CISA bekrefter et stort skifte i BianLians taktikk

Cybersecurity and Infrastructure Security Agency har bekreftet at BianLian, en ransomware-gruppe som en gang var kjent for å lamme sykehusnettverk, sluttet helt å kryptere filer fra og med januar 2024. I stedet for å kryptere data og kreve betaling for en dekrypteringsnøkkel, fokuserer gruppen nå utelukkende på å stjele sensitiv informasjon og truer med å lekke den dersom ofrene ikke betaler.

Denne bekreftelsen er viktig fordi den signaliserer en bredere endring i hvordan ransomware-aktører driver virksomhet. I årevis gikk standardmetoden ut på å kryptere offerets filer, legge igjen et løsepengenotat og tvinge organisasjoner til å velge mellom å betale for en dekrypteringsnøkkel eller å gjenopprette fra sikkerhetskopier. BianLians skifte bort fra den modellen viser at datatyveri alene, uten det ekstra steget med kryptering, kan være like lønnsomt og betydelig mindre komplisert å gjennomføre.

Fra kryptering til utpressing: Hvorfor skiftet er viktig

Å kryptere et helt nettverk tar tid, krever datakraft og et tilgangsnivå som øker risikoen for oppdagelse før angrepet er fullført. Bare å kopiere filer ut av et nettverk og stikke seg stille unna er raskere, vanskeligere å oppdage i sanntid og gir angriperne like kraftige overtaksmuligheter. Dersom en gruppe kan eksfiltrere pasientjournaler, finansdokumenter eller internkommunikasjon, er trusselen om å publisere disse dataene offentlig ofte nok til å presse et offer til å betale.

Denne tilnærmingen omgår også noen av forsvarsverkene organisasjoner har bygget opp mot krypteringsbaserte angrep. Mange selskaper har investert tungt i sikkerhetskopi- og gjenopprettingssystemer nettopp for å dempe virkningen av filkrypterende ransomware. Disse sikkerhetskopiene hjelper ingenting mot en gruppe som aldri rørte ved filenes integritet i utgangspunktet – de bare kopierte dataene og dro. CISAs bekreftelse av dette skiftet passer inn i et mønster byrået har fulgt tett, inkludert tilfeller der ransomware-grupper har gått over til å utnytte alvorlige sårbarheter i stor skala når de først blir offentlig kjent, slik man så da CISA bekreftet at ransomware-gjenger utnytter BlueHammer-sårbarheten i stor skala i stedet for å reservere den for smale, målrettede angrep.

Helseorganisasjoner forblir i skuddlinjen

BianLians historie med å angripe sykehusnettverk er verdt å følge med på, selv om gruppen har endret taktikk. Helseorganisasjoner besitter noen av de mest sensitive persondataene som finnes, inkludert sykehistorikk, forsikringsdetaljer og behandlingsjournaler. Denne sensitiviteten er nettopp grunnen til at datatyveri-utpressing fungerer så godt mot denne sektoren. Et sykehus som risikerer at pasientjournaler blir publisert eller solgt, har sterke insentiver til å betale raskt, uavhengig av om systemene deres noen gang ble kryptert.

Tilgang til disse nettverkene avhenger ofte fremdeles av å utnytte kjente sårbarheter, et mønster CISA har dokumentert gang på gang i sin katalog over kjente utnyttede sårbarheter. Byråets nylige flagging av en Linux-rettighetseskaleringsfeil som allerede utnyttes aktivt illustrerer hvordan angripere fortsatt baserer seg på upatchede systemer som inngangsport, uavhengig av hva de gjør når de først er inne.

Hva dette betyr for deg

Dersom organisasjonen din håndterer sensitive data – enten det er et sykehus, en liten bedrift eller en hvilken som helst enhet som lagrer kundeinformasjon – endrer dette skiftet hva «ransomware-beskyttelse» må omfatte. Strategier for sikkerhetskopiering er fortsatt viktige, men de er ikke lenger tilstrekkelige alene. Datatyveriangrep som BianLians nyere tilnærming krever at organisasjoner legger like stor vekt på å forhindre uautorisert tilgang og overvåke uvanlig utgående dataoverføring, ettersom skaden skjer i det øyeblikket filer forlater nettverket, ikke når de blir kryptert.

For enkeltpersoner er lærdommen mer personlig. Dersom en organisasjon som oppbevarer dine medisinske journaler, finansdetaljer eller personopplysninger blir offer for et datatyveriangrep, vil du kanskje aldri se noe løsepengenotat eller høre om krypterte systemer. Det første tegnet på problemer kan rett og slett være et varsel om datainnbrudd, eller enda verre, at du oppdager informasjonen din til salgs eller lekket på nettet.

Praktiske råd

Organisasjoner bør prioritere nettverksovervåkingsverktøy som kan flagge store eller uvanlige dataoverføringer, ikke bare ransomware-spesifikke krypteringsalarmer. Rask patching av kjente sårbarheter forblir avgjørende, siden tilgang fremdeles typisk avhenger av å utnytte upatchede systemer. Enkeltpersoner bør være oppmerksomme på varsler om datainnbrudd fra helsetilbydere og finansinstitusjoner, og vurdere kredittovervåking eller identitetstyveribeskyttelse dersom de mottar et slikt varsel. I takt med at ransomware-grupper som BianLian fortsetter å tilpasse metodene sine, er det å holde seg informert om disse skiftene – fremfor å anta at gårsdagens forsvar fremdeles dekker dagens trusler – den beste beskyttelsen som finnes.