Uusi liittovaltion varoitus terveydenhuollon verkoille

CISA ja FBI ovat julkaisseet yhteisen kyberturvallisuustiedotteen, joka varoittaa sairaaloita ja terveydenhuolto-organisaatioita aktiivisesta Gunra-nimisestä kiristyshaittaohjelmatoiminnasta. Tiedote kuvaa kiristyshaittaohjelma palveluna (RaaS) -ryhmää, joka on hyödyntänyt internetiin avoimia haavoittuvuuksia, mukaan lukien Fortinet-tuotteiden vikoja, murtautuakseen verkkoihin ja varastaakseen arkaluonteisia tietoja ennen salaamista.

Tämä ei ole ensimmäinen hälytys Gunrasta. Kuten käsiteltiin artikkelissa USA ja Etelä-Korea varoittavat kasvavasta Gunra-kiristyshaittaohjelman uhkasta, viranomaiset ovat seuranneet tätä ryhmää jo jonkin aikaa sen laajentaessa toimintaansa ja teknisiä valmiuksiaan. Uusin tiedote kohdentaa huomion erityisesti terveydenhuoltoon, hallintoon ja kriittiseen infrastruktuuriin, ja se erittelee tarkasti, miten ryhmä toimii päästyään verkkoon.

Miten Gunra-kiristyshaittaohjelmahyökkäys toimii

Tiedotteen mukaan kun Gunran yhteistyökumppanit pääsevät verkkoon, he noudattavat kaksoiskiristysmallia. Ensin he varastavat tietoja, kopioimalla tiedostoja verkosta ennen kuin kukaan huomaa. Sitten he salaavat uhrin järjestelmät, lukiten sairaalan henkilökunnan ulos potilastietojärjestelmistä, aikataulujärjestelmistä ja muista kriittisistä infrastruktuureista.

Painostustaktiikka on erityisen aggressiivista terveydenhuollon kohteissa. Uhrille annetaan vain viidestä seitsemään päivää aikaa maksaa, ennen kuin Gunra uhkaa julkaista varastetut tiedostot pimeän verkon vuotopaikalla. Neuvottelut käydään Tor-pohjaisen portaalin kautta, mikä pitää ryhmän henkilöllisyyden ja sijainnin piilossa, mutta mahdollistaa silti suoran yhteydenpidon uhreihin.

Se mikä tekee Gunrasta erityisen huolestuttavan liittovaltion virastoille, on sen liiketoimintamalli. Ryhmä värvää aktiivisesti yhteistyökumppaneita muista kiristyshaittaohjelmatoiminnoista tarjoamalla 80 prosentin osuuden kaikista kerätyistä lunnaista. Tämä on epätavallisen antelias jako kiristyshaittaohjelma palveluna -maailmassa, ja se viestii, että Gunra yrittää laajentua nopeasti houkuttelemalla kokeneita toimijoita, jotka jo osaavat murtautua verkkoihin ja painostaa uhreja.

Miksi sairaalat ovat ensisijainen kohde

Terveydenhuolto-organisaatiot ovat pitkään olleet houkuttelevia kohteita kiristyshaittaohjelmaryhmille, eivätkä syyt ole muuttuneet. Sairaalat toimivat käyttöajan varassa. Lukittu sähköinen potilastietojärjestelmä tai jäätynyt aikataulualusta ei aiheuta vain haittaa, vaan se voi viivästyttää potilashoitoa. Tämä kiireellisyys luo painetta maksaa nopeasti, mikä on juuri sitä, mihin Gunran kaltaiset ryhmät luottavat.

Tietovarkauskomponentti lisää toisen riskikerroksen. Potilastiedot sisältävät tyypillisesti nimiä, osoitteita, sosiaaliturvatunnuksia, vakuutustietoja ja sairaushistorioita, joilla kaikilla on todellista arvoa pimeän verkon markkinapaikoilla ja joita voidaan käyttää identiteettivarkauteen tai vakuutuspetokseen pitkään alkuperäisen hyökkäyksen jälkeen. Viidestä seitsemään päivän laskuri ennen vuotouhkaa tarkoittaa myös sitä, että sairaalat pakotetaan tekemään korkean panoksen päätöksiä tiukan ja tarkoituksella stressaavan määräajan puitteissa.

Internetiin avoimien haavoittuvuuksien hyödyntäminen, erityisesti Fortinet-tuotteissa tiedotteen mukaan, on muistutus siitä, että monet tietomurrot alkavat tunnetuista, korjattavissa olevista vioista eivätkä kehittyneistä nollapäivähyökkäyksistä. Organisaatiot, jotka jäävät jälkeen reuna-laitteiden, kuten palomuurien ja VPN-yhdyskäytävien, päivityksissä, jättävät avoimen oven Gunran kaltaisille ryhmille.

Mitä tämä tarkoittaa sinulle

Jos olet potilas sairaalassa tai terveydenhuoltojärjestelmässä, tämä tiedote on muistutus siitä, että lääketieteelliset ja henkilökohtaiset tietosi ovat vain niin turvassa kuin ne tallentavat järjestelmät. Et yleensä tiedä reaaliajassa, onko palveluntarjoajasi joutunut kohteeksi, mutta voit ryhtyä toimiin rajoittaaksesi vahinkoja, jos tietosi koskaan paljastuvat. Seuraa vakuutuslaskujasi ja luottotietojasi vieraiden toimien varalta, ja harkitse petoshälytyksen tai luottokiellon asettamista, jos saat ilmoituksen tietomurrosta terveydenhuollon palveluntarjoajalta.

Jos työskentelet terveydenhuollon IT:ssä tai sairaalan hallinnossa, tämän tiedotteen pitäisi saada sinut tarkistamaan välittömästi internetiin avoin infrastruktuuri, erityisesti Fortinet-laitteet ja muut verkon reunakomponentit, varmistaaksesi, että päivitykset ovat ajan tasalla. Verkkojen segmentointi siten, että yksittäinen vaarantunut laite ei anna pääsyä potilastietojärjestelmiin, on toinen käytännöllinen puolustuskeino. Koska Gunra värvää aktiivisesti yhteistyökumppaneita epätavallisen korkealla tulonjaolla, tietoturvatiimien tulisi olettaa, että ryhmän hyökkäysten määrä kasvaa tulevina kuukausina, ei vähene.

Keskeiset huomiot

Gunra-kiristyshaittaohjelma edustaa kasvavaa ja taloudellisesti motivoitunutta uhkaa, joka kohdistuu erityisesti sairaaloihin ja kriittiseen infrastruktuuriin. Ryhmän kaksoiskiristysmenetelmä yhdistettynä aggressiiviseen viidestä seitsemään päivän lunnaiden määräaikaan on suunniteltu maksimoimaan paine uhreille, joilla on vähiten varaa seisokkeihin. Potilaille parasta puolustusta on pysyä valppaana tietomurtoilmoitusten suhteen ja seurata henkilökohtaisia tilejä. Terveydenhuollon IT-tiimeille tunnettujen haavoittuvuuksien korjaaminen, erityisesti reunakomponenteissa, sekä vahvan verkkosegmentoinnin ylläpitäminen ovat välittöminmät ja käytännöllisimmät toimet altistumisen vähentämiseksi. Kun liittovaltion virastot jatkavat Gunran laajentumisen seuraamista, tiedotteiden kuten tämän seuraaminen on yksi yksinkertaisimmista tavoista pysyä askeleen edellä seuraavaa hyökkäystä.