A KING’S RANSOM:
HOW TO STOP RANSOMWARE SPREADING VIA AD A KING’S RANSOM:
HOW TO STOP RANSOMWARE SPREADING VIA AD
Hacking cost the U.S. $3.5 billion in 2019 alone. Despite ĴìðĮ ťæķīÐ ÆďĉðĊæ ĮĴīðæìĴ åīďĉ ĴìÐ 9 AȸĮ ĊĊķă īÐĨďīĴ ďĊ ÆřÅÐīÆīðĉÐș ÐĮĴðĉĴðĊæ ĴìÐ ÆďĮĴ ďå īĊĮďĉœīÐ ðĮ ÌðŨÆķăĴ ÌķÐ Ĵď ăðĉðĴÐÌ ÌĴȘ }ìÐ ðĉĨÆĴ ðĮ ĉķÆì ìðæìÐī ĴìĊ īÐĨďīĴĮ ðĊÌðÆĴÐȘ ZĊÐ ĮķÆì īÐĨďīĴ Åř 'ĉĮðĮďåĴș Ċ A} ĮÐÆķīðĴř ŒÐĊÌďīș ĮĴĴÐĮ ĴìĴ ĴìÐ ŒÐīæÐ īĊĮďĉ ðĮ īďķæìăř ɄǧǣșǟǟǟȘ ìÐĊ ÆďĊĮðÌÐīðĊæ ăďĮĴ ÅķĮðĊÐĮĮș ĴðĉÐș œæÐĮș ĊÌ ťăÐĮș ĴìÐ æăďÅă ÅķĮðĊÐĮĮ ðĉĨÆĴ ĴďĴăĮ Ĵ ăÐĮĴ ɄǠǦǟ ÅðăăðďĊ ĊĊķăăřȘ ðĴì ĉĊř ÆřÅÐīÆīðĉÐĮ æďðĊæ ķĊīÐĨďīĴÐÌș ĴìÐ ǡșǟǣǦ īĊĮďĉœīÐ ÐŒÐĊĴĮ īÐæðĮĴÐīÐÌ œðĴì ĴìÐ 9 A AĊĴÐīĊÐĴ īðĉÐ ďĉĨăðĊĴ ÐĊĴÐī ȧA ǢȨ ðĮ ÆďĊĮÐīŒĴðŒÐ Ĵ ÅÐĮĴȘ
A KING’S RANSOM: HOW TO STOP RANSOMWARE SPREADING VIA AD
Ransomware Trends in 2019 Ransomware is more damaging than traditional computer malware since it not only infects devices but also encrypts data. A ransom is then demanded in exchange for a decryption key that restores access to the data. But in many cases, the decryption keys provided don’t work. It’s no wonder the FBI recommends not to pay ransoms. >ÆāÐīĮ īÐ ÆďĊĮĴĊĴăř ÐŒďăŒðĊæ ĴìÐðī ĉÐĴìďÌĮș ĊÌ ǡǟǠǨ œĮ Ċď ÐŘÆÐĨĴðďĊȘ tĴìÐī ĴìĊ þķĮĴ ÐĊÆīřĨĴ ĴìÐ ÌĴ ďĊ ðĊåÐÆĴÐÌ ÌÐŒðÆÐĮș īĊĮďĉœīÐ ķĴìďīĮ ìŒÐ ĮĴīĴÐÌ Ĵď ĴīæÐĴ īÐĮďķīÆÐĮ ÅÐřďĊÌ ĴìÐ ÌÐŒðÆÐĮ ĴìÐĉĮÐăŒÐĮȘ 9ďī ÐŘĉĨăÐș ťăÐĮ ďĊ ĮÐīŒÐīĮ ĉðæìĴ ÅÐ ÐĊÆīřĨĴÐÌ ðå Ċ ðĊåÐÆĴÐÌ q ș ďī ĴìÐ īĊĮďĉœīÐș ìĮ ÆÆÐĮĮȘ tĊĮďĉœīÐ ÆĊ ÐĊķĉÐīĴÐ ĉĨĨÐÌ ÌīðŒÐĮ ĊÌ ĴìÐ ŒðăÅðăðĴř ďå ťăÐ ĮìīÐĮ ďĊ ĴìÐ ĊÐĴœďīāȘ wďĉÐ ìÆāÐīĮ æď ÐŒÐĊ åķīĴìÐī Åř ĮÐăăðĊæ ĮÐĊĮðĴðŒÐ ÌĴȘ }ìÐīÐ ìŒÐ ăĮď ÅÐÐĊ ÆĮÐĮ ďå ìÆāÐīĮ œðĨðĊæ ÌĴ ÅķĴ ĮĴðăă ÌÐĉĊÌðĊæ īĊĮďĉȘ ďĉĨīÐÌ Ĵď ĴìÐ ťĊă ĪķīĴÐī ďå ǡǟǠǧș ĴìÐ ŒÐīæÐ īĊĮďĉ ĨðÌ ðĊÆīÐĮÐÌ Åř ǧǨɦȘ OďÆă æďŒÐīĊĉÐĊĴĮ ðĊ ĴìÐ ȘwȘ ìŒÐ ÅÐÐĊ ìðĴ ìīÌ Åř īĊĮďĉœīÐș ðĊÆăķÌðĊæ ăĴðĉďīÐș #ÐăœīÐș ĊÌ NÐĊĴķÆāřȘ AĊĮĴÐÌ ďå īÐÅķðăÌðĊæ ĴìÐðī ĮřĮĴÐĉĮș ĮďĉÐ ÆìďĮÐ Ĵď Ĩř īĊĮďĉĮ æðĊĮĴ 9 A ÌŒðÆÐȘ #ďðĊæ Įď åķÐăÐÌ ÆīðĉðĊăĮȸ ðĊÆÐĊĴðŒÐ Ĵď ÌďķÅăÐ ÌďœĊȘ
