CISA megerősíti a BianLian taktikájának jelentős változását
A Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökség megerősítette, hogy a BianLian, a korábban kórházi hálózatok lezárásáról ismert zsarolóvírus-csoport 2024 januárjától teljesen felhagyott a fájlok titkosításával. Az adatok összekuszálása és a visszafejtő kulcsért való fizetés követelése helyett a csoport most kizárólag érzékeny információk ellopására összpontosít, és azzal fenyeget, hogy nyilvánosságra hozza azokat, ha az áldozatok nem fizetnek.
Ez a megerősítés azért fontos, mert a zsarolóvírus-üzemeltetők üzleti modelljének szélesebb körű változását jelzi. Évekig a szokásos módszer az volt, hogy titkosították az áldozat fájljait, váltságdíj-üzenetet hagytak, és a szervezeteket arra kényszerítették, hogy válasszanak a visszafejtő kulcsért való fizetés vagy a biztonsági mentésekből való helyreállítás között. A BianLian elmozdulása ettől a modelltől azt mutatja, hogy az adatlopás önmagában, a titkosítás plusz lépése nélkül is ugyanolyan jövedelmező, és lényegesen kevésbé bonyolult végrehajtani.
A titkosítástól a zsarolásig: miért számít ez a változás?
Egy teljes hálózat titkosítása időt, számítási erőforrásokat és olyan szintű hozzáférést igényel, amely növeli a lebukás esélyét, mielőtt a támadás befejeződik. Az adatok hálózatról való lemásolása és csendes távozás gyorsabb, valós időben nehezebb észrevenni, és továbbra is erős nyomást gyakorol az áldozatra. Ha egy csoport betegadatokat, pénzügyi dokumentumokat vagy belső kommunikációt tud kiszivárogtatni, az adatok nyilvános közzétételének fenyegetése gyakran elegendő ahhoz, hogy az áldozatot fizetésre késztesse.
Ez a megközelítés kikerüli azokat a védelmi intézkedéseket is, amelyeket a szervezetek a titkosításalapú támadások ellen építettek ki. Sok vállalat jelentős összegeket fektetett biztonsági mentési és helyreállítási rendszerekbe, hogy tompítsa a fájlzáró zsarolóvírusok hatását. Ezek a mentések semmit sem érnek egy olyan csoport ellen, amely eleinte nem is nyúlt a fájlok sértetlenségéhez – egyszerűen lemásolta az adatokat és távozott. A CISA megerősítése erről a váltásról egybevág az ügynökség által szorosan követett mintával, beleértve azokat az eseteket, amikor a zsarolóvírus-csoportok széles körben kezdték kihasználni a nagy súlyosságú hibákat, amint azok nyilvánosságra kerültek, ahogy azt láthattuk, amikor a CISA megerősítette, hogy zsarolóvírus-bandák használják ki a BlueHammer hibát nagy méretekben, ahelyett, hogy csak szűk, célzott támadásokra tartogatták volna.
Az egészségügyi szervezetek továbbra is célkeresztben vannak
A BianLian kórházi hálózatokat célzó múltjára érdemes odafigyelni, még a csoport taktikájának megváltozása ellenére is. Az egészségügyi szervezetek birtokolják a létező legérzékenyebb személyes adatok egy részét, például kórtörténeteket, biztosítási adatokat és kezelési feljegyzéseket. Ez az érzékenység az oka annak, hogy az adatlopásos zsarolás olyan jól működik ebben az ágazatban. Egy kórház, amely a betegadatok közzétételének vagy eladásának lehetőségével szembesül, erős ösztönzést érez a gyors fizetésre, függetlenül attól, hogy rendszereit titkosították-e valaha.
A hálózatokba való kezdeti bejutás gyakran továbbra is ismert sebezhetőségek kihasználásán múlik – ezt a mintát a CISA ismételten dokumentálta az Ismerten Kihasznált Sebezhetőségek katalógusában. Az ügynökség legutóbbi jelzése egy Linux rendszerjogosultság-kiterjesztési hibáról, amelyet már aktívan kihasználnak jól mutatja, hogy a támadók továbbra is a javítatlan rendszerekre támaszkodnak belépési pontként, függetlenül attól, hogy mit tesznek, miután bejutottak.
Mit jelent ez Önnek?
Ha az Ön szervezete érzékeny adatokat kezel – legyen az kórház, kisvállalkozás vagy bármilyen ügyfélinformációkat tároló entitás –, ez a változás átalakítja, hogy milyennek kell lennie a „zsarolóvírus-védelemnek”. A biztonsági mentési stratégiák továbbra is fontosak, de önmagukban már nem elegendőek. Az olyan adatlopásos támadások, mint a BianLian újabb megközelítése, megkövetelik, hogy a szervezetek ugyanolyan nagy hangsúlyt fektessenek az illetéktelen hozzáférés megelőzésére és a szokatlan kimenő adatforgalom figyelésére, mivel a kár a fájlok hálózatból való távozásának pillanatában következik be, nem pedig akkor, amikor titkosítják őket.
Magánszemélyek számára a tanulság személyesebb. Ha egy olyan szervezet, amely az Ön orvosi adatait, pénzügyi adatait vagy személyes információit tárolja, adatlopásos támadás áldozatává válik, lehet, hogy soha nem találkozik váltságdíj-üzenettel, és nem hall titkosított rendszerekről. A probléma első jele egyszerűen egy adatvédelmi incidensről szóló értesítő levél lehet, vagy ami még rosszabb, hogy felfedezi, hogy az adatait eladásra kínálják vagy kiszivárogtatták az interneten.
Gyakorlati teendők
A szervezeteknek előnyben kell részesíteniük a hálózatfigyelő eszközöket, amelyek képesek jelezni a nagy vagy szokatlan adatátviteleket, nem csupán a zsarolóvírus-specifikus titkosítási riasztásokat. Az ismert sebezhetőségek gyors javítása továbbra is alapvető fontosságú, mivel a kezdeti hozzáférés még mindig jellemzően a javítatlan rendszerek kihasználásán múlik. Az egyéneknek figyelniük kell az egészségügyi szolgáltatóktól és pénzügyi intézményektől érkező adatvédelmi incidensértesítésekre, és ha kapnak ilyet, fontolják meg a hitelfigyelési vagy személyazonosság-lopás elleni védelmi szolgáltatások igénybevételét. Ahogy a BianLianhoz hasonló zsarolóvírus-csoportok folytatják módszereik átalakítását, a legjobb védelem az, ha tájékozottak maradunk ezekről a változásokról, ahelyett, hogy azt feltételeznénk, a tegnapi védelmek lefedik a mai fenyegetéseket.
