CISA og FBI advarer sykehus: Gunra-ransomware-truselen vokser

En ny føderal advarsel for helsenettverk

CISA og FBI har utstedt en felles cybersikkerhetsadvarsel som advarer sykehus og helseorganisasjoner om en aktiv ransomware-operasjon kalt Gunra. Advarselen beskriver en ransomware-som-en-tjeneste-gruppe (RaaS) som har utnyttet internett-eksponerte sårbarheter, inkludert feil i Fortinet-produkter, for å bryte seg inn i nettverk og stjele sensitive data før de krypterer dem.

Dette er ikke den første varslingen om Gunra. Som omtalt i US, South Korea Warn of Growing Gunra Ransomware Threat, har myndighetene sporet denne gruppen en stund mens den utvider rekkevidden og sine tekniske evner. Den nyeste advarselen skjerper fokuset spesifikt på helsetjenester, myndigheter og kritisk infrastruktur, og den beskriver nøyaktig hvordan gruppen opererer når den først er inne i et nettverk.

Hvordan Gunra-ransomware-angrepet fungerer

Ifølge advarselen følger Gunra-tilknyttede aktører en dobbel utpressingsmodell når de først får tilgang til et nettverk. Først eksfiltrerer de data, og kopierer filer ut av nettverket før noen legger merke til det. Deretter krypterer de offerets systemer, og låser sykehuspersonalet ute fra journaler, planleggingssystemer og annen kritisk infrastruktur.

Trykk-taktikken er der ting blir spesielt aggressiv for helsetjenestemål. Ofre får bare fem til syv dager på å betale før Gunra truer med å publisere de stjålne filene på et mørkt nett-lekkasjenettsted. Forhandlinger skjer gjennom en Tor-basert portal, som holder gruppens identitet og plassering skjult samtidig som den fortsatt tillater direkte kommunikasjon med ofrene.

Det som gjør Gunra spesielt bekymringsfullt for føderale etater, er forretningsmodellen. Gruppen rekrutterer aktivt tilknyttede aktører bort fra andre ransomware-operasjoner ved å tilby 80 % av eventuelle løsepengebeløp som samles inn. Det er en uvanlig sjenerøs splitt i ransomware-som-en-tjeneste-verdenen, og det signaliserer at Gunra prøver å skalere raskt ved å trekke inn erfarne operatører som allerede vet hvordan man bryter seg inn i nettverk og presser ofre.

Hvorfor sykehus er et førsteklasses mål

Helseorganisasjoner har lenge vært attraktive mål for ransomware-grupper, og årsakene har ikke endret seg. Sykehus er avhengige av oppetid. Et låst elektronisk helsejournalsystem eller en frossen planleggingsplattform skaper ikke bare ulemper – det kan forsinke pasientbehandling. Det hastverket skaper press for å betale raskt, som er nøyaktig det grupper som Gunra regner med.

Datatyveri-komponenten legger til et ekstra lag med risiko. Pasientjournaler inkluderer typisk navn, adresser, personnummer, forsikringsdetaljer og medisinske historier, som alle har reell verdi på mørke nett-markedsplasser og kan brukes til identitetstyveri eller forsikringssvindel lenge etter det første angrepet. Nedtellingen på fem til syv dager før en lekkasjetrussel betyr også at sykehus blir tvunget til å ta beslutninger med høye innsatser under en stram og bevisst stressende frist.

Utnyttelsen av internett-eksponerte sårbarheter, spesielt i Fortinet-produkter ifølge advarselen, er en påminnelse om at mange brudd starter med kjente, lappbare feil snarere enn sofistikerte null-dagers-angrep. Organisasjoner som ligger etter med lapping av kant-enheter som brannmurer og VPN-gatewayer, lar døren stå åpen for grupper som Gunra å gå gjennom.

Hva dette betyr for deg

Hvis du er pasient ved et sykehus eller helsesystem, er denne advarselen en påminnelse om at din medisinske og personlige informasjon bare er like sikker som systemene som lagrer den. Du vil generelt ikke vite i sanntid om leverandøren din har blitt målrettet, men du kan ta skritt for å begrense skaden hvis dataene dine noen gang blir eksponert. Overvåk forsikringsoppgavene og kredittrapportene dine for ukjent aktivitet, og vurder å plassere en svindelvarsling eller kredittfrys hvis du mottar et bruddvarsel fra en helsepersonell-leverandør.

Hvis du jobber med helse-IT eller sykehusadministrasjon, bør denne advarselen utløse en umiddelbar sjekk av internett-eksponert infrastruktur, spesielt Fortinet-enheter og annet nettverksperimeterutstyr, for å bekrefte at oppdateringer er gjeldende. Å segmentere nettverk slik at en enkelt kompromittert enhet ikke gir tilgang til pasientjournalsystemer er en annen praktisk forsvarslinje. Gitt at Gunra aktivt rekrutterer tilknyttede aktører med en uvanlig høy inntektsandel, bør sikkerhetsteam anta at gruppens angrepsvolum vil øke i de kommende månedene, ikke minke.

Viktige konklusjoner

Gunra-ransomware representerer en voksende og økonomisk motivert trussel som spesifikt retter seg mot sykehus og kritisk infrastruktur. Gruppens dobbelte utpressingsmetode, kombinert med en aggressiv fem-til-syv-dagers løsepengefrist, er designet for å maksimere presset på ofre som minst har råd til nedetid. For pasienter er det å holde seg årvåken for bruddvarsler og overvåke personlige kontoer den beste forsvarslinjen. For helse-IT-team er det å lappe kjente sårbarheter, spesielt i kant-enheter, og opprettholde sterk nettverkssegmentering de mest umiddelbare og handlingsrettede trinnene for å redusere eksponeringen. Ettersom føderale etater fortsetter å spore Gunras ekspansjon, er det å holde seg informert gjennom advarsler som denne en av de enkleste måtene å holde seg et skritt foran neste angrep.