Zajedničko upozorenje triju saveznih agencija

Agencija za kibernetičku sigurnost i infrastrukturu (CISA), FBI i Američko ministarstvo zdravstva i ljudskih usluga (HHS) zajednički su objavili ažurirani sigurnosni savjet o ransomwareu Medusa, upozoravajući da akteri prijetnji iza njega aktivno prodiru u korporativne mreže. Prema savjetu, operateri Meduse kradu osjetljive podatke prije nego što zaključaju sustave, onemogućuju ili uništavaju sigurnosne alate koji se izvode na zaraženim strojevima, a zatim šifriraju cijele mreže umjesto izoliranih poslužitelja ili krajnjih točaka.

Ovo nije potpuno nova prijetnja. Savezne agencije već neko vrijeme prate ransomware Medusa, ali odluka o izdavanju ažuriranog savjeta signal je da su taktike ove grupe i dalje aktivne te da organizacije u više sektora, uključujući zdravstvo s obzirom na uključenost HHS-a, i dalje izložene riziku. Zajednička priroda upozorenja, koje obuhvaća kibernetičku sigurnost, provedbu zakona i zdravstvene vlasti, naglašava kako je ransomware postao problem koji prelazi sektorske granice i koji nijedna agencija ne može riješiti sama.

Kako funkcionira Medusin plan napada

Ono što ovaj savjet čini značajnim jest slojeviti pristup koji opisuje. Umjesto jednostavnog napada šifriranja tipa "upadni i pokupi", operateri Meduse slijede metodičan slijed: dobiju pristup mreži, tiho izvuku vrijedne podatke, onemoguće sigurnosni softver koji bi ih trebao otkriti i tek onda pokrenu šifriranje cijele mreže. Riječ je o sada već poznatom modelu "dvostruke ucjenjivačke taktike" (double extortion), gdje su žrtve pod pritiskom i da plate za ključ za dešifriranje i da spriječe curenje ili prodaju ukradenih podataka.

Naglasak na uništavanju sigurnosnih alata posebno je zabrinjavajući. To sugerira da akteri Meduse ne samo da pasivno izbjegavaju otkrivanje, već aktivno neutraliziraju obrane na koje se organizacije oslanjaju, poput softvera za otkrivanje i odgovor na krajnjim točkama (EDR) ili antivirusnih agenata, prije nego što počne najštetnija faza napada. Do trenutka kada šifriranje počne, napadači su možda već imali slobodan pristup unutar mreže dulje vrijeme, što im je dalo priliku da mapiraju vrijedne sustave i maksimiziraju štetu koordiniranog gašenja.

Ovaj obrazac podsjeća na taktike viđene u drugim obiteljima ransomwarea koje su savezne agencije nedavno istaknule. CISA-in savjet o ransomwareu Gunra također je ukazao na napadače koji iskorištavaju slabosti u infrastrukturi udaljenog pristupa kako bi dobili početno uporište, što je podsjetnik da ransomware grupe često ciljaju iste kategorije ulaznih točaka: izložene udaljene servise, slabe vjerodajnice i nezakrpljeni softver.

Zašto šifriranje cijele mreže mijenja računicu

Šifriranje cijele mreže, umjesto nekoliko poslužitelja, dramatično podiže uloge za žrtve. To znači da sustavi za sigurnosne kopije, interne komunikacije i svakodnevni operativni alati mogu biti pogođeni istovremeno, što oporavak čini znatno složenijim i skupljim. Za bolnice, komunalna poduzeća i druge organizacije s kojima HHS i CISA redovito surađuju, ovakav prekid nije samo financijski problem, već može izravno utjecati na pružanje usluga i sigurnost.

Fokus savjeta na krađu podataka uz šifriranje također je važan za privatnost. Čak i organizacije koje imaju dobre sigurnosne kopije i mogu obnoviti sustave bez plaćanja otkupnine suočavaju se s činjenicom da su osjetljivi podaci, bilo da se radi o zdravstvenim kartonima, podacima o zaposlenicima ili povjerljivim poslovnim informacijama, možda već u rukama napadača. To je u skladu sa širim trendom koji su savezne agencije dokumentirale u kampanjama ransomwarea, gdje je prijetnja javnog curenja podataka postala jednako značajna poluga kao i samo šifriranje.

Što to znači za vas

Za većinu pojedinaca ovakvi savjeti o ransomwareu signal su organizacijskog rizika, a ne izravne osobne prijetnje, ali posljedice vas i dalje mogu doseći. Ako bolnica, poslodavac ili pružatelj usluga na kojeg se oslanjate bude kompromitiran od strane grupe poput Meduse, vaši osobni podaci mogu završiti izloženi ili vaš pristup uslugama može biti privremeno prekinut. Vrijedi obratiti pozornost na obavijesti o povredama podataka organizacija s kojima komunicirate te biti oprezan u tjednima nakon prijavljenog incidenta s neočekivanim zahtjevima za promjenu lozinke ili nepoznatom aktivnošću na računu.

Za IT i sigurnosne timove, savjet potvrđuje neke dugogodišnje osnove: pravodobno zakrpljivanje poznatih ranjivosti, ograničavanje i praćenje pristupa privilegiranih računa te osiguravanje da sigurnosni alati imaju omogućenu zaštitu od neovlaštenog mijenjanja (tamper protection) kako se ne bi mogli tiho onemogućiti. Segmentiranje mreža tako da jedan kompromitirani sustav ne može dovesti do šifriranja cijele mreže također je ključna obrana protiv ovakve vrste napada koju CISA opisuje. Iste ove osnove primjenjuju se široko, kao što se vidi u upozorenjima o taktikama lažnog predstavljanja Silent Ransom Group protiv odvjetničkih ureda, gdje je socijalni inženjering, a ne samo tehnički eksploati, otvorio vrata kompromitaciji.

Kako ostati ispred prijetnji ransomwarea

Medusa je jedna od nekoliko ransomware grupa koje su savezne agencije istaknule u nedavnim savjetima, a obrazac je dosljedan: prvo ukradi, onemogući obrane, zatim široko šifriraj. Organizacije koje ove savjete tretiraju kao provedive kontrolne popise, a ne kao pozadinsku buku, u znatno su boljoj poziciji da izbjegnu postati sljedeća studija slučaja. Za pojedince, informiranje o tome koje organizacije upravljaju vašim podacima i praćenje službenih obavijesti o povredama podataka ostaje najpraktičniji način reagiranja kada se ovakvi incidenti dogode.