Eine Ransomware-Bande, die ihre eigenen Forderungen ausdruckt

Die meisten Ransomware-Gruppen hinterlassen ihre Erpressernotizen als Textdateien, die über die verschlüsselten Ordner des Opfers verstreut sind. INC Ransomware verfolgt einen beunruhigenderen Ansatz: Laut einer technischen Analyse von Picus Security versucht die Malware außerdem, ihre Lösegeldforderung direkt an alle angeschlossenen Drucker und Faxgeräte in einem kompromittierten Netzwerk zu senden und die Forderung physisch auszudrucken, sodass jeder im Gebäude sie sehen kann.

Es ist ein kleines Detail, aber es sagt viel über die Vorgehensweise von INC aus. Diese Gruppe will maximalen psychologischen Druck auf ihre Opfer ausüben und hat erkannt, dass Gesundheits- und Bildungsnetzwerke, die oft mit veralteten Druckern, gemeinsam genutzten Faxleitungen und vernetzten Geräten ausgestattet sind, die von IT-Teams selten überprüft werden, einen fruchtbaren Boden für diese Art von Störung bieten.

Warum das Gesundheits- und Bildungswesen immer wieder getroffen wird

INC Ransomware, die seit ihrem Auftreten als Ransomware-as-a-Service-Operation verfolgt wird, hat wiederholt Krankenhäuser, Kliniken und Schulen sowie andere Branchen wie Einzelhandel und Finanzen ins Visier genommen. Die Gründe sind nicht rätselhaft. Gesundheitsnetzwerke basieren auf vernetzten medizinischen Geräten, veralteter Infrastruktur und Systemen, die nicht immer gepatcht oder offline genommen werden können, ohne die Patientenversorgung zu gefährden. Bildungsnetzwerke hingegen bedienen oft Tausende von Schülern und Mitarbeitern auf einer gemeinsam genutzten Infrastruktur mit begrenzten Sicherheitsbudgets und inkonsistenten Zugriffskontrollen.

Beide Sektoren verfügen zudem genau über die Art von Daten, die doppelte Erpressung für Ransomware profitabel macht: Patientenakten, Gesundheitshistorien, Finanzdaten und persönliche Informationen über Minderjährige. INC verschlüsselt, wie viele moderne Ransomware-Operationen, nicht nur Dateien. Sie stiehlt zuerst Daten und droht damit, sie öffentlich zu machen, falls das Lösegeld nicht gezahlt wird, was den Opfern zwei verschiedene Gründe gibt, zu zahlen.

Dieses Vorgehen hat Krankenhäuser zu einem besonders risikoreichen Ziel gemacht. Wenn Ransomware elektronische Patientenakten oder Terminplanungssysteme sperrt, beschränken sich die Folgen nicht auf Unannehmlichkeiten. Sie können Behandlungen verzögern, die Umleitung von Krankenwagen erzwingen und die Patientensicherheit unmittelbar gefährden. Dies ist mit ein Grund, warum Cybersicherheit im Gesundheitswesen zu einer politischen Priorität weit über die IT-Abteilungen hinaus geworden ist.

Das Problem mit den Zugangspunkten

Ransomware-Gruppen benötigen einen Zugang zu einem Netzwerk, bevor sie etwas einsetzen können, und INC hat gezeigt, dass es bereit ist, jede Schwachstelle auszunutzen, die ihm diesen Fuß in der Tür verschafft. Ein aktueller Fall veranschaulicht dies gut: SonicWall bestätigte, dass zwei kritische Zero-Day-Schwachstellen in seinen SMA-1000-Appliances 22 Tage lang aktiv von der INC-Ransomware-Gruppe ausgenutzt wurden, bevor ein Patch verfügbar war. Ein solches Zeitfenster – fast drei Wochen aktive Ausnutzung, bevor eine Lösung existierte – ist genau die Gelegenheit, nach der Ransomware-Betreiber suchen, insbesondere bei Organisationen, die aufgrund von Personalmangel oder betrieblichen Anforderungen möglicherweise langsamer beim Patchen von Remote-Zugangs-Appliances sind.

Dieses Muster unterstreicht eine allgemeinere Wahrheit über Ransomware im Allgemeinen und INC im Besonderen: Der erste Einbruch erfolgt selten über etwas Exotisches. Er kommt von ungepatchter Software, ungeschützten Remote-Zugriffstools oder Zugangsdaten, die nie geändert wurden. Einmal drinnen, bewegt sich die Gruppe lateral, identifiziert wertvolle Daten zum Exfiltrieren, setzt ihre Verschlüsselungsnutzlast ein und versucht im Fall von INC, ihre Nachricht für maximale Sichtbarkeit auszudrucken.

Was das für Sie bedeutet

Wenn Sie im Gesundheits- oder Bildungswesen arbeiten oder damit interagieren, sei es als Mitarbeiter, Patient, Schüler oder Elternteil, erinnert INC Ransomware daran, dass die Daten, die diese Einrichtungen über Sie speichern, ein echtes Ziel sind und nicht nur ein hypothetisches. Gesundheitsakten und Schülerdaten sind gerade deshalb attraktiv, weil sie schwer zu ersetzen sind und oft mit Möglichkeiten für Finanz- oder Medizinbetrug verbunden sind.

Für IT- und Sicherheitsteams lautet die praktische Lehre: Patchen Sie regelmäßig und segmentieren Sie Ihr Netzwerk. Remote-Zugangs-Appliances, angeschlossene Drucker und Fax-Gateways werden oft als Geräte mit niedriger Priorität behandelt, aber das Verhalten von INC zeigt, dass Angreifer jedes Gerät im Netzwerk – so banal es auch sein mag – nutzen, um ihre Ziele zu erreichen. Drucker und IoT-ähnliche Geräte von Kernsystemen zu trennen und internetfähige Appliances schnell zu patchen, wenn Hersteller Schwachstellen offenlegen, verringert die Angriffsfläche erheblich.

Für Einzelpersonen sind die umsetzbaren Schritte vertrauter, aber dennoch wiederholenswert: Achten Sie auf Benachrichtigungen über Datenschutzverletzungen von Ihrem Gesundheitsdienstleister oder Schulbezirk, verwenden Sie eindeutige Passwörter für Portale, die persönliche oder medizinische Daten speichern, und seien Sie vorsichtig bei nachfolgenden Phishing-Versuchen, die oft auf Ransomware-Vorfällen aufsetzen, sobald gestohlene Daten in Umlauf geraten.

Gezielten Ransomware-Kampagnen einen Schritt voraus bleiben

INC Ransomware ist nicht einzigartig darin, das Gesundheits- und Bildungswesen ins Visier zu nehmen, aber ihre Bereitschaft, Lösegeldforderungen physisch auszudrucken, zeigt, wie weit diese Gruppen gehen, um Zahlungen zu erzwingen. Organisationen in diesen Sektoren sollten jedes internetfähige Gerät, so unscheinbar es auch sein mag, als potenziellen Einstiegspunkt behandeln, und Einzelpersonen sollten wachsam gegenüber Benachrichtigungen über Datenschutzverletzungen im Zusammenhang mit Einrichtungen bleiben, die ihre sensiblen Daten speichern. Bewusstsein und rechtzeitiges Patchen bleiben die wirksamsten Abwehrmaßnahmen gegen eine Bedrohung, die keine Anzeichen einer Verlangsamung zeigt.