CISA, FBI, NSA waarschuwen voor Gunra-ransomware die de gezondheidszorg treft

Federale agentschappen slaan alarm over een snel bewegende ransomwarebedreiging

Een coalitie van Amerikaanse federale agentschappen, waaronder CISA, de FBI, NSA, het Department of Defense Cyber Crime Center (DC3) en de U.S. Secret Service, heeft een gezamenlijk cybersecurityadvies uitgebracht waarin organisaties worden gewaarschuwd voor Gunra-ransomware. Ook Zuid-Koreaanse autoriteiten sloten zich bij het advies aan, wat aangeeft dat dit geen lokaal probleem is, maar een actieve, grensoverschrijdende dreiging.

Gunra opereert als ransomware-as-a-service (RaaS), wat betekent dat de malware zelf door één groep wordt ontwikkeld en vervolgens in licentie wordt gegeven aan affiliates die de daadwerkelijke aanvallen uitvoeren. Dit bedrijfsmodel is gemeengoed geworden in het ransomware-ecosysteem omdat het de technische drempel voor het lanceren van aanvallen verlaagt en de operatie verspreidt over een breder netwerk van criminelen, waardoor het voor verdedigers moeilijker wordt om één enkel punt van oorsprong te traceren.

Volgens het advies dat wordt behandeld in CISA en FBI waarschuwen voor Gunra-ransomware met dubbele afpersing, hebben affiliates die Gunra gebruiken al organisaties aangevallen in de sectoren gezondheidszorg en volksgezondheid, financiële dienstverlening, overheidsdiensten en productie. De breedte van deze doelwitten weerspiegelt een strategie die gebruikelijk is bij ransomware-operators: organisaties raken die zich geen langdurige uitval kunnen veroorloven en daarom eerder geneigd zijn snel te betalen.

Hoe het dubbele-afpersingsmodel werkt

Wat Gunra bijzonder gevaarlijk maakt, is de aanpak met dubbele afpersing. In plaats van slachtoffers simpelweg buiten hun eigen systemen te sluiten door middel van versleuteling, stelen Gunra-affiliates eerst gevoelige gegevens uit het netwerk van een doelwit. Pas nadat de gegevens zijn gekopieerd, zetten ze de versleutelingspayload in die bestanden ontoegankelijk maakt.

Deze tweeledige tactiek geeft aanvallers extra hefboomwerking. Zelfs als een getroffen organisatie over goede back-ups beschikt en haar systemen kan herstellen zonder losgeld te betalen, hebben de aanvallers nog steeds gestolen gegevens in handen. Ze dreigen deze informatie te publiceren op een speciale leksite tenzij er wordt betaald, waardoor een technische verstoring verandert in een potentiële privacy- en reputatiecrisis. Voor sectoren zoals de gezondheidszorg, waar gestolen gegevens patiëntendossiers, verzekeringsgegevens en persoonlijke gezondheidsinformatie kunnen omvatten, creëert dit een samengesteld risico dat veel verder gaat dan een tijdelijke storing.

Dubbele afpersing is de industriestandaard geworden voor grote ransomware-operaties omdat het werkt. Alleen versleuteling kan vaak worden ondervangen met de juiste back-upstrategieën, maar de dreiging van een openbare gegevensdump zet druk die back-ups niet kunnen oplossen. Zodra gegevens zijn gestolen, zijn ze gestolen, ongeacht of het slachtoffer later weer toegang tot zijn systemen krijgt.

Waarom vitale diensten een belangrijk doelwit zijn

Zorgverleners, overheidsinstanties en exploitanten van kritieke infrastructuur delen een gemeenschappelijke kwetsbaarheid: ze kunnen geen lange storingen verdragen. Een ziekenhuis dat de toegang tot patiëntendossiers of planningssystemen verliest, wordt onmiddellijk geconfronteerd met operationele en veiligheidsconsequenties. Overheidsdiensten die uitkeringen, vergunningen of noodhulp beheren, zijn afhankelijk van continue beschikbaarheid van systemen. Deze urgentie is precies waar ransomware-affiliates op rekenen bij het berekenen van losgeldeisen en tijdlijnen.

De betrokkenheid van meerdere federale agentschappen, samen met internationale partners in Zuid-Korea, onderstreept hoe serieus deze dreiging wordt genomen. Wanneer CISA, de FBI, NSA, DC3 en de Secret Service gezamenlijk één advies opstellen, betekent dat doorgaans dat de dreiging is waargenomen bij meerdere bevestigde incidenten en niet bij een enkel geïsoleerd geval. Organisaties in de genoemde sectoren moeten dit beschouwen als een signaal om hun eigen blootstelling nu te herzien, in plaats van te wachten op een directe waarschuwing.

Wat dit voor u betekent

Als u werkt in de gezondheidszorg, de overheid, de financiële dienstverlening of de productie, is dit advies een directe oproep tot actie voor de IT- en beveiligingsteams van uw organisatie. Maar ook buiten deze sectoren zijn er bredere lessen voor iedereen die zich zorgen maakt over hoe zijn persoonlijke gegevens worden behandeld door instellingen waarvan hij afhankelijk is.

Ransomware met dubbele afpersing betekent dat een inbreuk bij uw zorgverlener, bank of lokale overheidsinstantie uw persoonlijke gegevens kan blootstellen, zelfs als die organisatie weigert losgeld te betalen en haar systemen op normale wijze herstelt. De gegevensdiefstal vindt plaats vóór de versleuteling, dus de schade aan uw privacy is vaak al geleden op het moment dat een aanval openbaar wordt.

Dit is een goed moment om na te gaan hoe de organisaties die uw gevoelige gegevens bewaren, communiceren over beveiligingsincidenten, en om alert te blijven op meldingen van datalekken van zorgverleners, werkgevers of overheidsdiensten waarmee u te maken hebt.

Concrete aandachtspunten

• Als u een melding van een datalek ontvangt van een zorgverlener, bank of overheidsinstantie, neem die dan serieus en controleer uw rekeningen en kredietrapporten op ongebruikelijke activiteit.
• Gebruik unieke, sterke wachtwoorden voor accounts die gekoppeld zijn aan zorgportalen, financiële diensten en overheidslogins, en schakel meervoudige authenticatie in waar deze wordt aangeboden.
• Wees voorzichtig met phishing-e-mails of telefoontjes die verwijzen naar een recent datalek, aangezien aanvallers vaak misbruik maken van openbare adviezen om opvolgingsscams uit te voeren.
• Als u in een getroffen sector werkt, zorg er dan voor dat uw organisatie de technische indicatoren uit het gezamenlijke advies heeft beoordeeld en haar incidentresponsplan dienovereenkomstig heeft bijgewerkt.

Gunra-ransomware herinnert ons eraan dat gegevensdiefstal en systeemverstoring nu hand in hand gaan. Op de hoogte blijven van adviezen zoals deze, en begrijpen hoe tactieken met dubbele afpersing werken, helpt zowel organisaties als individuen om effectiever te reageren wanneer de volgende waarschuwing arriveert.