CISA, FBI, NSA advarer om Gunra-ransomware, der rammer sundhedssektoren

Føderale agenturer slår alarm om en hurtigtspredende ransomware-trusse

En koalition af amerikanske føderale agenturer, herunder CISA, FBI, NSA, Department of Defense Cyber Crime Center (DC3) og U.S. Secret Service, har udsendt en fælles cybersikkerhedsadvarsel, der advarer organisationer om Gunra-ransomware. Sydkoreanske myndigheder tilsluttede sig også advarslen, hvilket signalerer, at dette ikke er et lokalt problem, men en aktiv, grænseoverskridende trussel.

Gunra fungerer som ransomware-as-a-service (RaaS), hvilket betyder, at malwaren udvikles af én gruppe og derefter licenseres til affilierede, der udfører de egentlige angreb. Denne forretningsmodel er blevet almindelig i ransomware-økosystemet, fordi den sænker den tekniske barriere for at lancere angreb og spreder operationen på tværs af et bredere netværk af kriminelle, hvilket gør det sværere for forsvarere at spore et enkelt udgangspunkt.

Ifølge advarslen, der er omtalt i CISA og FBI advarer om Gunra-ransomwares dobbelte afpresning, har affilierede, der bruger Gunra, allerede målrettet organisationer inden for sundheds- og folkesundhedssektoren, finansielle tjenester, offentlige tjenester og fremstillingsindustrien. Bredden af disse mål afspejler en strategi, der er almindelig blandt ransomware-aktører: at ramme organisationer, der ikke har råd til længerevarende nedetid og derfor er mere tilbøjelige til at betale hurtigt.

Sådan fungerer den dobbelte afpresningsmodel

Det, der gør Gunra særligt farlig, er dens dobbelte afpresningstilgang. I stedet for blot at låse ofrene ude af deres egne systemer gennem kryptering, eksfiltrerer Gunra-affilierede først følsomme data fra målets netværk. Først efter at dataene er blevet kopieret, deployerer de krypteringspayloaden, der gør filer utilgængelige.

Denne tostrengede taktik giver angriberne ekstra pres. Selv hvis en offerorganisation har solide backups og kan gendanne sine systemer uden at betale en løsesum, holder angriberne stadig stjålne data som gidsler. De truer med at offentliggøre disse oplysninger på en dedikeret lækageside, medmindre der betales, hvilket forvandler en teknisk forstyrrelse til en potentiel privatlivs- og omdømmekrise. For sektorer som sundhedssektoren, hvor stjålne data kan omfatte patientjournaler, forsikringsoplysninger og personlige helbredsoplysninger, skaber dette en sammensat risiko, der rækker langt ud over et midlertidigt nedbrud.

Dobbelt afpresning er blevet branchestandarden for større ransomware-operationer, fordi det virker. Kryptering alene kan ofte imødegås med ordentlige backup-strategier, men truslen om et offentligt datadump lægger et pres, som backups ikke kan løse. Når først data er stjålet, er de stjålet, uanset om offeret senere genopretter adgangen til sine systemer.

Hvorfor kritiske tjenester er et primært mål

Sundhedsudbydere, offentlige myndigheder og operatører af kritisk infrastruktur deler en fælles sårbarhed: de kan ikke tåle lange afbrydelser. Et hospital, der mister adgangen til patientjournaler eller bookingsystemer, står over for øjeblikkelige drifts- og sikkerhedsmæssige konsekvenser. Offentlige tjenester, der håndterer ydelser, tilladelser eller beredskab, afhænger af kontinuerlig systemtilgængelighed. Denne hast er præcis, hvad ransomware-affilierede regner med, når de fastsætter løsesumskrav og tidsfrister.

Inddragelsen af flere føderale agenturer sammen med internationale partnere i Sydkorea understreger, hvor alvorligt denne trussel bliver taget. Når CISA, FBI, NSA, DC3 og Secret Service i fællesskab udsender en enkelt advarsel, betyder det typisk, at truslen er blevet observeret på tværs af flere bekræftede hændelser snarere end et enkelt isoleret tilfælde. Organisationer i de nævnte sektorer bør betragte dette som et signal til at gennemgå deres egen eksponering nu i stedet for at vente på en direkte advarsel.

Hvad dette betyder for dig

Hvis du arbejder inden for sundhedssektoren, offentlig forvaltning, finansielle tjenester eller fremstillingsindustrien, er denne advarsel en direkte opfordring til handling for din organisations it- og sikkerhedsteams. Men selv uden for disse brancher er der bredere læringspunkter for alle, der er bekymrede for, hvordan deres personlige data håndteres af institutioner, de er afhængige af.

Dobbelt afpresnings-ransomware betyder, at et brud hos din sundhedsudbyder, bank eller lokale offentlige kontor kan afsløre dine personlige oplysninger, selv hvis den pågældende organisation nægter at betale en løsesum og gendanner sine systemer normalt. Datatyveriet sker før kryptering, så skaden på dit privatliv er ofte allerede sket, når et angreb bliver offentligt kendt.

Dette er et godt tidspunkt at gennemgå, hvordan de organisationer, der opbevarer dine følsomme data, kommunikerer om sikkerhedshændelser, og at være opmærksom på meddelelser om databrud fra sundhedsudbydere, arbejdsgivere eller offentlige tjenester, du interagerer med.

Konkrete handlingspunkter

• Hvis du modtager en meddelelse om databrud fra en sundhedsudbyder, bank eller offentlig myndighed, så tag den alvorligt og overvåg dine konti og kreditrapporter for usædvanlig aktivitet.
• Brug unikke, stærke adgangskoder til konti tilknyttet sundhedsportaler, finansielle tjenester og offentlige logins, og aktiver multifaktorautentificering, hvor det tilbydes.
• Vær forsigtig med phishing-e-mails eller opkald, der henviser til et nyligt brud, da angribere ofte udnytter offentlige advarsler til at udføre opfølgende svindel.
• Hvis du arbejder i en berørt sektor, skal du sikre, at din organisation har gennemgået de tekniske indikatorer i den fælles advarsel og opdateret sin beredskabsplan i overensstemmelse hermed.

Gunra-ransomware er en påmindelse om, at datatyveri og systemforstyrrelser nu går hånd i hånd. At holde sig informeret om advarsler som denne og forstå, hvordan dobbelt afpresningstaktik fungerer, hjælper både organisationer og enkeltpersoner med at reagere mere effektivt, når den næste advarsel kommer.