Medusa Ransomware чете финансовите ви отчети

Групите за ransomware отдавна разчитат на криптиране, за да заключат организациите извън собствените им системи, но Medusa ransomware е добавил отчетливо пресметнат обрат. Според скорошен анализ на съветника за киберсигурност на CISA, разработчиците и партньорите на Medusa приспособяват исканията си за откуп към публично публикуваните приходи на организацията. С други думи, още преди съобщението за откуп да се появи, нападателите вероятно вече са прегледали годишни отчети, инвеститорски декларации или други публични финансови оповестявания, за да преценят колко правдоподобно може да плати жертвата.

Това не е дребна оперативна подробност. Това отразява как операциите ransomware-като-услуга (RaaS) като Medusa са еволюирали в бизнеси, които оценяват опитите си за изнудване така, както продавач би оценил договор: въз основа на способността на купувача да плаща. За организациите това означава, че размерът на потенциалното искане за откуп вече не е загадка. Той е функция на това колко финансова информация вече е публично достояние.

Тактиката на двойното изнудване

Medusa работи по модел, който съветникът на CISA описва като модел на двойно изнудване. Вместо просто да криптира файлове и да изисква плащане за ключ за дешифриране, разработчиците и партньорите на Medusa също така ексфилтрират чувствителни данни, преди да започне криптирането. Ако жертвата откаже да плати, групата заплашва да публикува публично откраднатите данни, добавяйки репутационен и регулаторен натиск върху оперативния срив.

Този двуостър подход е проектиран да затвори лесните изходи. Организация със стабилни резервни копия може да успее да възстанови криптираните системи, без да плати, но това не я защитава от отделна заплаха: публичното изтичане на ексфилтрирани записи на клиенти, финансови данни или вътрешна комуникация. Моделът на Medusa принуждава жертвите да претеглят едновременно и непрекъснатостта на бизнеса, и риска от излагане на данни, което е точно причината групата да остане постоянна заплаха според по-широкото актуализиране на CISA, ФБР и HHS относно съветника за Medusa ransomware, което описва подробно как федералните агенции продължават да проследяват и отговарят на тази дейност.

Защо базираното на приходите таргетиране променя изчисленията

Когато исканията за откуп са обвързани с публични данни за приходите, това поставя под светлината на прожекторите колко оперативна и финансова информация организациите излагат, без да осъзнават свързания с това надолу по веригата риск. Публично търгувани компании, държавни изпълнители и здравни системи, които публикуват годишни отчети или оповестявания за субсидии, на практика дават на нападателите отправна точка за преговори.

Тази динамика подчертава по-широк урок за екипите по сигурност: заплахите не е нужно да пробият мрежата ви, за да започнат да ви профилират като цел. Финансови данни от отворени източници, комбинирани с разузнаване за изложени отдалечени точки на достъп или необновени системи, дават на партньорите достатъчно информация, за да приоритизират кои организации да атакуват и колко агресивно да преговарят, след като влязат вътре.

Изграждане на защити, които ограничават щетите

Тъй като моделът на Medusa зависи както от криптирането на системите, така и от ексфилтрирането на данни, ефективната защита трябва да адресира и двете половини на заплахата. Няколко принципа се открояват:

Мрежова сегментация ограничава докъде може да се придвижи нападател, след като получи първоначален достъп. Ако партньори на ransomware компрометират една система, сегментацията може да попречи на това проникване да се разпространи до критични сървъри, съдържащи чувствителни данни или резервни копия.

Контроли за достъп с нулево доверие намаляват зависимостта от плоски, доверени вътрешни мрежи. Вместо да се предполага, че всеки вътре в периметъра е безопасен, архитектурата с нулево доверие проверява всяка заявка, което затруднява нападателите да се движат странично след първоначален компромис, често постигнат чрез фишинг или експлоатирани инструменти за отдалечен достъп.

Криптирани, офлайн резервни копия остават една от най-ефективните контрамерки срещу криптиращата половина от атаката на Medusa. Резервни копия, които са изолирани от основната мрежа и криптирани в покой, не могат лесно да бъдат достигнати или повредени от оператори на ransomware, дори ако получат широк достъп.

Сигурен отдалечен достъп е също толкова важен. Много пробиви на ransomware започват с компрометирани VPN идентификационни данни или изложени услуги за отдалечен работен плот. Предприятията трябва да приоритизират многофакторното удостоверяване, редовно да одитират разрешенията за отдалечен достъп и да премахват неизползвани акаунти или наследени методи за свързване, които нападателите често изследват за слабости.

Какво означава това за вас

Дали управлявате ИТ за среден бизнес или наблюдавате сигурността за по-голямо предприятие, тактиките на Medusa са напомняне, че защитата срещу ransomware не е само за спиране на криптирането. Тя е за ограничаване на това какво могат да откраднат нападателите и колко далеч могат да се разпространят, ако влязат. Организациите, които публикуват подробна финансова информация, трябва да приемат, че тази цифра вече е част от изчислителния процес на всяка група за ransomware, и да планират защитите си съответно, вместо да третират искането за откуп като произволно.

Приложими изводи

  • Одитирайте какви финансови и оперативни данни вашата организация прави публично достъпни и разберете как те биха могли да бъдат използвани за профилиране на бизнеса ви като цел за ransomware.
  • Приложете мрежова сегментация, така че едно компрометирано устройство или акаунт да не може да доведе до криптиране в цялата организация.
  • Поддържайте офлайн, криптирани резервни копия, които се тестват редовно и са изолирани от основните производствени мрежи.
  • Приложете многофакторно удостоверяване и принципи на нулево доверие за всички инструменти за отдалечен достъп, включително VPN, за да затворите входните точки, на които партньорите на ransomware разчитат най-много.
  • Бъдете в течение с федералните съветници, включително актуализации като съвместния съветник за Medusa ransomware от CISA, ФБР и HHS, които очертават развиващите се тактики и препоръчани смекчаващи мерки.

Групите за ransomware като Medusa усъвършенстват бизнес моделите си толкова бързо, колкото екипите по сигурност усъвършенстват защитите си. Информираността за това как работят тези групи, от тактики за двойно изнудване до базирано на приходите таргетиране, е един от най-простите начини организациите да приоритизират правилните защити преди атака, а не след нея.