixit Ashokbhai Panchal
Sumit Patil
Matin Tadvi
