Új szövetségi figyelmeztetés az egészségügyi hálózatoknak

A CISA és az FBI közös kiberbiztonsági figyelmeztetést adott ki, amelyben kórházakat és egészségügyi szervezeteket intenek óva egy aktív, Gunra nevű zsarolóvírus-művelettől. A figyelmeztetés egy ransomware-as-a-service (RaaS) csoportot ír le, amely internetfelületű sebezhetőségeket, köztük Fortinet-termékek hibáit használja ki, hogy betörjön hálózatokba, érzékeny adatokat lopjon el, majd titkosítsa azokat.

Ez nem az első figyelmeztetés a Gunrával kapcsolatban. Ahogy arról az Az Egyesült Államok és Dél-Korea figyelmeztet a növekvő Gunra zsarolóvírus-veszélyre című cikkben is beszámoltunk, a hatóságok már egy ideje nyomon követik ezt a csoportot, ahogy bővíti hatókörét és technikai képességeit. A legújabb figyelmeztetés kifejezetten az egészségügyi, kormányzati és kritikus infrastruktúrára irányuló célpontokra élezi ki a figyelmet, és pontosan bemutatja, hogyan működik a csoport, miután bejutott egy hálózatba.

Hogyan működik a Gunra zsarolóvírus-támadás

A figyelmeztetés szerint a Gunra-affiliates a hálózathoz való hozzáférés megszerzése után kettős zsarolási modellt követ. Először adatokat szivárogtatnak ki, fájlokat másolnak le a hálózatról, mielőtt bárki észrevenné. Ezután titkosítják az áldozat rendszereit, kizárva a kórházi személyzetet a nyilvántartásokból, az ütemezési rendszerekből és más kritikus infrastruktúrából.

A nyomásgyakorlási taktika az, ahol a dolgok különösen agresszívvé válnak az egészségügyi célpontok esetében. Az áldozatoknak csak öt-hét napjuk van fizetni, mielőtt a Gunra azzal fenyeget, hogy közzéteszi az ellopott fájlokat egy darknetes szivárogtató oldalon. A tárgyalások egy Tor-alapú portálon zajlanak, ami elrejti a csoport kilétét és helyét, miközben lehetővé teszi a közvetlen kommunikációt az áldozatokkal.

Ami a Gunrát különösen aggasztóvá teszi a szövetségi ügynökségek számára, az az üzleti modellje. A csoport aktívan csábít el affiliates tagokat más zsarolóvírus-műveletektől azzal, hogy 80%-os részesedést kínál a beszedett váltságdíjból. Ez szokatlanul nagyvonalú felosztás a ransomware-as-a-service világában, és azt jelzi, hogy a Gunra gyors méretnövekedésre törekszik azáltal, hogy tapasztalt operátorokat von be, akik már tudják, hogyan kell feltörni hálózatokat és nyomást gyakorolni az áldozatokra.

Miért jelentenek elsődleges célpontot a kórházak

Az egészségügyi szervezetek régóta vonzó célpontjai a zsarolóvírus-csoportoknak, és az okok nem változtak. A kórházak a folyamatos működésre épülnek. Egy zárolt elektronikus egészségügyi nyilvántartó rendszer vagy egy lefagyott ütemezési platform nem csupán kellemetlenséget okoz, hanem késleltetheti a betegellátást. Ez a sürgősség nyomást hoz létre a gyors fizetésre, ami pontosan arra számítanak az olyan csoportok, mint a Gunra.

Az adatlopási összetevő további kockázati réteget ad. A betegnyilvántartások jellemzően neveket, címeket, társadalombiztosítási számokat, biztosítási adatokat és kórtörténetet tartalmaznak, amelyek mindegyikének valódi értéke van a darknetes piacokon, és személyazonosság-lopásra vagy biztosítási csalásra használhatók fel jóval a kezdeti támadás után. Az öt-hét napos visszaszámlálás a szivárogtatási fenyegetés előtt azt is jelenti, hogy a kórházak kénytelenek nagy tétű döntéseket hozni szoros és szándékosan stresszes határidő alatt.

Az internetfelületű sebezhetőségek kihasználása – különösen a Fortinet-termékekben, a figyelmeztetés szerint – emlékeztető arra, hogy sok betörés ismert, javítható hibákkal kezdődik, nem pedig kifinomult nulla napos támadásokkal. Azok a szervezetek, amelyek lemaradnak a peremhálózati eszközök, például tűzfalak és VPN-átjárók javításával, nyitva hagyják az ajtót az olyan csoportok előtt, mint a Gunra.

Mit jelent ez az Ön számára

Ha Ön kórház vagy egészségügyi rendszer páciense, ez a figyelmeztetés emlékeztető arra, hogy az Ön orvosi és személyes adatai csak annyira biztonságosak, mint az azt tároló rendszerek. Általában nem fogja valós időben megtudni, hogy az egészségügyi szolgáltatója célponttá vált-e, de tehet lépéseket a károk korlátozására, ha adatai valaha is nyilvánosságra kerülnek. Figyelje biztosítási kimutatásait és hiteljelentéseit ismeretlen tevékenységre, és fontolja meg csalásfigyelmeztetés vagy hitelzárolás elhelyezését, ha adatszivárgási értesítést kap egy egészségügyi szolgáltatótól.

Ha egészségügyi IT-ben vagy kórházi adminisztrációban dolgozik, ennek a figyelmeztetésnek az internetfelületű infrastruktúra – különösen a Fortinet-eszközök és más hálózati peremrendszerek – azonnali ellenőrzését kell kiváltania, hogy megbizonyosodjon a javítások naprakészségéről. A hálózati szegmentáció, amely biztosítja, hogy egyetlen feltört eszköz ne biztosítson hozzáférést a betegnyilvántartó rendszerekhez, szintén gyakorlati védelem. Tekintettel arra, hogy a Gunra aktívan toboroz affiliates tagokat szokatlanul magas bevételmegosztással, a biztonsági csapatoknak feltételezniük kell, hogy a csoport támadási volumene a következő hónapokban növekedni fog, nem csökkenni.

Főbb tanulságok

A Gunra zsarolóvírus egy növekvő és anyagilag motivált fenyegetést jelent, amely kifejezetten a kórházakat és a kritikus infrastruktúrát célozza. A csoport kettős zsarolási megközelítése – kombinálva az agresszív öt-hét napos váltságdíj-határidővel – arra szolgál, hogy maximalizálja a nyomást azokon az áldozatokon, akik a legkevésbé engedhetik meg maguknak az állásidőt. A páciensek számára a legjobb védelem továbbra is az adatszivárgási értesítésekre való éberség és a személyes fiókok figyelése. Az egészségügyi IT-csapatok számára az ismert sebezhetőségek – különösen a peremeszközökön – javítása és az erős hálózati szegmentáció fenntartása a legközvetlenebb és leginkább végrehajtható lépések a kitettség csökkentésére. Amíg a szövetségi ügynökségek továbbra is nyomon követik a Gunra terjeszkedését, az olyan figyelmeztetéseken keresztüli tájékozottság, mint ez, az egyik legegyszerűbb módja annak, hogy egy lépéssel a következő támadás előtt járjunk.