Grunnleggende tiltak for beskyttelse mot løsepengevirus i Windows 10

Kjetil Nordlund

Kjetil Nordlund

Security Technical Specialist

Lesetid, 4 min.

Vi har den siste tiden sett flere vellykkede angrep med løsepengevirus mot norske foretak og kommuner.

Angrepene utnytter kjente teknikker som det finnes beskyttelsesmekanismer mot innebygd i Windows 10, eller som kunne vært forhindret ved bruk av MFA.

Benytter du eldre operativsystemer vil det viktigste tiltaket være å oppgradere disse til nyeste versjon.

Pass så på at innebygde sikkerhetsmekanismene er skrudd på.

 

  1. Skru på “Attack Surface Reduction (ASR)” regler på Windows 10 klientene.

Attack Surface Reduction (ASR) regler er innebygde sikkerhetsmekanismer i Windows 10 for å blokkere kjente angrepstekniker.

Dette er mekanismer som er lagd for å detektere og blokkere spesielle aktiviteter som ofte er forbundet med ondsinnede handlinger.

Med tanke på løsepengevirus bør denne regelen som minimum skrus på:

  • “Block credential stealing from the Windows local security authority subsystem (lsass.exe)”

Denne låser ned lsass.exe prosessen for å hindre verktøy som mimikatz.exe fra å stjele «credentials» for videre bruk for «lateral movements»

Det finnes mange Attack Surface Reduction regler og flere kan gjerne vurderes, for eksempel:

  • “Block Win32 API Calls from Office macro”, “Block all Office applications from creating child processes”, “Block Office applications from injecting code into other processes”, + lignende
    Disse vil hindre at skjulte macroer I officedokumenter eller office applikasjonene selv får starte en annen kjørbar prosess.

Se hele lista over ASR regler her: Use attack surface reduction rules to prevent malware infection – Windows security | Microsoft Docs

Mer info om ASR: Use attack surface reduction rules to prevent malware infection – Windows security | Microsoft Docs

 

Sjekk hvilke ASR regler som er aktive på din klient med Powershell:

get-mppreference | fl AttackSurfaceReductionRules_Ids

Forventet resultat for “Block credential stealing….”:
AttackSurfaceReductionRules_Ids : {9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2}

(AttackSurfaceReductionRules_Ids vil vise flered ID’er om flere ASR er aktivert)

 

*Det anbefales å teste «Attack surface reglene» før de settes i produksjon slik at 3.part eller egenutviklede applikasjoner som blir blokkert kan ekskluderes

 

  1. Sørg for at «Block at first sight» i Windows Defender Antivirus ikke er skrudd av.

«Block at first sight» er en innebygd sikkerhetsmekanisme i Windows 10 og gir en måte å oppdage og blokkere ny skadelig programvare på («Zero-days»).

Når Defender Antivirus treffer en ny ukjent kjørbar fil, blir denne analysert og vurdert før den blir kjørt. Virker den mistenkelig blir filen blokkert.

Mer info: Enable block at first sight to detect malware in seconds – Windows security | Microsoft Docs

Sjekk at “block at first sight» IKKE er skrudd av på din klient med powershell:

PS C:\ > get-mppreference | fl DisableBlockAtFirstSeen

Forventet resultat: DisableBlockAtFirstSeen : False

 

  1. Skru på Network Protection (Smartscreen for Windows 10) Anti Phishing

Network Protection hjelper til med å redusere angrepsflaten til Windows 10. Tjenesten hindrer brukere i å aksessere uønskede domener som benyttes i Phishing, Exploits, og annet uønsket innhold

Der hvor Smartscreen er en tjeneste som blokkerer uønskede websider og er integrert i en nettleser som Microsoft EDGE eller som en utvidelse i Chrome, er Network Protection en del av Windows 10 og blokkerer på OS nivå. Network Protection blokkerer Windows 10 i å koble seg til det vi kaller for «Low Reputation sites» basert på http(s) trafikk.

Mer info: Use network protection to help prevent connections to bad sites – Windows security | Microsoft Docs

Sjekk at Network protection er aktivert på din klient med powershell:

PS C:\ > get-mppreference | fl EnableNetworkProtection

Forventet resultat:  EnableNetworkProtection : 1

 

  1. Skru på «Controlled folder access» for å beskytte verdifulle kataloger

«Controlled folder access» beskytter spesielt verdifulle kataloger på windows 10 klienten ved å kun tillate at godkjente applikasjoner får skrive til disse katalogene.

