Η CISA και το FBI Προειδοποιούν τα Νοσοκομεία: Η Απειλή του Ransomware Gunra Αυξάνεται

Νέα Ομοσπονδιακή Προειδοποίηση για τα Δίκτυα Υγειονομικής Περίθαλψης

Η CISA και το FBI εξέδωσαν κοινή συμβουλή κυβερνοασφάλειας προειδοποιώντας τα νοσοκομεία και τους οργανισμούς υγειονομικής περίθαλψης για μια ενεργή επιχείρηση ransomware που ονομάζεται Gunra. Η προειδοποίηση περιγράφει μια ομάδα ransomware-as-a-service (RaaS) που εκμεταλλεύεται ευπάθειες εκτεθειμένες στο διαδίκτυο, συμπεριλαμβανομένων ελαττωμάτων σε προϊόντα της Fortinet, για να διεισδύσει σε δίκτυα και να κλέψει ευαίσθητα δεδομένα πριν τα κρυπτογραφήσει.

Αυτή δεν είναι η πρώτη προειδοποίηση για το Gunra. Όπως καλύφθηκε στο ΗΠΑ και Νότια Κορέα Προειδοποιούν για την Αυξανόμενη Απειλή του Ransomware Gunra, οι αρχές παρακολουθούν αυτή την ομάδα εδώ και αρκετό καιρό καθώς επεκτείνει την εμβέλεια και τις τεχνικές της δυνατότητες. Η πιο πρόσφατη συμβουλή εστιάζει εντονότερα ειδικά σε στόχους της υγειονομικής περίθαλψης, της κυβέρνησης και των κρίσιμων υποδομών, και περιγράφει λεπτομερώς πώς ακριβώς λειτουργεί η ομάδα μόλις εισέλθει σε ένα δίκτυο.

Πώς Λειτουργεί η Επίθεση του Ransomware Gunra

Σύμφωνα με τη συμβουλή, μόλις οι συνεργάτες του Gunra αποκτήσουν πρόσβαση σε ένα δίκτυο, ακολουθούν το μοντέλο διπλού εκβιασμού. Πρώτον, εξάγουν δεδομένα, αντιγράφοντας αρχεία από το δίκτυο πριν το αντιληφθεί κανείς. Έπειτα, κρυπτογραφούν τα συστήματα του θύματος, κλειδώνοντας το προσωπικό των νοσοκομείων εκτός από αρχεία, συστήματα προγραμματισμού και άλλες κρίσιμες υποδομές.

Η τακτική πίεσης είναι το σημείο όπου τα πράγματα γίνονται ιδιαίτερα επιθετικά για στόχους στον τομέα της υγείας. Στα θύματα δίνονται μόλις πέντε έως επτά ημέρες για να πληρώσουν προτού το Gunra απειλήσει να δημοσιεύσει τα κλεμμένα αρχεία σε ιστότοπο διαρροής στο σκοτεινό διαδίκτυο. Οι διαπραγματεύσεις γίνονται μέσω πύλης βασισμένης στο Tor, κρατώντας την ταυτότητα και την τοποθεσία της ομάδας κρυφές, ενώ παράλληλα επιτρέπουν την άμεση επικοινωνία με τα θύματα.

Αυτό που καθιστά το Gunra ιδιαίτερα ανησυχητικό για τις ομοσπονδιακές υπηρεσίες είναι το επιχειρηματικό του μοντέλο. Η ομάδα στρατολογεί ενεργά συνεργάτες από άλλες επιχειρήσεις ransomware προσφέροντάς τους ποσοστό 80% από κάθε λύτρο που εισπράττεται. Αυτή είναι μια ασυνήθιστα γενναιόδωρη κατανομή στον κόσμο του ransomware-as-a-service, και σηματοδοτεί ότι το Gunra προσπαθεί να επεκταθεί γρήγορα προσελκύοντας έμπειρους χειριστές που ήδη γνωρίζουν πώς να παραβιάζουν δίκτυα και να πιέζουν τα θύματα.

Γιατί τα Νοσοκομεία Αποτελούν Πρωταρχικό Στόχο

Οι οργανισμοί υγειονομικής περίθαλψης ήταν ανέκαθεν ελκυστικοί στόχοι για ομάδες ransomware, και οι λόγοι δεν έχουν αλλάξει. Τα νοσοκομεία λειτουργούν με βάση τον χρόνο λειτουργίας. Ένα κλειδωμένο σύστημα ηλεκτρονικών αρχείων υγείας ή μια παγωμένη πλατφόρμα προγραμματισμού δεν δημιουργεί απλώς ταλαιπωρία, μπορεί να καθυστερήσει τη φροντίδα των ασθενών. Αυτός ο επείγων χαρακτήρας δημιουργεί πίεση για άμεση πληρωμή, που είναι ακριβώς αυτό στο οποίο στηρίζονται ομάδες όπως το Gunra.

