CISA bekræfter et stort skifte i BianLians taktikker

Cybersecurity and Infrastructure Security Agency har bekræftet, at BianLian, en ransomware-gruppe der engang var kendt for at låse hospitalsnetværk, stoppede helt med at kryptere filer fra januar 2024. I stedet for at kryptere data og kræve betaling for en dekrypteringsnøgle fokuserer gruppen nu udelukkende på at stjæle følsomme oplysninger og true med at lække dem, medmindre ofrene betaler.

Denne bekræftelse er vigtig, fordi den signalerer en bredere ændring i, hvordan ransomware-aktører driver forretning. I årevis var standardfremgangsmåden at kryptere ofrets filer, efterlade en løsesumseddel og tvinge organisationer til at vælge mellem at betale for en dekrypteringsnøgle eller genopbygge fra backups. BianLians skift væk fra den model viser, at datatyveri alene, uden det ekstra trin med kryptering, kan være lige så indbringende og betydeligt mindre kompliceret at udføre.

Fra kryptering til afpresning: Hvorfor skiftet betyder noget

At kryptere et helt netværk tager tid, kræver computerressourcer og en adgangsniveau, der øger risikoen for opdagelse, inden angrebet er fuldført. Blot at kopiere filer fra et netværk og stille og roligt forlade det er hurtigere, sværere at opdage i realtid, og giver stadig angriberne et stærkt pressionsmiddel. Hvis en gruppe kan eksfiltrere patientjournaler, finansielle dokumenter eller intern kommunikation, er truslen om at offentliggøre disse data ofte nok til at presse et offer til at betale.

Denne tilgang omgår også nogle af de forsvar, organisationer har opbygget mod krypteringsbaserede angreb. Mange virksomheder har investeret massivt i backup- og gendannelsessystemer specifikt for at afbøde virkningen af fil-låsende ransomware. Disse backups gør intet for at stoppe en gruppe, der aldrig rørte ved filintegriteten i første omgang – de kopierede blot data og forsvandt. CISA's bekræftelse af dette skift stemmer overens med et mønster, som agenturet har fulgt tæt, herunder tilfælde hvor ransomware-grupper er begyndt at udnytte alvorlige sårbarheder i stor skala, så snart de bliver offentligt kendte, som da CISA bekræftede, at ransomware-bander udnyttede BlueHammer-sårbarheden i stor skala i stedet for at forbeholde den til snævre, målrettede angreb.

Sundhedsorganisationer forbliver i sigtekrydset

BianLians historie med at ramme hospitalsnetværk er værd at holde øje med, selv med gruppens taktikændring. Sundhedsorganisationer ligger inde med nogle af de mest følsomme persondata, der findes, herunder sygehistorik, forsikringsoplysninger og behandlingsjournaler. Denne følsomhed er præcis grunden til, at datatyveriafpresning virker så godt mod denne sektor. Et hospital, der står overfor udsigten til, at patientjournaler offentliggøres eller sælges, har et stærkt incitament til at betale hurtigt, uanset om systemerne nogensinde blev krypteret eller ej.

Adgang til disse netværk afhænger ofte stadig af udnyttelse af kendte sårbarheder, et mønster som CISA gentagne gange har dokumenteret i deres katalog over kendte udnyttede sårbarheder. Agenturets nylige flagning af en Linux-rettighedsforøgelsesfejl, der allerede udnyttes i det fri illustrerer, hvordan angribere fortsat baserer sig på upatchede systemer som deres indgangsvej, uanset hvad de gør, når de først er inde.

Hvad dette betyder for dig

Hvis din organisation håndterer følsomme data – hvad enten det er et hospital, en lille virksomhed eller enhver enhed, der opbevarer kundeoplysninger – ændrer dette skifte, hvordan "ransomwarebeskyttelse" skal se ud. Backupstrategier forbliver vigtige, men de er ikke længere tilstrækkelige i sig selv. Datatyveriangreb som BianLians nyere tilgang kræver, at organisationer fokuserer lige så meget på at forhindre uautoriseret adgang og overvåge usædvanlige udgående dataoverførsler, da skaden sker i det øjeblik, filerne forlader netværket, ikke når de bliver krypteret.

For enkeltpersoner er budskabet mere personligt. Hvis en organisation, der har dine lægejournaler, finansielle oplysninger eller personlige data, bliver offer for et datatyveriangreb, vil du måske aldrig se en løsesumseddel eller høre om krypterede systemer. Det første tegn på problemer kunne simpelthen være et brev om databrud, eller endnu værre, at opdage dine oplysninger til salg eller lækket online.

Praktiske handlingspunkter

Organisationer bør prioritere netværksovervågningsværktøjer, der kan markere store eller usædvanlige dataoverførsler, ikke kun ransomware-specifikke krypteringsalarmer. Hurtig patching af kendte sårbarheder forbliver essentielt, da indledende adgang typisk stadig afhænger af udnyttelse af upatchede systemer. Enkeltpersoner bør være opmærksomme på databrudsmeddelelser fra sundhedsudbydere og finansielle institutioner og overveje kreditovervågning eller identitetstyveribeskyttelse, hvis de modtager en. Efterhånden som ransomware-grupper som BianLian fortsætter med at tilpasse deres metoder, er det at holde sig informeret om disse skift – i stedet for at antage, at gårsdagens forsvar stadig dækker mod dagens trusler – den bedste beskyttelse, der findes.