Novo savezno upozorenje za zdravstvene mreže

CISA i FBI izdali su zajedničko kibernetičko sigurnosno upozorenje upozoravajući bolnice i zdravstvene organizacije na aktivnu ransomware operaciju pod nazivom Gunra. Upozorenje opisuje ransomware-as-a-service (RaaS) skupinu koja iskorištava ranjivosti izložene internetu, uključujući greške u Fortinet proizvodima, kako bi provalila u mreže i ukrala osjetljive podatke prije nego što ih šifrira.

Ovo nije prvo upozorenje o Gunri. Kao što je opisano u članku SAD i Južna Koreja upozoravaju na rastuću prijetnju ransomwareom Gunra, nadležna tijela već neko vrijeme prate ovu skupinu dok širi svoj doseg i tehničke sposobnosti. Najnovije upozorenje dodatno se fokusira posebno na zdravstvene, vladine i infrastrukture kritične važnosti te detaljno opisuje kako skupina djeluje nakon što uđe u mrežu.

Kako funkcionira napad ransomwareom Gunra

Prema upozorenju, nakon što Gunra pridruženi članovi dobiju pristup mreži, slijede model dvostruke iznude. Prvo, eksfiltriraju podatke, kopirajući datoteke iz mreže prije nego što itko to primijeti. Zatim šifriraju žrtvine sustave, zaključavajući bolničko osoblje izvan zapisa, sustava za raspoređivanje i druge kritične infrastrukture.

Taktika pritiska posebno je agresivna kada su u pitanju zdravstveni ciljevi. Žrtvama se daje samo pet do sedam dana za plaćanje prije nego što Gunra zaprijeti objavom ukradenih datoteka na stranici za curenje podataka na dark webu. Pregovori se odvijaju putem portala temeljenog na Toru, koji skriva identitet i lokaciju skupine, dok istovremeno omogućuje izravnu komunikaciju sa žrtvama.

Ono što Gunru čini posebno zabrinjavajućom za savezne agencije jest njezin poslovni model. Skupina aktivno regrutira pridružene članove iz drugih ransomware operacija nudeći im 80% udjela u svakoj naplaćenoj otkupnini. To je neobično velikodušan omjer u svijetu ransomware-as-a-servicea i signalizira da Gunra pokušava brzo narasti privlačeći iskusne operatere koji već znaju kako provaliti u mreže i vršiti pritisak na žrtve.

Zašto su bolnice glavna meta

Zdravstvene organizacije dugo su bile atraktivna meta za ransomware skupine, a razlozi se nisu promijenili. Bolnice funkcioniraju na neprekidnom radu. Zaključani sustav elektroničkih zdravstvenih zapisa ili zamrznuta platforma za raspoređivanje ne stvara samo neugodnost, već može odgoditi skrb o pacijentima. Ta hitnost stvara pritisak za brzo plaćanje, što je upravo ono na što skupine poput Gunre računaju.

Komponenta krađe podataka dodaje dodatni sloj rizika. Zapisi o pacijentima obično uključuju imena, adrese, brojeve socijalnog osiguranja, podatke o osiguranju i medicinske povijesti, a sve to ima stvarnu vrijednost na tržištima dark weba i može se koristiti za krađu identiteta ili prijevare u osiguranju dugo nakon početnog napada. Odbrojavanje od pet do sedam dana prije prijetnje curenjem podataka također znači da su bolnice prisiljene donositi odluke s visokim ulozima pod kratkim i namjerno stresnim rokom.

Iskorištavanje ranjivosti izloženih internetu, posebno u Fortinet proizvodima prema upozorenju, podsjetnik je da mnoge provale počinju poznatim greškama koje se mogu zakrpati, a ne sofisticiranim zero-day napadima. Organizacije koje kasne s zakrpama rubnih uređaja poput vatrozida i VPN pristupnika ostavljaju otvorena vrata kroz koja skupine poput Gunre mogu ući.

Što to znači za vas

Ako ste pacijent u bolnici ili zdravstvenom sustavu, ovo upozorenje podsjetnik je da su vaši medicinski i osobni podaci jednako sigurni koliko i sustavi koji ih pohranjuju. Općenito nećete znati u stvarnom vremenu je li vaš pružatelj usluga bio meta, ali možete poduzeti korake kako biste ograničili štetu ako vaši podaci ikada budu izloženi. Pratite svoje izvode osiguranja i kreditna izvješća za nepoznate aktivnosti i razmislite o postavljanju upozorenja o prijevari ili zamrzavanju kredita ako primite obavijest o povredi podataka od zdravstvenog pružatelja.

Ako radite u zdravstvenoj IT industriji ili bolničkoj administraciji, ovo upozorenje trebalo bi potaknuti trenutačnu provjeru infrastrukture izložene internetu, posebno Fortinet uređaja i druge mrežne periferne opreme, kako biste potvrdili da su zakrpe ažurne. Segmentacija mreža tako da jedan kompromitirani uređaj ne pruža pristup sustavima s zapisima o pacijentima još je jedna praktična obrana. S obzirom na to da Gunra aktivno regrutira pridružene članove s neobično visokim udjelom prihoda, sigurnosni timovi trebali bi pretpostaviti da će se broj napada skupine povećati u nadolazećim mjesecima, a ne smanjiti.

Ključni zaključci

Ransomware Gunra predstavlja rastuću i financijski motiviranu prijetnju koja posebno cilja bolnice i kritičnu infrastrukturu. Pristup dvostruke iznude skupine, u kombinaciji s agresivnim rokom za otkupninu od pet do sedam dana, osmišljen je kako bi se maksimizirao pritisak na žrtve koje si najmanje mogu priuštiti prekid rada. Za pacijente, oprez u vezi s obavijestima o povredi podataka i praćenje osobnih računa ostaje najbolja obrana. Za zdravstvene IT timove, zakrpanje poznatih ranjivosti, posebno na rubnim uređajima, i održavanje snažne mrežne segmentacije najneposredniji su i najpraktičniji koraci za smanjenje izloženosti. Dok savezne agencije nastavljaju pratiti širenje Gunre, informiranje putem ovakvih upozorenja jedan je od najjednostavnijih načina da ostanete korak ispred sljedećeg napada.