Η συνιστώσα της κλοπής δεδομένων προσθέτει ένα επιπλέον επίπεδο κινδύνου. Τα αρχεία ασθενών περιλαμβάνουν συνήθως ονόματα, διευθύνσεις, αριθμούς κοινωνικής ασφάλισης, λεπτομέρειες ασφάλισης και ιατρικά ιστορικά, όλα με πραγματική αξία στις αγορές του σκοτεινού διαδικτύου και χρήσιμα για κλοπή ταυτότητας ή ασφαλιστική απάτη πολύ μετά την αρχική επίθεση. Η αντίστροφη μέτρηση των πέντε έως επτά ημερών πριν από την απειλή διαρροής σημαίνει επίσης ότι τα νοσοκομεία αναγκάζονται να λάβουν αποφάσεις υψηλού κινδύνου υπό στενή και σκόπιμα αγχωτική προθεσμία.

Η εκμετάλλευση ευπαθειών εκτεθειμένων στο διαδίκτυο, ιδιαίτερα σε προϊόντα της Fortinet σύμφωνα με τη συμβουλή, υπενθυμίζει ότι πολλές παραβιάσεις ξεκινούν με γνωστά, επιδιορθώσιμα ελαττώματα και όχι με εξελιγμένες επιθέσεις zero-day. Οι οργανισμοί που καθυστερούν στην ενημέρωση συσκευών άκρου όπως τείχη προστασίας και πύλες VPN αφήνουν ανοιχτή πόρτα για ομάδες όπως το Gunra να περάσουν.

Τι Σημαίνει Αυτό για Εσάς

Εάν είστε ασθενής σε νοσοκομείο ή σύστημα υγειονομικής περίθαλψης, αυτή η συμβουλή υπενθυμίζει ότι οι ιατρικές και προσωπικές σας πληροφορίες είναι τόσο ασφαλείς όσο τα συστήματα που τις αποθηκεύουν. Γενικά δεν θα γνωρίζετε σε πραγματικό χρόνο εάν ο πάροχός σας έχει στοχοποιηθεί, αλλά μπορείτε να λάβετε μέτρα για να περιορίσετε τη ζημιά αν τα δεδομένα σας εκτεθούν ποτέ. Παρακολουθείτε τις ασφαλιστικές σας καταστάσεις και τις πιστωτικές αναφορές για άγνωστη δραστηριότητα και εξετάστε το ενδεχόμενο να τοποθετήσετε προειδοποίηση απάτης ή πάγωμα πίστωσης εάν λάβετε ειδοποίηση παραβίασης από πάροχο υγειονομικής περίθαλψης.

Εάν εργάζεστε στην πληροφορική υγείας ή στη διοίκηση νοσοκομείου, αυτή η συμβουλή θα πρέπει να προκαλέσει άμεσο έλεγχο των υποδομών που είναι εκτεθειμένες στο διαδίκτυο, ειδικά συσκευών Fortinet και άλλου εξοπλισμού περιμετρικού δικτύου, για να επιβεβαιωθεί ότι οι ενημερώσεις είναι τρέχουσες. Ο διαχωρισμός δικτύων ώστε μια μεμονωμένη παραβιασμένη συσκευή να μην παρέχει πρόσβαση σε συστήματα αρχείων ασθενών είναι μια άλλη πρακτική άμυνα. Δεδομένου ότι το Gunra στρατολογεί ενεργά συνεργάτες με ασυνήθιστα υψηλό μερίδιο εσόδων, οι ομάδες ασφαλείας θα πρέπει να υποθέσουν ότι ο όγκος επιθέσεων της ομάδας θα αυξηθεί τους επόμενους μήνες, όχι να μειωθεί.

Βασικά Συμπεράσματα

Το ransomware Gunra αντιπροσωπεύει μια αυξανόμενη και οικονομικά υποκινούμενη απειλή που στοχεύει ειδικά νοσοκομεία και κρίσιμες υποδομές. Η προσέγγιση διπλού εκβιασμού της ομάδας, σε συνδυασμό με επιθετική προθεσμία λύτρων πέντε έως επτά ημερών, έχει σχεδιαστεί για να μεγιστοποιήσει την πίεση σε θύματα που μπορούν λιγότερο να αντέξουν τον χρόνο διακοπής λειτουργίας. Για τους ασθενείς, το να παραμένουν σε επαγρύπνηση για ειδοποιήσεις παραβίασης και να παρακολουθούν τους προσωπικούς λογαριασμούς τους παραμένει η καλύτερη άμυνα. Για τις ομάδες πληροφορικής υγείας, η ενημέρωση γνωστών ευπαθειών, ιδιαίτερα σε συσκευές άκρου, και η διατήρηση ισχυρού διαχωρισμού δικτύου είναι τα πιο άμεσα και εφαρμόσιμα βήματα για τη μείωση της έκθεσης. Καθώς οι ομοσπονδιακές υπηρεσίες συνεχίζουν να παρακολουθούν την επέκταση του Gunra, το να παραμένετε ενημερωμένοι μέσω συμβουλών όπως αυτή είναι ένας από τους απλούστερους τρόπους για να παραμένετε ένα βήμα μπροστά από την επόμενη επίθεση.