Grunnleggende tiltak for beskyttelse mot løsepengevirus i Windows 10

Kjetil Nordlund

Kjetil Nordlund

Security Technical Specialist

Lesetid, 4 min.

Vi har den siste tiden sett flere vellykkede angrep med løsepengevirus mot norske foretak og kommuner.

Angrepene utnytter kjente teknikker som det finnes beskyttelsesmekanismer mot innebygd i Windows 10, eller som kunne vært forhindret ved bruk av MFA.

Benytter du eldre operativsystemer vil det viktigste tiltaket være å oppgradere disse til nyeste versjon.

Pass så på at innebygde sikkerhetsmekanismene er skrudd på.

 

  1. Skru på “Attack Surface Reduction (ASR)” regler på Windows 10 klientene.

Attack Surface Reduction (ASR) regler er innebygde sikkerhetsmekanismer i Windows 10 for å blokkere kjente angrepstekniker.

Dette er mekanismer som er lagd for å detektere og blokkere spesielle aktiviteter som ofte er forbundet med ondsinnede handlinger.

Med tanke på løsepengevirus bør denne regelen som minimum skrus på:

  • “Block credential stealing from the Windows local security authority subsystem (lsass.exe)”

Denne låser ned lsass.exe prosessen for å hindre verktøy som mimikatz.exe fra å stjele «credentials» for videre bruk for «lateral movements»

Det finnes mange Attack Surface Reduction regler og flere kan gjerne vurderes, for eksempel:

  • “Block Win32 API Calls from Office macro”, “Block all Office applications from creating child processes”, “Block Office applications from injecting code into other processes”, + lignende
    Disse vil hindre at skjulte macroer I officedokumenter eller office applikasjonene selv får starte en annen kjørbar prosess.

Se hele lista over ASR regler her: Use attack surface reduction rules to prevent malware infection – Windows security | Microsoft Docs

Mer info om ASR: Use attack surface reduction rules to prevent malware infection – Windows security | Microsoft Docs

 

Sjekk hvilke ASR regler som er aktive på din klient med Powershell:

get-mppreference | fl AttackSurfaceReductionRules_Ids

Forventet resultat for “Block credential stealing….”:
AttackSurfaceReductionRules_Ids : {9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2}

(AttackSurfaceReductionRules_Ids vil vise flered ID’er om flere ASR er aktivert)

 

*Det anbefales å teste «Attack surface reglene» før de settes i produksjon slik at 3.part eller egenutviklede applikasjoner som blir blokkert kan ekskluderes

 

  1. Sørg for at «Block at first sight» i Windows Defender Antivirus ikke er skrudd av.

«Block at first sight» er en innebygd sikkerhetsmekanisme i Windows 10 og gir en måte å oppdage og blokkere ny skadelig programvare på («Zero-days»).

Når Defender Antivirus treffer en ny ukjent kjørbar fil, blir denne analysert og vurdert før den blir kjørt. Virker den mistenkelig blir filen blokkert.

Mer info: Enable block at first sight to detect malware in seconds – Windows security | Microsoft Docs

Sjekk at “block at first sight» IKKE er skrudd av på din klient med powershell:

PS C:\ > get-mppreference | fl DisableBlockAtFirstSeen

Forventet resultat: DisableBlockAtFirstSeen : False

 

  1. Skru på Network Protection (Smartscreen for Windows 10) Anti Phishing

Network Protection hjelper til med å redusere angrepsflaten til Windows 10. Tjenesten hindrer brukere i å aksessere uønskede domener som benyttes i Phishing, Exploits, og annet uønsket innhold

Der hvor Smartscreen er en tjeneste som blokkerer uønskede websider og er integrert i en nettleser som Microsoft EDGE eller som en utvidelse i Chrome, er Network Protection en del av Windows 10 og blokkerer på OS nivå. Network Protection blokkerer Windows 10 i å koble seg til det vi kaller for «Low Reputation sites» basert på http(s) trafikk.