3
A KING’S RANSOM: HOW TO STOP RANSOMWARE SPREADING VIA AD
Ransomware Spreads via Active Directory }ìÐ ăĮĴ ÆďķĨăÐ ďå řÐīĮ ìŒÐ ĮÐÐĊ īĊĮďĉœīÐ ăðāÐ OďÆāÐī:ďæ ĊÌ wĉĮ ďĉðĴĴðĊæ ĮĨīÐÌÐīȘ TăœīÐ ķĮķăăř ðĊÆăķÌÐĮ ĉÐĊĮ ďå ĨīďĨæĴðĊæ ðĴĮÐăå åīďĉ Ċ ðĊðĴðă ðĊåÐÆĴÐÌ ÌÐŒðÆÐ Ĵď ďĴìÐī ÌÐŒðÆÐĮ ďĊ ĴìÐ ĮĉÐ ĊÐĴœďīāȘ ķĴ ðĊĮĴÐÌ ďå œīðĴðĊæ ĊÌ ĴÐĮĴðĊæ ĴìÐ ÐŘĴī ÆďÌÐș œìðÆì ĉř ÅÐ ĨīďĊÐ Ĵď åðăķīÐș ìÆāÐīĮ īÐ ăÐŒÐīæðĊæ ĉÐÆìĊðĮĉ ĴìĴ ðĮ ăīÐÌř ĨīÐĮÐĊĴ ðĊ ĉďĮĴ ďīæĊðšĴðďĊĮȚ ÆĴðŒÐ #ðīÐÆĴďīřȘ ðĊÌďœĮ wÐīŒÐī ÆĴðŒÐ #ðīÐÆĴďīř ȧ #Ȩ ðĮ TðÆīďĮďåĴȸĮ ďĊȭĨīÐĉ ðÌÐĊĴðĴř ĉĊæÐĉÐĊĴ ĨīďÌķÆĴȘ AĴ ăăďœĮ ďīæĊðšĴðďĊĮ Ĵď ÆÐĊĴīăðšÐ ĉĊæÐĉÐĊĴ ďå ķĮÐī ăďæðĊ ÆīÐÌÐĊĴðăĮș ÆďĊťæķīÐ ĮÐĴĴðĊæĮ ďĊ ĮÐīŒÐīĮ ĊÌ œďīāĮĴĴðďĊĮș ĊÌ ĉĊæÐ ďĴìÐī ĮĨÐÆĴĮ ďå Ċ ďīæĊðšĴðďĊȸĮ ĮÐÆķīðĴř ăðāÐ ðĴĮ qķÅăðÆ NÐř AĊåīĮĴīķÆĴķīÐ ȧqNAȨ ĊÌ tďăÐȭ ĮÐÌ ÆÆÐĮĮ ďĊĴīďă ȧt ȨȘ Aå ìÆāÐī æðĊĮ ĨīðŒðăÐæÐÌ ÆÆÐĮĮ Ĵď #ș ðĴ ðĮ ÐĮř Ĵď ďœĊ Ċ ďīæĊðšĴðďĊȸĮ ÐĊĴðīÐ A} ðĊåīĮĴīķÆĴķīÐȘ ZĊȭĨīÐĉ ĊÌ ÆăďķÌ ĮďăķĴðďĊĮ īÐ ÅďĴì ŒķăĊÐīÅăÐȘ # ÆďĊĴðĊĮ ðĊåďīĉĴðďĊ ÅďķĴ ăă ķĮÐīĮș ÐĊÌĨďðĊĴĮș ĨĨăðÆĴðďĊĮș ĊÌ ĮÐīŒÐīĮȘ wĴĊÌīÌ ÌĉðĊðĮĴīĴðďĊ ĴďďăĮ ÆĊ ÅÐ ķĮÐÌ Ĵď ĪķÐīř ĴìÐ ÌðīÐÆĴďīř œðĴìďķĴ ÅÐðĊæ ÌÐĴÐÆĴÐÌ Åř ĮÐÆķīðĴř ĮďåĴœīÐȘ >ÆāÐīĮ ÆĊ ĴìÐĊ ķĮÐ # Ĵď ĨīďĨæĴÐ īĊĮďĉœīÐ Ĵď ÐŒÐīř ÌÐŒðÆÐ ðĊ ĴìÐ ďīæĊðšĴðďĊȘ 'ŒÐĊ ðĊ ÅķĮðĊÐĮĮÐĮ œìÐīÐ A} ìĮ ĴāÐĊ ÐŘĴī ĮĴÐĨĮ Ĵď ĮÐÆķīÐ ÌďĉðĊ ÆďĊĴīďăăÐīĮȰĴìÐ ĮÐīŒÐīĮ ĴìĴ īķĊ # #ðīÐÆĴďīř wÐīŒðÆÐĮȰ # ÆĊ ĮĴðăă ÅÐ ÐĮðăř ÆďĉĨīďĉðĮÐÌ Œð ÐĊÌȭķĮÐī ÌÐŒðÆÐĮ þďðĊÐÌ Ĵď # ðå ĮÐÆķīðĴř ÅÐĮĴ ĨīÆĴðÆÐĮ īÐ ĊďĴ åďăăďœÐÌȘ
ǣ
5
