의료 네트워크를 위한 새로운 연방 경고

CISA와 FBI가 병원 및 의료 기관을 대상으로 Gunra라는 활발한 랜섬웨어 작전에 대한 공동 사이버 보안 권고를 발표했습니다. 이 경고는 인터넷에 노출된 취약점( Fortinet 제품의 결함 포함)을 악용하여 네트워크에 침입하고 데이터를 암호화하기 전에 민감한 정보를 탈취하는 랜섬웨어-서비스(RaaS) 그룹에 대해 설명합니다.

이번이 Gunra에 대한 첫 번째 경고는 아닙니다. 미국, 한국, Gunra 랜섬웨어 위협 증가 경고에서 다룬 바와 같이, 당국은 이 그룹의 범위와 기술적 역량이 확장됨에 따라 한동안 이 그룹을 추적해 왔습니다. 최신 권고는 특히 의료, 정부 및 핵심 인프라 표적에 초점을 맞추고 있으며, 그룹이 네트워크에 침입한 후 어떻게 작전을 수행하는지 정확히 설명합니다.

Gunra 랜섬웨어 공격이 작동하는 방식

권고에 따르면, Gunra 계열사가 네트워크에 접근 권한을 획득하면 이중 갈취 모델을 따릅니다. 먼저, 그들은 데이터를 외부로 유출하여 아무도 눈치채기 전에 네트워크에서 파일을 복사합니다. 그런 다음 피해자의 시스템을 암호화하여 병원 직원이 의료 기록, 일정 관리 시스템 및 기타 핵심 인프라에 접근하지 못하도록 잠급니다.

압박 전술은 의료 표적에게 특히 공격적으로 작용합니다. 피해자에게는 Gunra가 다크 웹 유출 사이트에 탈취한 파일을 게시하겠다고 위협하기 전까지 단 5~7일의 시간만 주어집니다. 협상은 Tor 기반 포털을 통해 이루어지며, 그룹의 신원과 위치를 숨기면서도 피해자와의 직접적인 소통을 가능하게 합니다.

Gunra가 연방 기관에게 특히 우려되는 이유는 그 비즈니스 모델 때문입니다. 이 그룹은 다른 랜섬웨어 작전에서 계열사를 적극적으로 영입하며 수집된 몸값의 80%를 제공하고 있습니다. 이는 랜섬웨어-서비스 세계에서 이례적으로 후한 분배율로, Gunra가 네트워크 침투와 피해자 압박 방법을 이미 알고 있는 숙련된 운영자들을 끌어들여 빠르게 규모를 확장하려는 신호입니다.

병원이 주요 표적이 된 이유

의료 기관은 오랫동안 랜섬웨어 그룹에게 매력적인 표적이 되어 왔으며, 그 이유는 변하지 않았습니다. 병원은 가동 시간에 의존합니다. 잠긴 전자 건강 기록 시스템이나 정지된 일정 관리 플랫폼은 단순한 불편을 넘어 환자 치료를 지연시킬 수 있습니다. 이러한 긴박감은 빠르게 지불하라는 압박을 만들며, 이는 Gunra와 같은 그룹이 노리는 바로 그것입니다.

데이터 탈취 요소는 또 다른 위험 계층을 추가합니다. 환자 기록에는 일반적으로 이름, 주소, 사회보장번호, 보험 세부 정보 및 진료 이력이 포함되며, 이 모든 것은 다크 웹 시장에서 실제 가치가 있고 초기 공격 후 오랫동안 신원 도용이나 보험 사기에 사용될 수 있습니다. 유출 위협 전 5~7일의 카운트다운은 또한 병원이 의도적으로 스트레스가 많은 촉박한 기한 아래에서 고위험 결정을 내리도록 강요합니다.

인터넷에 노출된 취약점, 특히 권고에 따르면 Fortinet 제품의 결함을 악용하는 것은 많은 침해가 정교한 제로데이 공격보다는 알려지고 패치 가능한 결함에서 시작된다는 점을 상기시킵니다. 방화벽 및 VPN 게이트웨이와 같은 경계 장치 패치를 미루는 조직은 Gunra와 같은 그룹이 통과할 수 있는 열린 문을 남겨두는 것입니다.

이것이 당신에게 의미하는 바

병원이나 의료 시스템의 환자라면, 이 권고는 귀하의 의료 및 개인 정보가 이를 저장하는 시스템만큼만 안전하다는 것을 상기시킵니다. 귀하는 일반적으로 의료 기관이 표적이 되었는지 실시간으로 알 수 없지만, 데이터가 노출된 경우 피해를 제한하기 위한 조치를 취할 수 있습니다. 보험 명세서와 신용 보고서에서 익숙하지 않은 활동을 모니터링하고, 의료 기관으로부터 침해 통지를 받은 경우 사기 경보 또는 신용 동결을 고려하십시오.

의료 IT 또는 병원 행정 분야에서 일한다면, 이 권고는 특히 Fortinet 장치 및 기타 네트워크 경계 장비와 같은 인터넷에 노출된 인프라를 즉시 점검하여 패치가 최신 상태인지 확인하라는 신호여야 합니다. 단일 손상 장치가 환자 기록 시스템에 접근을 제공하지 않도록 네트워크를 분리하는 것도 또 다른 실용적인 방어책입니다. Gunra가 비정상적으로 높은 수익 분배율로 계열사를 적극적으로 모집하고 있다는 점을 고려할 때, 보안 팀은 향후 몇 달간 그룹의 공격 규모가 감소하는 것이 아니라 증가할 것이라고 가정해야 합니다.

핵심 요점

Gunra 랜섬웨어는 병원과 핵심 인프라를 구체적으로 표적으로 하는 증가하는 금전적 동기의 위협입니다. 그룹의 이중 갈취 방식은 공격적인 5~7일 몸값 기한과 결합되어 다운타임을 가장 감당할 수 없는 피해자에게 압박을 극대화하도록 설계되었습니다. 환자에게는 침해 통지에 주의를 기울이고 개인 계정을 모니터링하는 것이 최선의 방어책입니다. 의료 IT 팀에게는 알려진 취약점, 특히 경계 장치의 패치와 강력한 네트워크 분리 유지가 노출을 줄이기 위한 가장 즉각적이고 실행 가능한 조치입니다. 연방 기관이 Gunra의 확장을 계속 추적함에 따라, 이와 같은 권고를 통해 정보를 유지하는 것이 다음 공격보다 한 발 앞서 나가는 가장 간단한 방법 중 하나입니다.