Mer info: Use network protection to help prevent connections to bad sites – Windows security | Microsoft Docs

Sjekk at Network protection er aktivert på din klient med powershell:

PS C:\ > get-mppreference | fl EnableNetworkProtection

Forventet resultat:  EnableNetworkProtection : 1

 

  1. Skru på «Controlled folder access» for å beskytte verdifulle kataloger

«Controlled folder access» beskytter spesielt verdifulle kataloger på windows 10 klienten ved å kun tillate at godkjente applikasjoner får skrive til disse katalogene.

Katalogene som beskyttes er for eksempel katalogen «Dokumenter» i brukerens profil der alle dokumenter som standard blir lagret. Disse beskyttes for endringer fra ukjente applikasjoner, f.eks løsepengevirus.

Mer info: Protect important folders from ransomware from encrypting your files with controlled folder access – Windows security | Microsoft Docs

Sjekk at «controlled folder access» er aktivert på din klient med powershell:

PS c:\ > get-mppreference | fl EnableControlledFolderAccess

Forventet resultat: EnableControlledFolderAccess : 1

 

*Det anbefales å teste «Controlled folder access» før den settes i produksjon slik at 3.part eller egenutviklede applikasjoner som blir blokkert kan hvitelistes

 

 

Og til slutt et generelt tiltak som ikke kan gjentas for ofte:

  1. Beskytt alle åpne tjenester tilgjengelig fra internett med Multifaktorautentisering.

Dette gjelder terminalserverpålogginger som RDP, Citrix og vmware, men også andre applikasjoner og tjenester må beskyttes med MFA. Med åpne tjenester vil en angriper kunne utføre enkle passord angrep, eller utnytte passord som tidligere er lekket fra andre tjenester. Kun sikring med passord er ikke tilstrekkelig.

Skru av og unngå bruk av utdaterte autentiseringsmekanismer som «basic auth».

Etter epost er åpne tilganger til terminalservere den nest mest utnyttede metoden for å få ondsinnet tilgang.

Kostnadsfritt webinar: Cybersikkerhetstrender i Europa

Finn ut mer om cybersikkerhetstrender i Europa og løsninger for å beskytte deg mot dem

Oppdag flere relaterte artikler per bransje:

Detaljhandel

Helseomsorg

  • Datadrevet helse-Norge

    Datadrevet helse-Norge

    Fredag 22. januar, hadde vi en direktesendt event om bruken av Power BI i helseregionene- og foretakene, og hvordan din organisasjon kan dele innsikt på en sikker måte på tvers av applikasjoner og samhandlingsverktøy.   Denne bloggposten inkluderer presentasjonene fra foredragsholderne og spørsmålene fra eventet. Foredragsholderne og presentasjoner:   Helseregionene: «PowerBI i Helse Sør-Øst» av Lars Rønning – Analysesjef i Helse Sør-Øst «Datadrevet helse-Norge – bruk av […]

  • Microsoft Cloud for Health – the need of the hour

    Microsoft Cloud for Health – the need of the hour

    The year that has just been, is the year that challenged human interaction to a great length. A chat over a cup of coffee, evening dine-out with families and friends, a warm hug or a reassuring handshake: the year 2020 challenged the goodness of an endearing touch. However, 2020 was also the year of human […]

Industri

  • en gruppe mennesker i et rom

    Open Innovation Cruise

    Microsoft Norway’s startup team and Sopra Steria Scale up organized Open Innovation Cruise 2019 on October 15th to October 17th. Thank you Sopra Steria for a fantastic collaboration with organizing this event, and a huge thank you to all the 55 participants from 30 different startups and 6 enterprise organizations. We would also like to […]

  • Recap of ISV Welcome Day

    Recap of ISV Welcome Day

    Are you an Independent Software Vendor (ISV), and are you looking for a cloud platform to support and scale your business? In our 1.5 hour virtual event we will dive into how you can transform towards the cloud together with us. We will inspire you on the advantages of building cloud natively and show how […]