Katalogene som beskyttes er for eksempel katalogen «Dokumenter» i brukerens profil der alle dokumenter som standard blir lagret. Disse beskyttes for endringer fra ukjente applikasjoner, f.eks løsepengevirus.

Mer info: Protect important folders from ransomware from encrypting your files with controlled folder access – Windows security | Microsoft Docs

Sjekk at «controlled folder access» er aktivert på din klient med powershell:

PS c:\ > get-mppreference | fl EnableControlledFolderAccess

Forventet resultat: EnableControlledFolderAccess : 1

 

*Det anbefales å teste «Controlled folder access» før den settes i produksjon slik at 3.part eller egenutviklede applikasjoner som blir blokkert kan hvitelistes

 

 

Og til slutt et generelt tiltak som ikke kan gjentas for ofte:

  1. Beskytt alle åpne tjenester tilgjengelig fra internett med Multifaktorautentisering.

Dette gjelder terminalserverpålogginger som RDP, Citrix og vmware, men også andre applikasjoner og tjenester må beskyttes med MFA. Med åpne tjenester vil en angriper kunne utføre enkle passord angrep, eller utnytte passord som tidligere er lekket fra andre tjenester. Kun sikring med passord er ikke tilstrekkelig.

Skru av og unngå bruk av utdaterte autentiseringsmekanismer som «basic auth».

Etter epost er åpne tilganger til terminalservere den nest mest utnyttede metoden for å få ondsinnet tilgang.

 

Se våre offisielle Ransomware-tiltak her.

Oppdag flere relaterte artikler per bransje:

Detaljhandel

  • Microsoft Envision Retail agenda

    Microsoft Envision Retail agenda

    Microsoft Envision Retail 09.00  Velkommen Microsoft & Virke ønsker velkommen og snakker om de store trendene i retail Siri Nordby, Industry Lead Retail, Microsoft Norge Marit Hagehaugen Evensen, Bransjedirektør Retail, Virke 09.30  Envision Retail Dypdykk i kundereisen med fokus på teknologi og trender Linda Pimmeshofer, Direktør Forretningsutvikling Retail, Microsoft Sverige 10.00  Partnerskap med Møller Mobility […]

  • GDPR og detaljhandel: Fire GDPR-krav og hvordan Microsoft kan hjelpe

    GDPR og detaljhandel: Fire GDPR-krav og hvordan Microsoft kan hjelpe

    Finn ut hvordan vi kan hjelpe deg å oppfylle GDPR-kravene med dagens tilgjengelige løsninger: Vurder din gjeldende risikoprofil «Hvordan finner jeg ut hvilke forskrifter jeg allerede overholder, og hva jeg må fokusere på videre?» Dette er et av de vanligste spørsmålene om GDPR fra retail. Det er også et av de vanskeligste spørsmålene å svare på, […]

Finans og forsikring

  • Arrangerte Hackathon for fremtidens lavkodeløsninger i Sparebank 1  

    Arrangerte Hackathon for fremtidens lavkodeløsninger i Sparebank 1  

    Da Sparebank 1 Utvikling inviterte til Power Platform-Hackathon, samlet fem av landets fremste ekspertmiljøer innen Microsoft-plattformer seg for å knive om førsteplassene.    – – – –   Blant disse var Sopra Steria, KPMG, EVIDI, Bouvet og Cefyr.    – Dette har vært kjempemoro og en helt ny måte å utveksle lærdom mellom kunde og leverandør, sier Pål-André […]

  • tech workers in bank

    Slik implementeres Copilot i bankbransjen

    DNB og SpareBank 1 delte av sine erfaringer og produktivitetsgevinster med Copilot: – For flere føles det ut som de jukser på jobben, sier prosjektleder.  Å lykkes med Copilot krever noe ganske annet enn å implementere ny programvare eller en applikasjon på arbeidsplassen. Den kunstig intelligente assistenten fra Microsoft representerer en helt annen måte å […]

Government

  • KI på kontoret: Personlig produktivitet og effektivisering i Oslo kommune

    KI på kontoret: Personlig produktivitet og effektivisering i Oslo kommune

    Nå ser en av Norges største arbeidsplasser mot kunstig intelligens for å gjøre ansatte mer effektive – og for å levere bedre tjenester til Oslos innbyggere:   En by er et sofistikert maskineri. Alt fra helsetilbud og renovasjonssystemer til kollektivtransport er brikker i et enormt puslespill som må passe for at hjulene skal gå rundt.   Det […]

