CISA potvrzuje zásadní změnu v taktice skupiny BianLian
Agentura pro kybernetickou bezpečnost a infrastrukturní zabezpečení (CISA) potvrdila, že BianLian, ransomware skupina dříve známá uzamčením nemocničních sítí, od ledna 2024 zcela přestala šifrovat soubory. Místo zašifrování dat a požadování platby za dešifrovací klíč se skupina nyní zaměřuje výhradně na odcizení citlivých informací a vyhrožuje jejich únikem, pokud oběti nezaplatí.
Toto potvrzení je důležité, protože signalizuje širší změnu v tom, jak ransomware operátoři podnikají. Po léta standardní scénář zahrnoval zašifrování souborů oběti, zanechání výkupného a nucení organizací volit mezi zaplacením dešifrovacího klíče nebo obnovením ze záloh. Odklon BianLianu od tohoto modelu ukazuje, že samotná krádež dat, bez dodatečného kroku šifrování, může být stejně výnosná a podstatně méně komplikovaná na provedení.
Od šifrování k vydírání: Proč je tento posun důležitý
Šifrování celé sítě vyžaduje čas, výpočetní zdroje a úroveň přístupu, která zvyšuje šanci na odhalení před dokončením útoku. Pouhé zkopírování souborů ze sítě a tichý odchod je rychlejší, v reálném čase hůře zjistitelný a stále poskytuje útočníkům silný nátlakový prostředek. Pokud skupina dokáže exfiltrovat záznamy pacientů, finanční dokumenty nebo interní komunikaci, hrozba zveřejnění těchto dat je často dostatečná k tomu, aby přiměla oběť zaplatit.
Tento přístup zároveň obchází některé obrany, které organizace vybudovaly proti útokům založeným na šifrování. Mnoho společností masivně investovalo do systémů zálohování a obnovy právě s cílem zmírnit dopad ransomwaru, který zamyká soubory. Tyto zálohy však nijak nezastaví skupinu, která nikdy nezasáhla do integrity souborů – data pouze zkopírovala a odešla. Potvrzení CISA o tomto posunu zapadá do vzorce, který agentura podrobně sleduje, včetně případů, kdy ransomware skupiny začaly ve velkém zneužívat závažné zranitelnosti, jakmile se o nich dozvěděla veřejnost, jak bylo vidět, když CISA potvrdila, že ransomware gangy zneužívají zranitelnost BlueHammer ve velkém měřítku, místo aby ji rezervovaly pro úzce cílené útoky.
Zdravotnické organizace zůstávají v hledáčku
Historie útoků BianLianu na nemocniční sítě stojí za pozornost i přes změnu taktiky této skupiny. Zdravotnické organizace uchovávají jedny z nejcitlivějších osobních údajů, včetně anamnézy, údajů o pojištění a záznamů o léčbě. Právě tato citlivost je důvodem, proč vydírání založené na krádeži dat v tomto sektoru tak dobře funguje. Nemocnice, která čelí vyhlídce, že budou zveřejněny nebo prodány záznamy pacientů, má silnou motivaci rychle zaplatit bez ohledu na to, zda její systémy byly někdy zašifrovány.
Získání počátečního přístupu do těchto sítí stále často závisí na zneužívání známých zranitelností, což je vzorec, který CISA opakovaně dokumentuje ve svém katalogu známých zneužívaných zranitelností. Nedávné upozornění agentury na chybu eskalace oprávnění v Linuxu, která je již zneužívána v divočině, ilustruje, jak útočníci nadále spoléhají na nezáplatované systémy jako svůj vstupní bod, bez ohledu na to, co dělají poté, co se dovnitř dostanou.
Co to znamená pro vás
Pokud vaše organizace nakládá s citlivými daty – ať už jde o nemocnici, malý podnik nebo jakýkoli subjekt, který uchovává informace o zákaznících – tato změna mění podobu „ochrany před ransomwarem“. Strategie zálohování zůstávají důležité, ale samy o sobě již nestačí. Útoky založené na krádeži dat, jako je novější přístup BianLianu, vyžadují, aby se organizace stejně intenzivně soustředily na prevenci neoprávněného přístupu a sledování neobvyklých odchozích datových přenosů, protože škoda nastává v okamžiku, kdy soubory opustí síť, nikoli když jsou zašifrovány.
Pro jednotlivce je ponaučení osobnější. Pokud se organizace, která spravuje vaše lékařské záznamy, finanční údaje nebo osobní informace, stane obětí útoku s krádeží dat, možná nikdy neuvidíte výkupné ani se nedozvíte o zašifrovaných systémech. Prvním signálem problému může být pouze oznámení o úniku dat, nebo v horším případě zjištění, že vaše informace jsou na prodej nebo unikly online.
Praktické kroky
Organizace by měly upřednostnit nástroje pro monitorování sítě, které dokážou označit velké nebo neobvyklé přenosy dat, nejen upozornění specifická pro šifrování ransomwarem. Rychlé záplatování známých zranitelností zůstává zásadní, protože počáteční přístup stále obvykle závisí na zneužití nezáplatovaných systémů. Jednotlivci by měli být ostražití vůči oznámením o úniku dat od poskytovatelů zdravotní péče a finančních institucí a v případě jejich obdržení zvážit sledování úvěrové historie nebo služby ochrany před krádeží identity. Vzhledem k tomu, že ransomware skupiny jako BianLian pokračují v přizpůsobování svých metod, zůstává informovanost o těchto změnách – spíše než předpoklad, že včerejší obrana stále pokrývá dnešní hrozby – tou nejlepší dostupnou ochranou.