Examples of Recent Ransomware Attacks wďĉÐ ďå ĴìÐ ìðæìÐĮĴ ĨīďťăÐ ĴĴÆāĮ ðĊ ĴìÐ ăĮĴ åÐœ řÐīĮ ĮĨīÐÌ ķĮðĊæ ÆĴðŒÐ #ðīÐÆĴďīřȘ ķĴ # ðĮ ăĮď ÅÐðĊæ ķĮÐÌ ðĊ ĊďĊȭĴīæÐĴÐÌ ĴĴÆāĮȘ ìðăÐ ĉķăĴðĊĴðďĊăĮ ĊÌ æďŒÐīĊĉÐĊĴ æÐĊÆðÐĮ ĴÐĊÌ Ĵď æīÅ ĴìÐ ìÐÌăðĊÐĮș ĮĉăăÐī ÅķĮðĊÐĮĮÐĮ ĊÌ ďīæĊðšĴðďĊĮ īÐ ăĮď åăăðĊæ ŒðÆĴðĉ Ĵď īĊĮďĉœīÐȘ ìÐĊ A} ĨīďŒðÌÐīĮ ĮĨÐÆðťÆăăř īÐ ìðĴș ĴìÐ ðĉĨÆĴ ÐŘĴÐĊÌĮ Ĵď ìÐăĴìÆīÐș æďŒÐīĊĉÐĊĴș ÐÌķÆĴðďĊș ĊÌ ďĴìÐī ðĊÌķĮĴīðÐĮȘ }ìÐ ÆďĊĮÐĪķÐĊÆÐĮ ďå īĊĮďĉœīÐ ĴĴÆā ÆĊ ÅÐ ÌÐŒĮĴĴðĊæȘ 'ĊĴðīÐ ĊÐĴœďīāĮ ÆĊ ÅÐ ÐĊÆīřĨĴÐÌș ðĊÆăķÌðĊæ ÅÆāķĨĮ ĊÌ ÆĴðŒÐ #ðīÐÆĴďīř ÌďĉðĊ ÆďĊĴīďăăÐīĮȘ 'ŒÐĊ ðå ȵæďďÌȶ ÅÆāķĨĮ īÐ ŒðăÅăÐ Ĵď īÐĮĴďīÐ ĮřĮĴÐĉĮș ĴìÐ ĴðĉÐ ĊÌ ÆďĮĴĮ ðĊŒďăŒÐÌ œðăă ÅÐ ĮðæĊðťÆĊĴȘ >ÐīÐ īÐ åÐœ ÐŘĉĨăÐĮ ďå ìďœ ìÆāÐīĮ īÐ ìīĊÐĮĮðĊæ # Ĵď ĮĨīÐÌ īĊĮďĉœīÐȚ Norsk Hydro }ìÐ UďīœÐæðĊ ăķĉðĊķĉ ÆďĉĨĊř UďīĮā >řÌīď œĮ ìðĴ Åř OďÆāÐī:ďæ ðĊ TīÆì ǡǟǠǨȘ }ìÐ ðĊåÐÆĴðďĊ ĮĴīĴÐÌ Ĵ ĨăĊĴ ÅĮÐÌ ðĊ ĴìÐ ȘwȘ ÅÐåďīÐ ðĴ ĮĨīÐÌ Ĵď ďĴìÐī åÆðăðĴðÐĮȘ }ìÐ īĊĮďĉœīÐ ďķĴÅīÐā åďīÆÐÌ UďīĮā >řÌīď Ĵď ĮœðĴÆì Ĵď ĉĊķă ĨīďÆÐĮĮÐĮ ðĊ ĉĊř ďå ðĴĮ åÆĴďīðÐĮȘ UďīĮā >řÌīď œďīāÐÌ Ĵď īÐĮĴďīÐ ðĴĮ ĮřĮĴÐĉĮ īĴìÐī ĴìĊ Ĩř īĊĮďĉ ĊÌ œĮ ďĊăř ÅăÐ Ĵď ÆďĊĴðĊķÐ ďĨÐīĴðďĊĮ ÅÐÆķĮÐ ðĴ ìÌ ĴìďķæìĴȭďķĴ ÌðĮĮĴÐī īÐÆďŒÐīř ĨăĊș œìðÆì ðĊÆăķÌÐÌ åðăðĊæ ďŒÐī ďĊȭĨīÐĉ ÐĉðăĮ Ĵď TðÆīďĮďåĴȸĮ ZŨÆÐ ǢǥǤ ÆăďķÌ ĮÐīŒðÆÐȘ ķĴ ķĮðĊæ ĴìÐ ÆăďķÌ Į ĨīĴ ďå ÌðĮĮĴÐī īÐÆďŒÐīř ĨăĊ ðĮĊȸĴ Ċ ďĨĴðďĊ åďī ÆďĉĨĊðÐĮ ĴìĴ ĊÐÐÌ Ĵď āÐÐĨ ÌĴ ðĊ ĴìÐðī ďœĊ ÌĴ ÆÐĊĴÐīĮ åďī īÐæķăĴďīř ďī ÆďĉĨăðĊÆÐ īÐĮďĊĮȘ
A KING’S RANSOM: HOW TO STOP RANSOMWARE SPREADING VIA AD
Oil and Gas Facilities OĴÐ ǡǟǠǨ ăĮď Įœ ÆĴðŒÐ #ðīÐÆĴďīř ķĮÐÌ Ĵď ĮĨīÐÌ ĴìÐ třķā īĊĮďĉœīÐȘ }ìīÐĴ:ÐĊș Ċ ďĨÐīĴðďĊă ĴÐÆìĊďăďæř ÆřÅÐīĮÐÆķīðĴř ĮÐīŒðÆÐĮ ťīĉ ÅĮÐÌ ðĊ ĴìÐ ȘwȘș īÐĨďīĴÐÌ ĴìĴ ĮÐŒÐīă ďå ðĴĮ ÆăðÐĊĴĮ ðĊ ĴìÐ ďðă ĊÌ æĮ ðĊÌķĮĴīř œÐīÐ ìðĴ Åř třķāȘ }ìÐ ìÆāÐīĮ ķĮÐÌ ŒķăĊÐīÅðăðĴř ðĊ TðÆīďĮďåĴȸĮ tÐĉďĴÐ #ÐĮāĴďĨ qīďĴďÆďă ȧt#qȨ Ĵď ÆďĉĨīďĉðĮÐ ÆĴðŒÐ #ðīÐÆĴďīř ĊÌ æÐĴ ĨīðŒðăÐæÐÌ ÆīÐÌÐĊĴðăĮȘ }ìÐ třķā īĊĮďĉœīÐ œĮ ĴìÐĊ ðĊĮÐīĴÐÌ ðĊĴď ăďæðĊ ĮÆīðĨĴ Įď ĴìĴ ăă ÆăðÐĊĴĮ ăďææðĊæ ðĊ Ĵď # œÐīÐ ðĊåÐÆĴÐÌȘ ìÐĊ ķĮÐīĮ ĊÌ A} ĮĴåå ăďææÐÌ ðĊĴď ĴìÐðī q Į ďī ĮÐīŒÐīĮș ĴìÐ ÌÐŒðÆÐĮ œÐīÐ ăďÆāÐÌ ĊÌ ÐĊÆīřĨĴÐÌȘ åĴÐī ðĊðĴðăăř ÆďĉĨīďĉðĮðĊæ ÆĴðŒÐ #ðīÐÆĴďīřș ĴìÐ īĊĮďĉœīÐ ăř ÌďīĉĊĴ åďī ĉďĊĴìĮ ÅÐåďīÐ ðĴ œĮ ðĊĮÐīĴÐÌ ðĊĴď ăďæðĊ ĮÆīðĨĴĮȘ OřðĊæ ăďœ åďī Įď ăďĊæ ÆďķăÌ ìŒÐ ăăďœÐÌ ÐĊďķæì ĴðĉÐ Ĵď ÆďăăÐÆĴ ðĊåďīĉĴðďĊ ďĊ ĴìÐ ðĊåÐÆĴÐÌ ďīæĊðšĴðďĊȸĮ ĮřĮĴÐĉĮ ĊÌ ÌĴ ďī Ĵď ĉāÐ ðĴ ĉďīÐ ÌðŨÆķăĴ Ĵď īÐĮĴďīÐ åīďĉ ÅÆāķĨȘ ZĊÐ ååÐÆĴÐÌ ÆďĉĨĊř ĴīðÐÌ Ĵď īÐĮĴďīÐ ðĴĮ ĮřĮĴÐĉĮ ÅķĴ åďķĊÌ ĴìĴ ðĴĮ ÅÆāķĨĮ œÐīÐ ăĮď ðĊåÐÆĴÐÌ œðĴì ĴìÐ īĊĮďĉœīÐȘ
ǥ
TA:t }AU: }Z Z99A ' ǢǥǤ }>' w' t'
Kmart AĊ #ÐÆÐĉÅÐī ǡǟǡǟș w ÌÐĨīĴĉÐĊĴ ÆìðĊ NĉīĴ åÐăă ŒðÆĴðĉ Ĵď ÅīķĴă 'æīÐæďī īĊĮďĉœīÐș œìðÆì ÐĮĴÅăðĮìÐÌ ȵīĊĮďĉ ĊďĴÐȶ ĴìĴ ŒÐīðťÐÌ NĉīĴȸĮ ÆĴðŒÐ #ðīÐÆĴďīř ÌďĉðĊ ÅÐðĊæ ÆďĉĨīďĉðĮÐÌ ÌķīðĊæ ĴìÐ ĴĴÆāȘ }ìðĮ īĊĮďĉœīÐ œĮ āĊďœĊ åďī ķĴðăðšðĊæ ÌďķÅăÐȭÐŘĴďīĴðďĊ ĴÐÆìĊðĪķÐș œìÐīÐ ďĊăř ĨďīĴðďĊ ďå ĴìÐ ÅīÐÆìÐÌ ÌĴ ðĮ ĨķÅăðĮìÐÌ Ĵď ĉďÅðăðšÐ ĴìÐ ŒðÆĴðĉ Ĵď Ĩř ĴìÐ īĊĮďĉ ĪķðÆāăřȘ }řĨðÆăăřș ĴìðĮ īĊĮďĉœīÐ ĴřĨÐ ðĮ ðĊþÐÆĴÐÌ Ĵìīďķæì ăďÌÐīȘ ZĊÆÐ ĴìÐ ðĊðĴðă ÅīÐÆì ìĮ ĴāÐĊ ĨăÆÐș ĴìÐ īĊĮďĉœīÐ ÌðĮÅăÐĮ ĴìÐ ťīÐœăă ĮÐĴĴðĊæĮ ĊÌ ÆĴðŒĴÐĮ tÐĉďĴÐ #ÐĮāĴďĨ qīďĴďÆďă ȧt#qȨȘ }ìÐ ĉăœīÐ ðĮ ĴìÐĊ ÅăÐ Ĵď ĉďŒÐ ăĴÐīăăř Ĵìīďķæì ĴìÐ ĊÐĴœďīā Ĵď ÌÐĴÐÆĴ ĊÌ ÌÐÆĴðŒĴÐ ĮďåĴœīÐȘ ðĴì ăĮĴȭĮĴĊÌ ÌÐåÐĊĮÐ ÌðĮÅăÐÌș ĴìÐ īĊĮďĉœīÐ ÆÆÐĮĮÐĮ ĊÌ ÐĊÆīřĨĴĮ ĴìÐ ÅīÐÆìÐÌ ÌĴȘ United Nations AĊ TīÆì ǡǟǡǟș ĴìÐ ĊðĴÐÌ UĴðďĊĮ īÐŒÐăÐÌ ĴìĴ ĊķĉÐīďķĮ ĮÐīŒÐīĮ ÆīďĮĮ ĴìīÐÐ U ďŨÆÐĮ œÐīÐ ÅīÐÆìÐÌȘ wďĉÐ ďå ĴìÐ ÆďĉĨīďĉðĮÐÌ ĮÐīŒÐīĮ œÐīÐ ķĮÐÌ åďī ķĮÐīȥĨĮĮœďīÌ ĉĊæÐĉÐĊĴș ťīÐœăăș ÌĴÅĮÐĮș ĊÌ ĮřĮĴÐĉ ÆďĊĴīďăĮȘ U ĮĨďāÐĮĨÐīĮďĊ ÆďĊťīĉÐÌ ĴìĴ ĴìÐðī ÆĴðŒÐ #ðīÐÆĴďīř ăðĮĴĮ ďå ðĊĴÐīĊă ķĮÐīĮ œÐīÐ ÐŘĴīÆĴÐÌ Åř ĴìÐ ĴĴÆāÐīĮȘ ŒķăĊÐīÅðăðĴř ȧ 'ȭǡǟǠǨȭ ǟǥǟǣȨ ďĊ ĴìÐ wìīÐqďðĊĴ ĮÐīŒÐī œĮ ķĮÐÌ Åř ĴìÐ ĴĴÆāÐīĮ Ĵď ÆÆÐĮĮ ĊÌ ĉďŒÐ ăĴÐīăăř Ĵìīďķæì ĴìÐ ĊÐĴœďīāȘ ăĉďĮĴ ǣǟǟǟ U ĮĴåå œÐīÐ ååÐÆĴÐÌș œðĴì ŒīðďķĮ ĴřĨÐĮ ďå ĨÐīĮďĊă ðĊåďīĉĴðďĊ ÅÐðĊæ ÆďĉĨīďĉðĮÐÌȘ SaveTheQueen Ransomware 'īăř ǡǟǡǟ Įœ ĊÐœ ĮĴīðĊ ďå wŒÐ}ìÐsķÐÐĊ īĊĮďĉœīÐș œìðÆì ťīĮĴ ĨĨÐīÐÌ ðĊ ǡǟǠǨș ĴìĴ ÐĊÆīřĨĴĮ ĊÌ ĨĨÐĊÌĮ ťăÐĮ œðĴì ĴìÐ ȘwŒÐ}ìÐsķÐÐĊ ÐŘĴÐĊĮðďĊȘ }ìÐ ĊÐœ ĮĴīðĊ ĮĨīÐÌĮ Åř ðĊĮÐīĴðĊæ ðĴĮÐăå ðĊĴď ÆĴðŒÐ #ðīÐÆĴďīřȸĮ w w ZO ĮìīÐș œìðÆì ðĮ īÐĨăðÆĴÐÌ Ĵď ÐŒÐīř ÌďĉðĊ ÆďĊĴīďăăÐīȘ w w ZO ÆĊ ÅÐ īÐÌ Åř ăă ķĴìÐĊĴðÆĴÐÌ ķĮÐīĮș ÅķĴ ðĴ ÆĊ ďĊăř ÅÐ œīðĴĴÐĊ Ĵď Åř ķĮÐīĮ œðĴì ĨīðŒðăÐæÐÌ ÆÆÐĮĮ Ĵď #Ș wÐÆķīðĴř ÆďĉĨĊř īďĊðĮ īÐĨďīĴÐÌ ĴìĴ ĴìÐ ĊÐœ ĮĴīðĊ ďå wŒÐ}ìÐsķÐÐĊ ķĮÐĮ #ȸĮ w w ZO ĮìīÐ Ĵď œīðĴÐ ăďæ ťăÐĮ ĴìĴ ĉďĊðĴďī ĴìÐ ĨīďæīÐĮĮ ďå ĴìÐ ĴĴÆā ďĊ ĊÐœ ÌÐŒðÆÐĮȘ w w ZO ĮĴďīÐĮ ÆďÌÐ åďī ĮÆìÐÌķăÐÌ ĴĮā ĴìĴ īķĊĮ qďœÐīwìÐăă ĮÆīðĨĴ ďĊ ÌÐŒðÆÐĮ Ĵď ðĊåÐÆĴ ĴìÐĉ œðĴì ĴìÐ īĊĮďĉœīÐȘ Samas Ransomware ÆĴðŒÐ #ðīÐÆĴďīř ìĮ ăĮď ÅÐÐĊ ķĮÐÌ Ĵď ĮĨīÐÌ ĴìÐ wĉĮ īĊĮďĉœīÐș œìðÆì ÌĴÐĮ Ĵď ǡǟǠǥȘ 9īÐÐăř ŒðăÅăÐ ĴďďăĮ īÐ ķĮÐÌ Ĵď ĮĴÐă ĨīðŒðăÐæÐÌ ÆĴðŒÐ #ðīÐÆĴďīř ÆīÐÌÐĊĴðăĮȘ }ìÐĊ ĴĴÆāÐīĮ œďīā œðĴì ĮĴĊÌīÌ ÌĉðĊðĮĴīĴðďĊ ĴďďăĮ Ĵď ĪķÐīř # Ĵď ðÌÐĊĴðåř ÌÐŒðÆÐĮ Ĵď ÐĊÆīřĨĴȘ ķĴ ðĊ ÆĮÐĮ œìÐīÐ wĉĮ ìĮ ÐĊÆīřĨĴÐÌ ťăÐĮș # ðĮ ķĮÐÌ åďī īÐÆďĊĊðĮĮĊÆÐ ďĊăřș ĊÌ ĴìÐ ĉăðÆðďķĮ ÆďÌÐ ĮĨīÐÌĮ ăðāÐ ĴīÌðĴðďĊă ȵœďīĉȶ ŒðīķĮȘ
7
ǧ
How to Prevent Ransomware Spreading via Active Directory tĊĮďĉœīÐ ĴĴÆāĮ ĴìĴ ķĮÐ ÆĴðŒÐ #ðīÐÆĴďīř Ĵď ĨīďĨæĴÐ ďī Ĵď ĨÐīåďīĉ īÐÆďĊĊðĮĮĊÆÐ īÐĪķðīÐ ĨīðŒðăÐæÐÌ ÆÆÐĮĮ Ĵď ĴìÐ ÌðīÐÆĴďīřȘ TďĮĴ ďīæĊðšĴðďĊĮ ÌďĊȸĴ ĨīďĨÐīăř īÐĮĴīðÆĴ ďī ĉĊæÐ ĴìÐ ķĮÐ ďå ĨīðŒðăÐæÐÌ # ÆÆďķĊĴĮș ăÐŒðĊæ A} ĮřĮĴÐĉĮ ÐŘĨďĮÐÌ Ĵď īĊĮďĉœīÐ ĊÌ ďĴìÐī āðĊÌĮ ďå ĴĴÆāȘ >ÐīÐ īÐ ĮðŘ œřĮ ĴìĴ řďķ ÆĊ ĨīďĴÐÆĴ ÆÆÐĮĮ Ĵď ĨīðŒðăÐæÐÌ # ÆÆďķĊĴĮ ĊÌ ĉāÐ ðĴ ÌðŨÆķăĴ åďī ĴĴÆāÐīĮ Ĵď œÐĨďĊðšÐ ÆĴðŒÐ #ðīÐÆĴďīřȚ
1
tÐÌķÆÐ ĨīðŒðăÐæÐÌ # æīďķĨ ĉÐĉÅÐīĮìðĨ
2
tÐĮĴīðÆĴ ĴìÐ ķĮÐ ďå ĨīðŒðăÐæÐÌ # ÆÆďķĊĴĮ
3
TĊæÐ ÐĊÌȭķĮÐī ÌÐŒðÆÐĮ ķĮðĊæ ăďÆă ÆÆďķĊĴ
4
qīďĴÐÆĴ ĨīðŒðăÐæÐÌ # ÆÆďķĊĴĮ œðĴì ĉķăĴðåÆĴďī ķĴìÐĊĴðÆĴðďĊ
5
TďĊðĴďī ÆĴðŒÐ #ðīÐÆĴďīř åďī ķĊķĮķă ÆĴðŒðĴř
6
AĉĨăÐĉÐĊĴ ĴðÐīÐÌ ÌĉðĊðĮĴīĴðďĊ ĉďÌÐă åďī ÆĴðŒÐ #ðīÐÆĴďīř
A KING’S RANSOM: HOW TO STOP RANSOMWARE SPREADING VIA AD
