CISA, FBI, NSA advarer mot Gunra-ransomware som rammer helsesektoren

Føderale etater slår alarm om en hurtigspredende ransomware-trussel

En koalisjon av amerikanske føderale etater, inkludert CISA, FBI, NSA, Department of Defense Cyber Crime Center (DC3) og U.S. Secret Service, har utstedt en felles cybersikkerhetsrådgivning som advarer organisasjoner om Gunra-ransomware. Sørkoreanske myndigheter har også sluttet seg til rådgivningen, noe som signaliserer at dette ikke er et lokalt problem, men en aktiv, grenseoverskridende trussel.

Gunra opererer som ransomware-as-a-service (RaaS), noe som betyr at selve skadevaren utvikles av én gruppe og deretter lisensieres ut til tilknyttede aktører (affiliates) som utfører de faktiske angrepene. Denne forretningsmodellen har blitt vanlig i ransomware-økosystemet fordi den senker den tekniske terskelen for å iverksette angrep og sprer operasjonen over et bredere nettverk av kriminelle, noe som gjør det vanskeligere for forsvarere å spore et enkelt opprinnelsespunkt.

Ifølge rådgivningen omtalt i CISA og FBI advarer om Gunra-ransomwares doble utpressing, har tilknyttede aktører som bruker Gunra allerede rettet angrep mot organisasjoner innen helse- og folkehelsesektoren, finansielle tjenester, offentlige tjenester og produksjonsindustri. Bredden i disse målene gjenspeiler en strategi som er vanlig blant ransomware-operatører: å ramme organisasjoner som ikke har råd til langvarig nedetid og derfor er mer tilbøyelige til å betale raskt.

Slik fungerer dobbelutpressingsmodellen

Det som gjør Gunra spesielt farlig, er deres tilnærming med dobbel utpressing. I stedet for bare å låse ofrene ute av systemene deres gjennom kryptering, stjeler Gunra-tilknyttede aktører først sensitive data fra målets nettverk. Først etter at dataene er kopiert, utløser de krypteringslasten som gjør filene utilgjengelige.

Denne tosidige taktikken gir angriperne ekstra pressmiddel. Selv om en offerorganisasjon har solide sikkerhetskopier og kan gjenopprette systemene sine uten å betale løsepenger, holder angriperne fortsatt de stjålne dataene som gissel. De truer med å offentliggjøre denne informasjonen på en dedikert lekkasjeside med mindre betaling utføres, og gjør dermed en teknisk forstyrrelse til en potensiell personvern- og omdømmekrise. For sektorer som helsevesenet, der stjålne data kan inkludere pasientjournaler, forsikringsdetaljer og personlig helseinformasjon, skaper dette en sammensatt risiko som går langt utover et midlertidig driftsavbrudd.

Dobbel utpressing har blitt bransjestandarden for større ransomware-operasjoner fordi det fungerer. Kryptering alene kan ofte bekjempes med gode sikkerhetskopieringsstrategier, men trusselen om offentlig datadumping legger et press som sikkerhetskopier ikke kan løse. Når data først er stjålet, er de stjålet, uavhengig av om offeret senere får tilgang til systemene sine igjen.

Hvorfor kritiske tjenester er et hovedmål

Helsepersonell, offentlige etater og operatører av kritisk infrastruktur deler en felles sårbarhet: de tåler ikke lange driftsavbrudd. Et sykehus som mister tilgang til pasientjournaler eller planleggingssystemer, får umiddelbare drifts- og sikkerhetsmessige konsekvenser. Offentlige tjenester som håndterer ytelser, tillatelser eller beredskap, er avhengige av kontinuerlig systemtilgjengelighet. Dette hastverket er nettopp hva ransomware-tilknyttede aktører regner med når de beregner løsepengekrav og tidsfrister.

Involveringen av flere føderale etater, sammen med internasjonale partnere i Sør-Korea, understreker hvor alvorlig denne trusselen blir tatt. Når CISA, FBI, NSA, DC3 og Secret Service utarbeider én felles rådgivning, betyr det som regel at trusselen har blitt observert i flere bekreftede hendelser, ikke bare ett isolert tilfelle. Organisasjoner i de nevnte sektorene bør se på dette som et signal om å gjennomgå sin egen eksponering nå, i stedet for å vente på en direkte advarsel.

Hva dette betyr for deg

Hvis du jobber i helsevesenet, offentlig sektor, finansielle tjenester eller produksjon, er denne rådgivningen en direkte oppfordring til handling for din organisasjons IT- og sikkerhetsteam. Men også utenfor disse bransjene finnes det bredere lærdommer for alle som er opptatt av hvordan personopplysningene deres håndteres av institusjoner de stoler på.

Dobbelutpressingsransomware betyr at et sikkerhetsbrudd hos din helseleverandør, bank eller lokale myndighetskontor kan eksponere din personlige informasjon, selv om organisasjonen nekter å betale løsepenger og gjenoppretter systemene sine på vanlig måte. Datatyveriet skjer før krypteringen, så skaden på personvernet ditt er ofte allerede skjedd innen et angrep blir offentlig kjent.

Dette er et godt tidspunkt for å gjennomgå hvordan organisasjonene som oppbevarer dine sensitive data kommuniserer om sikkerhetshendelser, og for å være oppmerksom på varsler om datainnbrudd fra helseleverandører, arbeidsgivere eller offentlige tjenester du er i kontakt med.

Praktiske råd

• Hvis du mottar et varsel om datainnbrudd fra en helseleverandør, bank eller offentlig etat, ta det på alvor og overvåk kontoene og kredittrapportene dine for uvanlig aktivitet.
• Bruk unike, sterke passord for kontoer tilknyttet helseportaler, finansielle tjenester og offentlige innlogginger, og aktiver flerfaktorautentisering der det tilbys.
• Vær forsiktig med phishing-e-poster eller anrop som refererer til et nylig datainnbrudd, siden angripere ofte utnytter offentlige rådgivninger for å gjennomføre oppfølgingssvindel.
• Hvis du jobber i en berørt sektor, forsikre deg om at din organisasjon har gått gjennom de tekniske indikatorene i den felles rådgivningen og oppdatert sin beredskapsplan for hendelser tilsvarende.

Gunra-ransomware er en påminnelse om at datatyveri og systemforstyrrelser nå går hånd i hånd. Å holde seg informert om rådgivninger som denne, og forstå hvordan dobbelutpressingstaktikker fungerer, hjelper både organisasjoner og enkeltpersoner med å reagere mer effektivt når neste advarsel kommer.