CISA, FBI, NSA alertent sur le rançongiciel Gunra ciblant le secteur de la santé

Les agences fédérales tirent la sonnette d'alarme face à une menace de rançongiciel à propagation rapide

Une coalition d'agences fédérales américaines, dont la CISA, le FBI, la NSA, le Centre de lutte contre la cybercriminalité du département de la Défense (DC3) et le Secret Service américain, a publié un avis conjoint de cybersécurité mettant en garde les organisations contre le rançongiciel Gunra. Les autorités sud-coréennes se sont également jointes à cet avis, ce qui indique que cette menace n'est pas localisée mais active et transfrontalière.

Gunra fonctionne comme un rançongiciel en tant que service (RaaS), ce qui signifie que le logiciel malveillant est développé par un groupe, puis concédé sous licence à des affiliés qui mènent les attaques. Ce modèle économique est devenu courant dans l'écosystème des rançongiciels, car il abaisse la barrière technique pour lancer des attaques et répartit les opérations sur un réseau plus large de criminels, ce qui rend plus difficile pour les défenseurs d'identifier un point d'origine unique.

Selon l'avis relayé dans CISA et FBI mettent en garde contre le rançongiciel Gunra et la double extorsion, les affiliés utilisant Gunra ont déjà ciblé des organisations dans les secteurs de la santé et de la santé publique, des services financiers, des services gouvernementaux et de l'industrie manufacturière. L'étendue de ces cibles reflète une stratégie courante parmi les opérateurs de rançongiciels : s'attaquer aux organisations qui ne peuvent pas se permettre des interruptions prolongées et sont donc plus susceptibles de payer rapidement.

Comment fonctionne le modèle de double extorsion

Ce qui rend Gunra particulièrement dangereux, c'est son approche de double extorsion. Plutôt que de simplement bloquer l'accès des victimes à leurs propres systèmes par le chiffrement, les affiliés de Gunra commencent par exfiltrer des données sensibles du réseau de la cible. Ce n'est qu'après avoir copié les données qu'ils déploient la charge utile de chiffrement qui rend les fichiers inaccessibles.

Cette tactique à deux volets donne aux attaquants un levier supplémentaire. Même si une organisation victime dispose de sauvegardes solides et peut restaurer ses systèmes sans payer de rançon, les attaquants détiennent toujours des données volées en otage. Ils menacent de publier ces informations sur un site de fuite dédié si le paiement n'est pas effectué, transformant une interruption technique en une potentielle crise de confidentialité et de réputation. Pour des secteurs comme la santé, où les données volées peuvent inclure des dossiers médicaux, des informations d'assurance et des données de santé personnelles, cela crée un risque aggravé qui va bien au-delà d'une panne temporaire.

La double extorsion est devenue la norme pour les grandes opérations de rançongiciels, car elle fonctionne. Le chiffrement seul peut souvent être contré par des stratégies de sauvegarde appropriées, mais la menace d'une publication des données ajoute une pression que les sauvegardes ne peuvent pas résoudre. Une fois les données volées, elles le restent, que la victime parvienne ou non à rétablir l'accès à ses systèmes.

Pourquoi les services critiques sont une cible privilégiée

Les prestataires de soins de santé, les agences gouvernementales et les opérateurs d'infrastructures critiques partagent une vulnérabilité commune : ils ne peuvent pas tolérer de longues interruptions. Un hôpital qui perd l'accès à ses dossiers médicaux ou à ses systèmes de planification fait face à des conséquences opérationnelles et de sécurité immédiates. Les services gouvernementaux qui gèrent les prestations sociales, les permis ou les interventions d'urgence dépendent d'une disponibilité continue de leurs systèmes. Cette urgence est exactement ce sur quoi comptent les affiliés rançongiciels lorsqu'ils calculent les demandes de rançon et les délais.

L'implication de plusieurs agences fédérales, aux côtés de partenaires internationaux en Corée du Sud, souligne à quel point cette menace est prise au sérieux. Lorsque la CISA, le FBI, la NSA, le DC3 et le Secret Service cosignent un seul avis, cela signifie généralement que la menace a été observée dans plusieurs incidents confirmés et non dans un cas isolé. Les organisations des secteurs mentionnés doivent considérer cela comme un signal pour examiner leur propre exposition dès maintenant, plutôt que d'attendre un avertissement direct.

Ce que cela signifie pour vous

Si vous travaillez dans la santé, le gouvernement, les services financiers ou l'industrie manufacturière, cet avis est un appel direct à l'action pour les équipes informatiques et de sécurité de votre organisation. Mais même en dehors de ces secteurs, il y a des leçons plus larges à tirer pour quiconque s'inquiète de la manière dont les institutions dont il dépend traitent ses données personnelles.

Le rançongiciel à double extorsion signifie qu'une violation chez votre prestataire de soins, votre banque ou votre administration locale pourrait exposer vos informations personnelles, même si cette organisation refuse de payer la rançon et restaure normalement ses systèmes. Le vol de données a lieu avant le chiffrement, de sorte que l'atteinte à votre vie privée est souvent déjà consommée au moment où l'attaque devient publique.

C'est le bon moment pour vérifier comment les organisations qui détiennent vos données sensibles communiquent sur les incidents de sécurité, et pour rester attentif aux notifications de violation provenant des prestataires de soins, des employeurs ou des services gouvernementaux avec lesquels vous interagissez.

Points clés à retenir et à mettre en œuvre

• Si vous recevez une notification de violation de la part d'un prestataire de soins, d'une banque ou d'une agence gouvernementale, prenez-la au sérieux et surveillez vos comptes et rapports de solvabilité pour détecter toute activité inhabituelle.
• Utilisez des mots de passe uniques et robustes pour les comptes liés aux portails de santé, aux services financiers et aux identifiants gouvernementaux, et activez l'authentification multifacteur partout où elle est proposée.
• Méfiez-vous des courriels d'hameçonnage ou des appels faisant référence à une récente violation de données, car les attaquants exploitent souvent les avis publics pour mener des escroqueries par rebond.
• Si vous travaillez dans un secteur concerné, assurez-vous que votre organisation a examiné les indicateurs techniques de l'avis conjoint et a mis à jour son plan de réponse aux incidents en conséquence.

Le rançongiciel Gunra nous rappelle que le vol de données et la perturbation des systèmes vont désormais de pair. Se tenir informé d'avis comme celui-ci, et comprendre comment fonctionnent les tactiques de double extorsion, aide tant les organisations que les individus à réagir plus efficacement lorsque le prochain avertissement arrivera.