Ново федерално предупреждение за здравните мрежи
CISA и ФБР издадоха съвместна консултация за киберсигурност, предупреждаваща болниците и здравните организации за активна рансъмуер операция, наречена Gunra. Предупреждението описва група за рансъмуер като услуга (RaaS), която експлоатира уязвимости, изложени на интернет, включително пропуски в продуктите на Fortinet, за да прониква в мрежи и да краде чувствителни данни, преди да ги криптира.
Това не е първото предупреждение за Gunra. Както беше съобщено в САЩ и Южна Корея предупреждават за нарастващата заплаха от рансъмуер Gunra, властите проследяват тази група от известно време, докато тя разширява обхвата и техническите си възможности. Най-новата консултация поставя по-силен фокус конкретно върху здравния сектор, правителството и обекти от критичната инфраструктура, и описва подробно как действа групата, след като проникне в дадена мрежа.
Как работи атаката на рансъмуер Gunra
Според консултацията, след като партньорите на Gunra получат достъп до мрежа, те следват модела на двойно изнудване. Първо, те извличат данни, копирайки файлове от мрежата, преди някой да забележи. След това криптират системите на жертвата, заключвайки болничния персонал извън досиетата, системите за планиране и друга критична инфраструктура.
Тактиката на натиск става особено агресивна при цели от здравния сектор. На жертвите се дават само пет до седем дни, за да платят, преди Gunra да заплаши да публикува откраднатите файлове на сайт за изтичане на данни в тъмната мрежа. Преговорите се водят през портал, базиран на Tor, който скрива самоличността и местоположението на групата, като същевременно позволява директна комуникация с жертвите.
Това, което прави Gunra особено тревожна за федералните агенции, е нейният бизнес модел. Групата активно привлича партньори от други рансъмуер операции, като предлага 80% от събрания откуп. Това е необичайно щедър дял в света на рансъмуера като услуга и показва, че Gunra се опитва да се разрастне бързо, като привлича опитни оператори, които вече знаят как да пробиват мрежи и да оказват натиск върху жертвите.
Защо болниците са основна цел
Здравните организации отдавна са привлекателна цел за рансъмуер групи, а причините не са се променили. Болниците разчитат на непрекъсната работа. Заключена система за електронни здравни досиета или замразена платформа за планиране не създава само неудобство, а може да забави грижите за пациентите. Тази спешност създава натиск за бързо плащане, което е точно това, на което групи като Gunra разчитат.
Компонентът с кражбата на данни добавя още един слой риск. Пациентските досиета обикновено включват имена, адреси, социалноосигурителни номера, застрахователни данни и медицинска история, всичко това има реална стойност на пазарите в тъмната мрежа и може да бъде използвано за кражба на самоличност или застрахователни измами дълго след първоначалната атака. Отброяването от пет до седем дни преди заплахата за изтичане също означава, че болниците са принудени да вземат решения с високи залози в кратки и умишлено стресиращи срокове.
Експлоатацията на уязвимости, изложени на интернет, особено в продуктите на Fortinet, според консултацията, е напомняне, че много пробиви започват с известни, коригируеми пропуски, а не със сложни атаки тип „нулев ден“. Организациите, които изостават с инсталирането на пачове на периферни устройства като защитни стени и VPN шлюзове, оставят отворена врата за групи като Gunra.
Какво означава това за вас
Ако сте пациент в болница или здравна система, тази консултация е напомняне, че вашата медицинска и лична информация е толкова сигурна, колкото и системите, които я съхраняват. Обикновено няма да разберете в реално време дали вашият доставчик е бил атакуван, но можете да предприемете стъпки, за да ограничите щетите, ако данните ви бъдат изложени. Следете застрахователните си извлечения и кредитните си отчети за непозната активност и помислете за подаване на сигнал за измама или замразяване на кредита, ако получите уведомление за пробив от здравен доставчик.
Ако работите в здравната ИТ сфера или болничната администрация, тази консултация трябва да предизвика незабавна проверка на инфраструктурата, изложена на интернет, особено устройствата на Fortinet и друго периферно мрежово оборудване, за да се потвърди, че пачовете са актуални. Сегментирането на мрежите, така че едно компрометирано устройство да не предоставя достъп до системите с пациентски досиета, е друга практична защита. Като се има предвид, че Gunra активно привлича партньори с необичайно висок дял от приходите, екипите по сигурността трябва да очакват, че обемът на атаките на групата ще се увеличи през следващите месеци, а не ще намалее.
Основни изводи
Рансъмуерът Gunra представлява нарастваща и финансово мотивирана заплаха, насочена конкретно към болници и критична инфраструктура. Подходът на двойно изнудване на групата, съчетан с агресивен срок за плащане от пет до седем дни, е проектиран да увеличи максимално натиска върху жертви, които най-малко могат да си позволят престой. За пациентите бдителността относно уведомленията за пробиви и наблюдението на личните акаунти остава най-добрата защита. За здравните ИТ екипи инсталирането на пачове за известни уязвимости, особено в периферните устройства, и поддържането на силно мрежово сегментиране са най-непосредствените и приложими стъпки за намаляване на риска. Докато федералните агенции продължават да проследяват разширяването на Gunra, информираността чрез консултации като тази е един от най-простите начини да останете една крачка пред следващата атака.
