A Medusa zsarolóvírus kiemelten célba veszi a kritikus infrastruktúrát

Egy Medusa néven ismert zsarolóvírus-szolgáltatás több mint 300, kritikus infrastruktúra ágazataiba tartozó szervezetet veszélyeztetett – áll a CISA, az FBI és az Egészségügyi Minisztérium közös közleményében. Az áldozatok között egészségügyi, feldolgozóipari, oktatási és technológiai szervezetek vannak – olyan iparágak, ahol egyetlen sikeres behatolás hetekre megzavarhatja a betegellátást, az ellátási láncokat vagy az alapvető szolgáltatásokat.

Ami miatt a Medusa nem csupán kiterjedtsége miatt figyelemre méltó, az a réteges nyomásgyakorlási taktika, amelyet az affiliáltjai arra használnak, hogy pénzt csikarjanak ki az áldozatokból jóval az eredeti behatolás után – valamint azok a nyugtalanító jelek, amelyek arra utalnak, hogy egyes áldozatokat ugyanazért a támadásért többször is zsarolnak meg.

Hogyan működik a Medusa kettős zsarolási modellje?

Sok modern zsarolóvírus-művelethez hasonlóan a Medusa sem csak titkosítja a fájlokat. Először érzékeny adatokat másol ki, majd azzal fenyegetőzik, hogy nyilvánosságra hozza azokat, hacsak az áldozat nem fizet. Ez a szokásos kettős zsarolási forgatókönyv: fizess az adatok visszafejtéséért, és fizess újra (vagy helyette) azért, hogy azok ne kerüljenek ki az internetre.

A Medusa pszichológiai csavart ad ehhez a nyomásgyakorlási kampányhoz. A csoport állítólag lehetőséget kínál az áldozatoknak, hogy pluszpénzért eltolják a visszaszámlálást az ellopott adatok közzététele előtt – gyakorlatilag pénzzé téve a közelgő határidő pánikját. Apró részletnek tűnik, de jól mutatja, hogy a zsarolóvírus-üzemeltetők üzletként kezelik a zsarolást, árszintekkel – nem pedig egyetlen ultimátumként.

Lehetséges hármas zsarolási csavar

Az FBI nyomozásainak legaggasztóbb megállapítása arra vonatkozik, hogy mi történik azután, hogy egy áldozat már fizetett. Legalább egy esetben egy olyan áldozatot, aki már kifizette a váltságdíjat, ismét megkerestek – ezúttal egy másik Medusa-hoz köthető szereplő –, aki újabb fizetést követelt a „valódi visszafejtőért". Ez arra utal, hogy az első fizetés vagy nem tartalmazott működő visszafejtő eszközt, vagy azt egy teljesen másik affiliált gyűjtötte be.

Ez két kellemetlen lehetőséget vet fel, amelyeket a nyomozók mérlegelnek: vagy a Medusa-affiliáltak informális hármas zsarolási rendszert működtetnek, és ugyanazt az áldozatot többször is megszorongatják; vagy a zsarolóvírus-szolgáltatás struktúrája annyira laza koordinációjúvá vált, hogy különböző szereplők egymástól függetlenül próbálnak hasznot húzni ugyanabból a támadásból anélkül, hogy tiszteletben tartanák a korábbi kifizetéseket. Az áldozatok számára a tanulság mindkét esetben ugyanaz: semmi garancia arra, hogy egy zsarolócsoportnak fizetve az incidens ténylegesen megoldódik, és azok a szervezetek, amelyek fizetnek, további ismételt követelésekkel szembesülhetnek.

Miért érte el újra és újra a kritikus infrastruktúrát?

A kritikus infrastruktúra szervezetei továbbra is vonzó célpontok, mert gyakran a régi és modern IT-rendszerek keverékét futtatják korlátozott biztonsági személyzettel, és mert a szolgáltatás megszakadása sürgős nyomást gyakorol a gyors fizetésre. Az egészségügyi szolgáltatók különösen élet- és biztonsági következményekkel szembesülnek, ha a rendszereik leállnak – ezt a zsarolócsoportok ismerik és ki is használják a határidők és váltságdíj-összegek meghatározásakor.

A Medusa-kampány mérete – több mint 300 megerősített áldozat – azt is mutatja, hogy a zsarolóvírus-szolgáltatás mennyire lecsökkentette a belépési küszöböt. Az affiliáltaknak nem kell saját kártevőt vagy infrastruktúrát építeniük; inkább bérlik a hozzáférést egy bevált eszköztárhoz és tárgyalási keretrendszerhez. Ez részben az oka annak, hogy az ilyen támadások több száz szervezetre terjedhetnek, nem pedig csak néhány nagy horderejű célpontra.

Mit jelent ez Önnek?

Ha Ön kórháznál, iskolarendszernél, gyártónál vagy közműszolgáltatónál dolgozik, vagy azok szolgáltatásaira támaszkodik, ez a kampány arra emlékeztet, hogy a zsarolóvírus nem elvont fenyegetés, amely csak a nagyvállalatokról szóló hírekben létezik. Aktívan sújtja azokat a szervezeteket, amelyek az Ön egészségügyi adatait, gyermeke iskolai adatait és a mindennapokban használt infrastruktúráját kezelik.

Az egyének számára a gyakorlati kockázat a személyes adatok nyilvánosságra kerülése, ha egy Önnel kapcsolatban álló szervezet a Medusa áldozatává válik, és nem fizet vagy nem tud fizetni. Az érintett szervezetek informatikai és biztonsági csapatai számára az FBI ismételt zsarolási követelésekről szóló megállapításai erős érv amellett, hogy ne feltételezzük: a fizetés garantálja a megoldást. A biztonsági mentés és helyreállítás tervezése, amely nem az elkövető együttműködésétől függ, továbbra is megbízhatóbb út.

Azt is érdemes megjegyezni, hogy a hálózati biztonság réteges probléma. Az olyan eszközöket, mint a VPN-ek, gyakran használják a kritikus rendszerek távoli elérésének biztosítására, de ezek sem sebezhetetlenek a zavarokkal vagy visszaélésekkel szemben – amint azt a nem kapcsolódó, de tanulságos esetek mutatják, például Oroszország lefagyasztja az internet sávszélességét a VPN-hozzáférés blokkolására, ahol maga a hozzáférési infrastruktúra vált ellenőrzési ponttá. Bármely egyetlen eszköz – legyen az VPN, tűzfal vagy biztonsági mentési rendszer – csak egy réteg a szélesebb védelmi stratégiában.

Gyakorlati tanulságok

  • A kritikus infrastruktúra ágazataiban működő szervezeteknek azt kell feltételezniük, hogy mérettől függetlenül életképes célpontok, és a váltságdíj kifizetése helyett az offline, tesztelt biztonsági mentéseket kell előnyben részesíteniük helyreállítási tervként.
  • Ne feltételezzük, hogy a Medusa váltságdíjának kifizetése véget vet az incidensnek; az FBI dokumentált eseteket a fizetés utáni ismételt követelésekről.
  • Az egyéneknek figyelemmel kell kísérniük a számláikat és a hitelaktivitásukat, ha értesítést kapnak arról, hogy egy szervezet, amely az adataikat kezeli, adatszivárgást szenvedett el.
  • Az informatikai csapatoknak át kell tekinteniük a CISA és az FBI közös közleményét a Medusa taktikáiról, és alkalmazniuk kell az ajánlott védelmi intézkedéseket, beleértve az ismerten kihasznált sebezhetőségek javítását és a többtényezős hitelesítés bevezetését.

A Medusa több mint 300 áldozatra növekedése azt mutatja, hogy a zsarolóvírus-szolgáltatásként működő csoportok gyorsabban finomítják zsarolási taktikáikat, mint ahogy sok szervezet a védelmét fejleszti. Az, hogy tájékozottak maradjunk ezeknek a kampányoknak a működéséről, és a helyreállítást a rugalmasságra – nem pedig a váltságdíj fizetésére – építsük, továbbra is a legmegbízhatóbb módja a károk csökkentésének, amikor – nem pedig ha – támadás következik be.