1. Reduce Privileged AD Group Membership TðÆīďĮďåĴ īÐÆďĉĉÐĊÌĮ īÐÌķÆðĊæ ĴìÐ ķĮÐ ďå ĨīðŒðăÐæÐÌ ÆÆďķĊĴĮ ðĊ Ċ ÆĴðŒÐ #ðīÐÆĴďīř ÌďĉðĊ Ĵď ÅīÐ ĉðĊðĉķĉȘ ìðăÐ ðĴ ðĮ ðĉĨďīĴĊĴ Ĵď ăðĉðĴ ĉÐĉÅÐīĮìðĨ ďå ĴìÐ #ďĉðĊ ÌĉðĊĮ ĊÌ 'ĊĴÐīĨīðĮÐ ÌĉðĊĮ æīďķĨĮș ĴìÐř īÐ ĊďĴ ĴìÐ ďĊăř ĨīðŒðăÐæÐÌ æīďķĨĮ ðĊ #Ș wÆìÐĉ ÌĉðĊĮ ðĮ Ċ ÐŘĉĨăÐ ďå ĊďĴìÐī ĨīðŒðăÐæÐÌ æīďķĨȘ Tip: ďķ ÆĊ ĮĴīĴ Åř ķÌðĴðĊæ ĴìÐ ĉÐĉÅÐīĮìðĨ ďå ĨīðŒðăÐæÐÌ # æīďķĨĮ ĊÌ Åř œďīāðĊæ Ĵď īÐÌķÆÐ ĴìÐðī ĉÐĉÅÐīĮìðĨȘ 2. Restrict the Use of Privileged AD Accounts }ìÐīÐ īÐ ĮďĉÐ ĴÐÆìĊďăďæðÐĮ ðĊ ðĊÌďœĮ ĴìĴ ÆĊ ìÐăĨ īÐÌķÆÐ ĴìÐ ÐŘĨďĮķīÐ ďå ĨīðŒðăÐæÐÌ # ÆīÐÌÐĊĴðăĮș ăðāÐ ĴìÐ qīďĴÐÆĴÐÌ ĮÐīĮ æīďķĨ ĊÌ ðĊÌďœĮ #ÐåÐĊÌÐī īÐÌÐĊĴðă :ķīÌȘ ķĴ řďķ ĮìďķăÌ åďăăďœ TðÆīďĮďåĴȸĮ ÅÐĮĴ ĨīÆĴðÆÐĮ ĊÌ ăðĉðĴ ĴìÐ ķĮÐ ďå ĨīðŒðăÐæÐÌ # ÆÆďķĊĴĮ Ĵď ÌÐŒðÆÐĮ ĴìĴ īÐ ĮĨÐÆðăăř ĮÐÆķīÐÌ åďī ĴìÐ ĨķīĨďĮÐĮ ďå ÌĉðĊðĮĴÐīðĊæ ÆĴðŒÐ #ðīÐÆĴďīřȘ Tip: īÐĴÐ ĮÐĴ ďå qīðŒðăÐæÐÌ ÆÆÐĮĮ ďīāĮĴĴðďĊĮ ȧq Ȩ ķĮÐÌ ÐŘÆăķĮðŒÐăř åďī ĨÐīåďīĉðĊæ ÌĉðĊðĮĴīĴðŒÐ ĴĮāĮ ĴìĴ īÐĪķðīÐ ĨīðŒðăÐæÐÌ ÆÆÐĮĮ Ĵď ÆĴðŒÐ #ðīÐÆĴďīřȘ 3. Manage End-User Devices Using a Local Account TðÆīďĮďåĴ īÐÆÐĊĴăř ÆìĊæÐÌ ðĴĮ ÌŒðÆÐ ďĊ ÆÆÐĮĮðĊæ ÆăðÐĊĴ ÌÐŒðÆÐĮ īÐĉďĴÐăř ķĮðĊæ ăďÆă ÌĉðĊðĮĴīĴďī ÆÆďķĊĴȘ ZīæĊðšĴðďĊĮ æÐĊÐīăăř æīĊĴ īÐĉďĴÐ ÆÆÐĮĮ Ĵď ÆăðÐĊĴĮ ķĮðĊæ ÌďĉðĊ ķĮÐī ÆÆďķĊĴȘ Aå řďķ ìŒÐ ĮřĮĴÐĉ ðĊ ĨăÆÐ Ĵď īĊÌďĉðšÐ ĊÌ ĨÐīðďÌðÆăăř ÆìĊæÐ ĴìÐ ăďÆă ÌĉðĊðĮĴīĴďī ĨĮĮœďīÌ ďĊ ÐÆì ÌÐŒðÆÐș ăðāÐ TðÆīďĮďåĴȸĮ OďÆă ÌĉðĊðĮĴīĴďī qĮĮœďīÌ wďăķĴðďĊ ȧO qwȨ Ĵďďăș ĴìÐĊ řďķ ÆĊ ŒďðÌ ÌďĉðĊ ÆÆďķĊĴ åďī īÐĉďĴÐ ĮķĨĨďīĴȘ ĮðĊæ ăďÆă ÆÆďķĊĴ åďī ĮķĨĨďīĴðĊæ ÐĊÌ ķĮÐī ÌÐŒðÆÐĮ ĉāÐĮ ðĴ ìīÌÐī åďī ìÆāÐīĮ Ĵď ÆďĉĨīďĉðĮÐ ÆĴðŒÐ #ðīÐÆĴďīřȘ Tip: ķÌðĴ ăďÆă ÌĉðĊðĮĴīĴďī ÆÆďķĊĴ ĨĮĮœďīÌĮȘ TāÐ ĮķīÐ ĴìĴ ÐÆì ÌÐŒðÆÐ ìĮ ķĊðĪķÐ ăďÆă ÌĉðĊðĮĴīĴďī ÆÆďķĊĴ ĨĮĮœďīÌȘ }ìÐĊ ĮĴďĨ ķĮðĊæ ÌďĉðĊ ÆÆďķĊĴĮ åďī īÐĉďĴÐ ĮķĨĨďīĴȘ 4. Protect Privileged AD Accounts with Multifactor Authentication qĮĮœďīÌĮ īÐ ðĊĮÐÆķīÐ ÅÐÆķĮÐ ĴìÐř ÆĊ ÅÐ ÐĮðăř ÅķĮÐÌ ðå ďÅĴðĊÐÌ Åř ìÆāÐīȘ ķĴ ĉĊř ďīæĊðšĴðďĊĮ īÐăř ďĊ ĨĮĮœďīÌĮ ăďĊÐ Ĵď ĨīďĴÐÆĴ ĨīðŒðăÐæÐÌ # ÆÆďķĊĴĮȘ ÆÆďīÌðĊæ Ĵď TðÆīďĮďåĴș ĉķăĴðåÆĴďī ķĴìÐĊĴðÆĴðďĊ ðĮ ĨīďŒÐĊ Ĵď ÅăďÆā ǨǨȘǨɦ ďå ķĴďĉĴÐÌ ĴĴÆāĮȘ T9 īÐĪķðīÐĮ ķĮÐīĮ Ĵď ĨīďŒðÌÐ ĮďĉÐĴìðĊæ ðĊ ÌÌðĴðďĊ Ĵď ĴìÐðī ĨĮĮœďīÌș ăðāÐ ÅðďĉÐĴīðÆ æÐĮĴķīÐ ďī ďĊÐȭĴðĉÐ ĨĮĮÆďÌÐ æÐĊÐīĴÐÌ Åř Ċ ķĴìÐĊĴðÆĴďī ĨĨȘ Tip: ÌÌ ĉķăĴðåÆĴďī ķĴìÐĊĴðÆĴðďĊ Ĵď ðĊÌďœĮ wÐīŒÐī ÆĴðŒÐ #ðīÐÆĴďīřȘ šķīÐ T9 ĊÌ ďĴìÐī ĨīďÌķÆĴĮ ÆĊ ÅÐ ķĮÐÌ Ĵď ÌÌ T9 Ĵď #Ș
9
A KING’S RANSOM: HOW TO STOP RANSOMWARE SPREADING VIA AD
5. Monitor Active Directory for Unusual Activity LķĮĴ Į ĊĴðĉăœīÐ ĮďåĴœīÐ ĮÆĊĮ ðĊÌďœĮ åďī ķĊķĮķă ťăÐĮ ĊÌ ĨīďÆÐĮĮÐĮș ðĴ ðĮ ðĉĨďīĴĊĴ Ĵď ĉďĊðĴďī ÆĴðŒÐ #ðīÐÆĴďīř åďī ķĊķĮķă ÆĴðŒðĴřȘ }ìÐ ðĊÌďœĮ 'ŒÐĊĴ Oďæ ÆďĊĴðĊĮ ăďĴ ďå ðĊåďīĉĴðďĊ ĴìĴ ÆďķăÌ īÐŒÐă ĉðĮķĮÐ ďå ĨīðŒðăÐæÐÌ ÆÆďķĊĴĮ ĊÌ ďĴìÐī ĉăðÆðďķĮ ÅÐìŒðďīȘ ðĴì ĴìÐ īðæìĴ ÌĴș ďīæĊðšĴðďĊĮ ÆĊ ĨīďÆĴðŒÐăř ĮĴďĨ īĊĮďĉœīÐ ĴĴÆāĮ ĮĨīÐÌðĊæ Œð #Ș wÐÆķīðĴř AĊåďīĉĴðďĊ ĊÌ 'ŒÐĊĴ TĊæÐĉÐĊĴ ȧwA'TȨ ĨīďÌķÆĴĮ ÆĊ ÅÐ ķĮÐÌ Ĵď ÆďăăÐÆĴ ðĊåďīĉĴðďĊ åďīœīÌÐÌ åīďĉ ĴìÐ ðĊÌďœĮ wÐīŒÐī 'ŒÐĊĴ Oďæ ĊÌ ďĴìÐī ĮřĮĴÐĉĮȘ ĨȭĴďȭÌĴÐ ĴìīÐĴ ðĊĴÐăăðæÐĊÆÐ ÆĊ ĨīďŒðÌÐ Ċ ķĴďĉĴÐÌ œř åďī ďīæĊðšĴðďĊĮ Ĵď ðÌÐĊĴðåř ĴìīÐĴĮ ðĊ ĴìÐ ÌĴ ÆďăăÐÆĴÐÌ åīďĉ ĮÐÆķīðĴř ÐŒÐĊĴĮȘ }ìĴ ĮðÌș ĊÐðĴìÐī ðĊÌďœĮ OďæĮ Ċďī wA'T ĨīďÌķÆĴĮ īÐ ÐĊďķæì ďĊ ĴìÐðī ďœĊȘ Tip: #ÐĨăďř wA'T œðĴì ĴìīÐĴ ðĊĴÐăăðæÐĊÆÐ Ĵď ĨīďÆĴðŒÐăř ÅăďÆā īĊĮďĉœīÐ ĊÌ ďĴìÐī ĴřĨÐĮ ďå ĉăœīÐ ÅÐåďīÐ ĴìÐř ðĊåÐÆĴ řďķī ÐĊĴðīÐ ĊÐĴœďīāȘ 6. Implement a Tiered Administration Model for Active Directory TðÆīďĮďåĴ īÐÆďĉĉÐĊÌĮ ďīæĊðšðĊæ īÐĮďķīÆÐĮ ðĊ ÆĴðŒÐ #ðīÐÆĴďīř Ĵď ĉĊæÐ ĴìÐĉ ķĮðĊæ ĉďīÐ ĮÐÆķīÐ ĴðÐīÐÌ ĉďÌÐăȘ }ìÐ ĉďÌÐă ÌÐťĊÐĮ ĴìīÐÐ ĴðÐīĮ ĴìĴ ÆĴ Į ÅķååÐīĮ Ĵď ĮÐĨīĴÐ ĴìÐ ÌĉðĊðĮĴīĴðďĊ ďå ìðæìȭīðĮā ÌÐŒðÆÐĮș ăðāÐ ÐĊÌȭķĮÐī q Įș åīďĉ ŒăķÅăÐ ĮÐīŒÐīĮș ăðāÐ ÌďĉðĊ ÆďĊĴīďăăÐīĮȘ }ðÐī ǟ ðĊÆăķÌÐĮ īÐĮďķīÆÐĮ ăðāÐ ĨīðŒðăÐæÐÌ # ÆÆďķĊĴĮș ÌďĉðĊ ÆďĊĴīďăăÐīĮș ĊÌ qīðŒðăÐæÐÌ ÆÆÐĮĮ ďīāĮĴĴðďĊĮȘ }ðÐī Ǡ ðĮ ķĮÐÌ åďī ĉÐĉÅÐī ĮÐīŒðÆÐĮ ĊÌ ĨĨăðÆĴðďĊĮȘ ĊÌ }ðÐī ǡ ðĮ åďī ÐĊÌȭķĮÐī q Į ĊÌ ĴìÐ ďÅþÐÆĴĮ ðĊ # ķĮÐÌ Ĵď ĉĊæÐ q Įș ăðāÐ ìÐăĨÌÐĮā ķĮÐī ÆÆďķĊĴĮȘ Tip: ĮðĊæ ĨìĮÐÌ ĨĨīďÆìș īÐďīæĊðšÐ ÆĴðŒÐ #ðīÐÆĴďīř Įď ĴìĴ ðĴ ÆĊ ÅÐ ĉĊæÐÌ œðĴì ĴðÐīÐÌ ÌĉðĊðĮĴīĴðďĊ ĉďÌÐăȘ
10
A KING’S RANSOM: HOW TO STOP RANSOMWARE SPREADING VIA AD
Tenable.ad: Proactively Stop Ransomware from Infecting Entire Networks 9ďăăďœðĊæ TðÆīďĮďåĴȸĮ ĮÐÆķīðĴř ÅÐĮĴ ĨīÆĴðÆÐĮ ðĮ æďďÌ ĮĴīĴðĊæ ĨďðĊĴ Ĵď ĮÐÆķīÐ ÆĴðŒÐ #ðīÐÆĴďīř ĊÌ Ĵď ĮĴďĨ ìÆāÐīĮ ķĮðĊæ ðĴ Ĵď ĮĨīÐÌ īĊĮďĉœīÐȘ ķĴ ĴìÐ ďķĴȭďåȭĴìÐȭÅďŘ ĴďďăĮ ðĊ ðĊÌďœĮ wÐīŒÐī Ìď ĊďĴ ĨīďŒðÌÐ œř Ĵď ĉďĊðĴďī ÆĴðŒÐ #ðīÐÆĴďīř ðĊ īÐă ĴðĉÐș Ċďī Ìď ĴìÐř ĮķĨĨăř ĴìÐ ĴìīÐĴ ðĊĴÐăăðæÐĊÆÐ ĊÐÐÌÐÌ Ĵď ķĴďĉĴÐ īÐĮĨďĊĮÐĮ ðĊ Ċ ÐŒÐīȭÆìĊæðĊæ ĴìīÐĴ landscape. }ÐĊÅăÐȘÌ ÆĊ ðÌÐĊĴðåř ĮÐÆķīðĴř ðĮĮķÐĮ œðĴì # ÅÐåďīÐ ĴĴÆāÐīĮ ÐŘĨăďðĴ ĴìÐĉ Ĵď ĮĨīÐÌ īĊĮďĉœīÐȘ ķðăĴȭðĊ āĊďœăÐÌæÐ ĊÌ ĴìīÐĴ ðĊĴÐăăðæÐĊÆÐ ìÐăĨ ďīæĊðšĴðďĊĮ ĉðĴðæĴÐ ðĮĮķÐĮ ĊÌ īÐĉÐÌðĴÐ ĴìīÐĴĮȘ }ÐĊÅăÐȘÌ ðĊĴÐæīĴÐĮ œðĴì wA'T ĊÌ ĮÐÆķīðĴř ĴďďăĮ Ĵď ĨīďÆĴðŒÐăř ðĉĨīďŒÐ # ĮÐÆķīðĴřș ĨīďŒðÌðĊæ ÌřĊĉðÆ ÌĮìÅďīÌĮ Ĵď æðŒÐ řďķ ðĊĮðæìĴĮ ĴìĴ īÐ ĊďĴ ĨďĮĮðÅăÐ œðĴìďķĴ ĮĨÐÆðăðĮĴ ĮÐÆķīðĴř ĮďåĴœīÐȘ
11
ǥǠǟǟ TÐīīðœÐĴìÐī #īðŒÐ ǠǡĴì 9ăďďī Speak with us today about your project ďăķĉÅðș T# ǡǠǟǣǣ
US 770-606-8442 | CAN 416-410-5599
UďīĴì ĉÐīðÆ ɎǠ ȧǣǠǟȨ ǧǦǡȭǟǤǤǤ
sales@complytec.com
www.tenable.com
Zq tA:>} ǡǟǡǠ }'U O'ș AU Ș OO tA:>}w t'w't '#Ș }'U O'ș }'U O'ȘAZș U'ww wș OwA#ș AU#': ș O TAUș ww t'ș U# OZ: Ztt'O }AZU 'U:AU' t' t':Aw}'t'# }t #'T tNw Z9 }'U O'ș AU Ș Zt A}w 99AOA }'wȘ }'U O'Șw ș }'U O'ȘZ}ș }'U O'Ș #ș ' qZw t'Ș Aș U# }>' 't ' qZw t' ZTq U
A KING’S RANSOM:
t' }t #'T tNw Z9 }'U O'ș AU Ș Zt A}w 99AOA }'wȘ OO Z}>'t qtZ# }w Zt w't A 'w t' }t #'T tNw Z9 }>'At t'wq' }A ' Z U'twȘ