Ransomware Medusa cílí na kritickou infrastrukturu ve velkém měřítku

Operace ransomware-jako-služba známá jako Medusa kompromitovala více než 300 organizací v odvětvích kritické infrastruktury, podle společného doporučení CISA, FBI a Ministerstva zdravotnictví a sociálních služeb USA. Oběti zahrnují zdravotnictví, výrobu, školství a technologie – odvětví, kde jediný úspěšný průnik může na týdny narušit péči o pacienty, dodavatelské řetězce nebo základní služby.

To, čím je Medusa pozoruhodná, není jen její dosah. Jsou to vrstvené nátlakové taktiky, které její přidružení partneři používají k vymáhání peněz od obětí dlouho po počátečním průniku, a znepokojivé známky toho, že některé oběti jsou vydírány více než jednou za stejný útok.

Jak funguje model dvojího vydírání společnosti Medusa

Stejně jako mnoho moderních ransomware operací Medusa nejen šifruje soubory. Nejprve exfiltruje citlivá data a poté hrozí jejich zveřejněním, pokud oběť nezaplatí. Toto je standardní scénář dvojího vydírání: zaplaťte za dešifrování dat a zaplaťte znovu (nebo místo toho), aby nedošlo k jejich úniku online.

Medusa přidává do této nátlakové kampaně psychologický prvek. Skupina údajně nabízí obětem možnost zaplatit navíc za posunutí odpočítávacího času před zveřejněním ukradených dat, čímž efektivně zpeněžuje paniku z tikajícího termínu. Je to malý detail, ale ilustruje, jak operátoři ransomwaru zacházejí s vydíráním jako s byznysem s cenovými úrovněmi, nejen jako s jediným ultimátem.

Možný prvek trojnásobného vydírání

Nejznepokojivější zjištění z vyšetřování FBI se týká toho, co se stane poté, co oběť již zaplatí. Přinejmenším v jednom případě byla oběť, která zaplatila výkupné, znovu kontaktována – tentokrát jiným aktérem přidruženým k Meduse, který požadoval další platbu za „skutečný dešifrovací nástroj". To naznačuje, že první platba buď nedodala funkční dešifrovací nástroj, nebo ji vybral zcela jiný přidružený subjekt.

To vyvolává dvě nepříjemné možnosti, které vyšetřovatelé zvažují: buď přidružení partneři Medusy provozují neformální schéma trojnásobného vydírání, kdy ždímají stejnou oběť opakovaně, nebo je struktura ransomware-jako-služba tak volně koordinovaná, že se různí aktéři nezávisle snaží profitovat ze stejného průniku, aniž by respektovali předchozí platby. Ať tak či onak, ponaučení pro oběti je stejné: neexistuje žádná záruka, že zaplacení ransomwarové skupině incident skutečně vyřeší, a organizace, které zaplatí, mohou stále čelit opakovaným požadavkům.

Proč je kritická infrastruktura neustále terčem útoků

Organizace kritické infrastruktury zůstávají atraktivními cíli, protože často provozují mix starších systémů a moderní IT s omezeným bezpečnostním personálem, a protože narušení služeb vytváří naléhavý tlak na rychlé zaplacení. Poskytovatelé zdravotní péče se zejména potýkají s důsledky ohrožujícími životy a bezpečnost, pokud systémy selžou, což ransomware skupiny chápou a využívají při nastavování termínů a částek výkupného.

Rozsah kampaně Medusy – více než 300 potvrzených obětí – také odráží, jak ransomware-jako-služba snížila bariéru vstupu. Přidružení partneři nemusí budovat vlastní malware nebo infrastrukturu; pronajímají si přístup k zavedené sadě nástrojů a vyjednávacímu rámci, což je částečně důvod, proč se útoky tohoto typu mohou škálovat na stovky organizací, ne jen na hrstku vysoce profilovaných cílů.

Co to znamená pro vás

Pokud pracujete v nemocnici, školském systému, výrobním podniku nebo utilitní společnosti nebo spoléháte na jejich služby, tato kampaň je připomínkou, že ransomware není abstraktní hrozbou omezenou na titulky o velkých korporacích. Aktivně zasahuje organizace, které spravují vaše zdravotní záznamy, školní data vašich dětí a infrastrukturu, na které denně závisíte.

Pro jednotlivce je praktickým rizikem odhalení osobních údajů, pokud se organizace, se kterou interagujete, stane obětí Medusy a odmítne nebo nebude schopna zaplatit. Pro IT a bezpečnostní týmy v potenciálně postižených organizacích jsou zjištění FBI o opakovaných požadavcích na výkupné silným argumentem proti předpokladu, že platba zaručuje vyřešení. Plánování zálohování a obnovy, které nezávisí na spolupráci útočníka, zůstává spolehlivější cestou vpřed.

Také stojí za to připomenout, že síťová bezpečnost je vrstvený problém. Nástroje jako VPN se běžně používají k zabezpečení vzdáleného přístupu ke kritickým systémům, ale nejsou nezranitelné vůči narušení nebo zneužití samy o sobě, jak vidíme v nesouvisejících, ale poučných případech, jako je Rusko zmrazuje šířku pásma internetu, aby zablokovalo přístup přes VPN, kde se samotná přístupová infrastruktura stala kontrolním bodem. Jakýkoli jednotlivý nástroj, ať už je to VPN, firewall nebo záložní systém, je pouze jednou vrstvou v širší obranné strategii.

Praktická doporučení

  • Organizace v odvětvích kritické infrastruktury by měly předpokládat, že jsou životaschopnými cíli bez ohledu na velikost, a upřednostňovat offline, testované zálohy před platbou výkupného jako plán obnovy.
  • Nepředpokládejte, že zaplacení výkupného Meduse ukončí incident; FBI zdokumentovala případy opakovaných požadavků po zaplacení.
  • Jednotlivci by měli sledovat účty a kreditní aktivitu, pokud jsou informováni, že organizace držící jejich data zaznamenala narušení.
  • IT týmy by měly přezkoumat podrobnosti společného doporučení CISA a FBI o taktikách Medusy a aplikovat doporučená opatření, včetně oprav známých zneužívaných zranitelností a vynucování vícefaktorové autentizace.

Vzestup Medusy na více než 300 obětí ukazuje, že skupiny ransomware-jako-služba zdokonalují své vyděračské taktiky rychleji, než mnoho organizací zdokonaluje své obrany. Zůstávat informovaný o tom, jak tyto kampaně fungují, a plánovat obnovu kolem odolnosti spíše než platby výkupného, zůstává nejspolehlivějším způsobem, jak snížit škody, až – ne pokud – k útoku dojde.