Nové federální varování pro zdravotnické sítě

CISA a FBI vydaly společný kyberbezpečnostní bulletin varující nemocnice a zdravotnické organizace před aktivní ransomwarovou operací nazvanou Gunra. Varování popisuje skupinu typu ransomware-jako-služba (RaaS), která zneužívá zranitelnosti vystavené na internetu, včetně chyb v produktech Fortinet, k pronikání do sítí a krádeži citlivých dat před jejich zašifrováním.

Toto není první upozornění na Gunra. Jak bylo popsáno v článku USA a Jižní Korea varují před rostoucí hrozbou ransomwaru Gunra, úřady tuto skupinu sledují již delší dobu, zatímco rozšiřuje svůj dosah a technické schopnosti. Nejnovější bulletin se konkrétně zaměřuje na zdravotnictví, vládní a kritickou infrastrukturu a podrobně popisuje, jak skupina postupuje, jakmile se dostane do sítě.

Jak útok ransomwaru Gunra funguje

Podle bulletinu se přidružení partneři skupiny Gunra po získání přístupu do sítě řídí modelem dvojího vydírání. Nejprve exfiltrují data, kopírují soubory ze sítě dříve, než si toho kdokoli všimne. Poté zašifrují systémy oběti, čímž zamknou nemocničnímu personálu přístup k záznamům, systému plánování a další kritické infrastruktuře.

Taktika nátlaku je u zdravotnických cílů obzvláště agresivní. Oběti mají na zaplacení pouze pět až sedm dní, než Gunra pohrozí zveřejněním ukradených souborů na webu na darknetu. Vyjednávání probíhá prostřednictvím portálu založeného na TOR, který skrývá identitu a polohu skupiny, ale zároveň umožňuje přímou komunikaci s oběťmi.

To, co Gunra činí obzvláště znepokojivou pro federální agentury, je její obchodní model. Skupina aktivně přetahuje přidružené partnery od jiných ransomwarových operací tím, že jim nabízí 80% podíl z každého vybraného výkupného. To je v prostředí ransomware-jako-služba neobvykle štědrý podíl a signalizuje, že se Gunra snaží rychle škálovat tím, že přitáhne zkušené operátory, kteří již vědí, jak proniknout do sítí a vyvíjet nátlak na oběti.

Proč jsou nemocnice hlavním cílem

Zdravotnické organizace jsou již dlouho atraktivním cílem pro ransomwarové skupiny a důvody se nezměnily. Nemocnice jsou závislé na nepřetržitém provozu. Uzamčený systém elektronických zdravotních záznamů nebo zmrazená platforma pro plánování nezpůsobí pouze nepříjemnosti, ale může zpozdit péči o pacienty. Tato naléhavost vytváří tlak na rychlé zaplacení, což je přesně to, s čím skupiny jako Gunra počítají.

Krádež dat přidává další vrstvu rizika. Zdravotní záznamy pacientů obvykle obsahují jména, adresy, rodná čísla, údaje o pojištění a anamnézu, což vše má skutečnou hodnotu na tržištích na darknetu a může být zneužito k krádeži identity nebo pojistnému podvodu dlouho po počátečním útoku. Pět až sedmidenní odpočítávání před hrozbou úniku dat také znamená, že nemocnice jsou nuceny činit rozhodnutí s vysokými sázkami pod přísným a záměrně stresujícím termínem.

Zneužívání zranitelností vystavených na internetu, zejména v produktech Fortinet podle bulletinu, připomíná, že mnoho narušení začíná známými a opravitelnými chybami, nikoli sofistikovanými útoky s zero-day zranitelnostmi. Organizace, které zaostávají v záplatování okrajových zařízení, jako jsou firewally a VPN brány, nechávají pro skupiny jako Gunra otevřené dveře.

Co to znamená pro vás

Pokud jste pacientem nemocnice nebo zdravotnického systému, tento bulletin vám připomíná, že vaše zdravotní a osobní údaje jsou pouze tak bezpečné, jako systémy, které je ukládají. Obecně se v reálném čase nedozvíte, zda byl váš poskytovatel zacílen, ale můžete podniknout kroky k omezení škod, pokud by vaše data byla kdykoli odhalena. Sledujte své výpisy z pojištění a úvěrové zprávy kvůli neznámé aktivitě a zvažte podání podnětu k upozornění na podvod nebo zmrazení úvěru, pokud obdržíte oznámení o narušení od poskytovatele zdravotní péče.

Pokud pracujete v IT zdravotnictví nebo v nemocniční správě, tento bulletin by měl vyvolat okamžitou kontrolu infrastruktury vystavené na internetu, zejména zařízení Fortinet a dalšího síťového perimetru, aby bylo potvrzeno, že jsou záplaty aktuální. Segmentace sítí tak, aby jedno kompromitované zařízení neposkytovalo přístup k systémům se záznamy pacientů, je další praktickou obranou. Vzhledem k tomu, že Gunra aktivně přetahuje přidružené partnery s neobvykle vysokým podílem na výnosech, měly by bezpečnostní týmy předpokládat, že počet útoků skupiny v nadcházejících měsících poroste, nikoli klesne.

Klíčové poznatky

Ransomware Gunra představuje rostoucí a finančně motivovanou hrozbu zaměřenou konkrétně na nemocnice a kritickou infrastrukturu. Přístup dvojího vydírání skupiny v kombinaci s agresivním pět až sedmidenním termínem výkupného je navržen tak, aby maximalizoval tlak na oběti, které si nejméně mohou dovolit výpadek. Pro pacienty zůstává nejlepší obranou sledování oznámení o narušení a kontrola osobních účtů. Pro IT týmy ve zdravotnictví je záplatování známých zranitelností, zejména v okrajových zařízeních, a udržování silné segmentace sítě nejbezprostřednějším a nejúčinnějším krokem ke snížení rizika. Jak federální agentury nadále sledují expanzi Gunra, sledování bulletinů, jako je tento, je jedním z nejjednodušších způsobů, jak zůstat o krok napřed před dalším útokem.