Helseomsorg

Industri

  • Fleksible måter å jobbe på er kommet for å bli

    Fleksible måter å jobbe på er kommet for å bli

    En ny europeisk rapport viser at om ledere er fokuserte på å bevare kultur og innovasjon vil fleksible måter å jobbe på bli den nye normalen. Over halvparten av norske ledere (53,5 prosent) svarte at det er viktig å endre bedriftens arbeidsmåter for å bli nettopp mer innovative og fleksible. Forskningen er gjennomført av Microsoft sammen med […]

  • Fremtidens arbeidsplass: Hvordan åpne for bedre kommunikasjon i ny arbeidshverdag

    Fremtidens arbeidsplass: Hvordan åpne for bedre kommunikasjon i ny arbeidshverdag

    Organisasjoner og bedrifter har det siste året vært gjennom massive endringer. De aller fleste av oss må tenkte nytt for å vokse, kunne tilby bedre kundeopplevelser og ikke minst engasjere ansatte i en ny arbeidshverdag.   I webinaret ‘Fremtidens arbeidsplass: Hvordan åpne for bedre kommunikasjon i en ny arbeidshverdag’ ser vi på hvordan samarbeid, produktivitet og innovasjon på arbeidsplassen har […]

Offentlig sektor

  • Microsoft Norges respons til COVID-19

    Microsoft Norges respons til COVID-19

    Sist oppdatert: 16. mars 2020 Microsoft har en global tilnærming til beredskapsplaner og planlegging av krisehåndtering, som inkluderer både forutsette og uforutsette hendelser. Tilnærmingen inkluderer en handlingsplan ved pandemier. Våre handlingsplaner aktiveres over hele verden, og i tillegg til bistandsmidler til Kina og Puget Sound Community, har vi forpliktet oss til å levere produkter, tjenester […]

  • En mer effektiv kommune med Teams for telefoni

    En mer effektiv kommune med Teams for telefoni

    Når ansatte i Stavanger kommune plukker opp telefonen, er det gjennom Teams. – Se for deg et ektepar hvor den ene er ansatt i kommunen og den andre i et av oljeselskapene her i regionen. Om de sitter ved siden av hverandre på hjemmekontor – så ønsker  kommunen å ha de mest moderne verktøyene. Det […]

Utdanning

  • Library
    Les mer om Teams i skolen Samarbeid Lesetid, 1 min.

    Teams i skolen

    Teams har tatt skolenorge med storm, og flere tusen lærere og elever har integrert Teams som en del av sin skolehverdag. Teams samler alle samtalene dine, møter, filer og apper på ett sted – i ditt Team, og du har rask tilgang og enkel oversikt. Som lærer kan du bruke Teams til å tilrettelegge innhold […]

  • Universitetets GDPR-guide

    Universitetets GDPR-guide

    Etter 25. mai* må du forholde deg til EUs regler rundt General Data Protection Regulation (GDPR). For å forstå hvordan ditt universitet skal klare dette, kan du ta en titt på denne e-boken og andre ressurser som kan være nyttig for deg og ditt universitet. Universitetets reise Universitetet samler inn navn, adresser, fødselsdatoer og mer […]

Oppdag flere relaterte artikler per dossier:

Digital Transformation

Kundehistorier

  • En mer effektiv kommune med Teams for telefoni

    En mer effektiv kommune med Teams for telefoni

    Når ansatte i Stavanger kommune plukker opp telefonen, er det gjennom Teams. – Se for deg et ektepar hvor den ene er ansatt i kommunen og den andre i et av oljeselskapene her i regionen. Om de sitter ved siden av hverandre på hjemmekontor – så ønsker  kommunen å ha de mest moderne verktøyene. Det […]

Presse

Sikkerhet og personvern

  • Sofie Lindblom med Surface-enhet i styrerom

    200 milliarder grunner til at selskaper må håndtere utfordringen med cybersikkerhet

    200 milliarder. Det er estimert antall tilkoblede enheter over hele verden innen 2021. Det er et utrolig tall – og det kommer til å ha store implikasjoner for måten vi lever og arbeider på. I dag er alle mobile. Vi kan jobbe fra hvor som helst og dele arbeid og lidenskaper sømløst fra enhet til enhet. Kontoravlukket […]

Tips