FBI, CISA a HHS znovu bijí na poplach kvůli ransomware Medusa

Skupina ransomware Medusa byla podle aktualizovaného společného doporučení FBI, Agentury pro kybernetickou bezpečnost a ochranu infrastruktury (CISA) a amerického Ministerstva zdravotnictví a sociálních služeb (HHS) spojena s více než 500 narušeními v amerických organizacích. Doporučení, které je aktualizací dřívějšího varování vydaného v průběhu aktivního působení skupiny, podrobně popisuje, jak operace ransomwarejako-služba (RaaS) skupiny Medusa rostla a vyvíjela se, a poskytuje obráncům i běžným uživatelům jasnější obraz této hrozby.

Toto není poprvé, co federální agentury na skupinu Medusa upozornily. Jak bylo popsáno v předchozí aktualizaci o milníku 500 organizací skupiny Medusa, skupina od svého prvního výskytu neustále rozšiřuje svůj seznam obětí a zaměřuje se na odvětví kritické infrastruktury i soukromé podniky. Nejnovější doporučení přidává nové podrobnosti o struktuře přidružených subjektů skupiny, zranitelnostech, které zneužívá, a nástrojích, které její operátoři používají k získání a udržení přístupu k sítím obětí.

Jak funguje model dvojího vydírání skupiny Medusa

Medusa se primárně spoléhá na taktiku známou jako dvojí vydírání. Namísto pouhého uzamčení souborů oběti šifrováním a požadavku na platbu za dešifrovací klíč, přidružené subjekty skupiny Medusa také kradou citlivá data před zašifrováním systémů. Tato odcizená data se stávají druhým nástrojem nátlaku: pokud oběť odmítne zaplatit, nebo dokonce i poté, co zaplatí, mohou útočníci hrozit zveřejněním materiálu.

Tento přístup se stal běžným napříč operacemi ransomware, protože znásobuje tlak na oběti. Dokonce i organizace, které mají solidní zálohy a dokážou obnovit zašifrované systémy bez placení výkupného, stále čelí riziku škodlivého úniku dat. Pro každou organizaci, která uchovává záznamy o zákaznících, zdravotní data nebo informace o zaměstnancích, má tato hrozba skutečné důsledky pro soukromí, které přesahují okamžité provozní narušení způsobené útokem.

Struktura RaaS stojící za skupinou Medusa znamená, že samotný ransomware vyvíjí a udržuje jádro skupiny, zatímco přidružené subjekty, v podstatě nezávislí zločinečtí operátoři, provádějí samotná narušení pomocí sdílených nástrojů a infrastruktury. Tento model ztěžuje úplné rozložení skupiny Medusa, protože odstranění jednoho přidruženého subjektu nemusí nutně zastavit širší operaci.

Sekundární požadavek na platbu a co signalizuje

Jeden detail v původním doporučení vystupuje do popředí kvůli svým důsledkům pro soukromí: zdokumentovaný případ, kdy sekundární aktér požadoval od oběti dodatečnou platbu poté, co již bylo zaplaceno počáteční výkupné. Vyšetřovatelé to popsali jako potenciální známku narušení důvěry nebo koordinace v rámci ekosystému přidružených subjektů, v podstatě druhý pokus o vydírání navrstvený na první.

To je důležité pro každého, kdo zvažuje praktická rizika incidentu ransomware. Zaplacení výkupného, i když je provedeno za účelem obnovení kritických systémů nebo zabránění úniku dat, nenabízí žádnou záruku, že hrozba tím skončí. Když se ke stejným odcizeným datům mohlo dostat více aktérů, oběti se mohou ocitnout tváří v tvář opakovaným požadavkům, bez jasného způsobu, jak ověřit, kdo skutečně kontroluje uniklé informace nebo zda další platba cokoliv změní.

Co to znamená pro vás

Většina čtenářů se nestane přímým cílem přidruženého subjektu skupiny Medusa, ale dopady těchto narušení se k jednotlivcům dostávají velmi konkrétními způsoby. Pokud Medusa napadla nemocniční systém, poskytovatele služeb nebo společnost, která uchovává vaše osobní záznamy, vaše data se mohou stát součástí úniku bez ohledu na to, co jste osobně udělali špatně.

Praktickým závěrem je, že odolnost proti ransomware stále více závisí na předpokladu, že jakákoli organizace, která uchovává vaše data, může být nakonec napadena, a na odpovídajícím plánování. To znamená věnovat pozornost oznámením o narušení, porozumět tomu, jaká data dotčená organizace skutečně uchovávala, a podniknout kroky k omezení škod, pokud se vaše informace objeví v úniku.

Praktická doporučení

  • Sledujte oznámení o narušení od poskytovatelů zdravotní péče, zaměstnavatelů a poskytovatelů služeb a berte je vážně, i když se bezprostřední riziko zdá abstraktní.
  • Používejte jedinečná, silná hesla pro každý účet, aby přihlašovací údaje odhalené při jednom narušení nemohly být zneužity k prolomení jiných účtů.
  • Povolte vícefaktorové ověřování všude, kde je nabízeno, zejména u finančních, zdravotnických a e-mailových účtů.
  • Zvažte monitorování úvěrů nebo upozornění na podvody, pokud jste byli informováni, že vaše data byla součástí narušení organizace.
  • Sledujte aktuální vývoj ransomware Medusa, protože model přidružených subjektů skupiny znamená, že se budou pravděpodobně objevovat nové oběti a nové taktiky.

Aktualizované doporučení FBI připomíná, že skupiny ransomware jako Medusa nezpomalují a že taktiky dvojího vydírání činí důsledky těchto útoků pro soukromí stejně významnými jako ty provozní. Zůstat ostražitý vůči oznámením o narušení a praktikovat základní bezpečnostní hygienu zůstávají nejúčinnějšími nástroji jednotlivců proti hrozbě, která v konečném důsledku cílí na organizace, na nichž všichni závisíme.