Offentlig sektor

  • Iceland runs on Trust

    Hvordan skyen hjalp en liten nasjon med å realisere store ambisjoner

    I desember 2015 startet den islandske regjeringen en gjennomgang av den digitale infrastrukturen. Med mer enn 100 forskjellige leverandører som administreres av over 100 IT-ledere i hver offentlig institusjon, var oppdraget klart: å forenkle driften og effektivisere IT for over 20 000 brukere. Løsningen: Etter to og et halvt år ble en beslutning tatt: For første […]

  • Ineco

    Ineco forbedrer produktiviteten hos de ansatte med moderne verktøy og kunstig intelligens

    Å streve med programvare bidrar ikke til at folk får gjort mer. Det samme gjelder for fildeling og samarbeid om dokumenter. Hvis dette er vanskelig, går det ut over produktiviteten. Ineco, et spansk selskap innen offentlig sektor, har innsett dette. De gikk inn for å endre måten de ansatte samhandler med teknologi og hverandre på. […]

Utdanning

Oppdag flere relaterte artikler per dossier:

Digital Transformation

  • en gruppe av personer som sitter ved et bord foran en bygning

    Et raskt blikk på den nye arbeidskulturen

    Vi lever i en tid med svært omfattende kulturelle og teknologiske endringer. Nye generasjoner kommer ut i jobb, og arbeidskulturen endres for å tilpasse seg nye ideer og arbeidsmåter. Samtidig omdefinerer teknologi selve begrepet om en arbeidsplass. Fast arbeidstid fra åtte til fire virker stadig mer gammeldags. Samarbeidsteknologier gir oss nemlig friheten til å jobbe […]

Kundehistorier

  • Innovasjon i kommune-Norge ved hjelp av PowerApps

    Innovasjon i kommune-Norge ved hjelp av PowerApps

    Har du opplevd situasjoner hvor en oppgave må gjøres, men hvor dere har manglet et system som muliggjør dette på en enkel, oversiktlig og rask måte? Microsoft sin løsning PowerApps kan løse nettopp dette problemet. Før var den eneste måten å erstatte tunge manuelle prosesser og fagsystemer å gå til store offentlige anskaffelser eller lange […]

Presse

  • Microsoft Norges respons til COVID-19

    Microsoft Norges respons til COVID-19

    Sist oppdatert: 16. mars 2020 Microsoft har en global tilnærming til beredskapsplaner og planlegging av krisehåndtering, som inkluderer både forutsette og uforutsette hendelser. Tilnærmingen inkluderer en handlingsplan ved pandemier. Våre handlingsplaner aktiveres over hele verden, og i tillegg til bistandsmidler til Kina og Puget Sound Community, har vi forpliktet oss til å levere produkter, tjenester […]

Sikkerhet og personvern

  • e-bok: Hvordan unngå sikkerhetsmareritt, slik at bedriften kan lykkes

    e-bok: Hvordan unngå sikkerhetsmareritt, slik at bedriften kan lykkes

    Holder sikkerhetsmareritt deg våken om natten? Sikring av dataene innebærer at du og de ansatte kan få ro i sjelen, tenke stort og oppnå mer. Rapporter viser at små og mellomstore bedrifter er særlig utsatt for databrudd og andre sikkerhetshendelser. Faktisk er 43 % av alle nettangrep rettet mot SMB-er. Hvorfor? Fordi mange av dem er […]

Tips

  • Fremtidens arbeidsplass – Innovasjon på arbeidsplassen

    Fremtidens arbeidsplass – Innovasjon på arbeidsplassen

    Organisasjoner og bedrifter har det siste året vært gjennom massive endringer. De aller fleste av oss må tenkte nytt for å vokse, kunne tilby bedre kundeopplevelser og ikke minst engasjere ansatte i en ny arbeidshverdag. I webinaret ‘Fremtidens arbeidsplass – Innovasjon på arbeidsplassen’ så vi på hvordan samarbeid, produktivitet og innovasjon på arbeidsplassen har endret […]