CISA i FBI ostrzegają szpitale: zagrożenie ransomware Gunra rośnie

Nowe federalne ostrzeżenie dla sieci opieki zdrowotnej

CISA i FBI wydały wspólne ostrzeżenie cyberbezpieczeństwa dla szpitali i organizacji opieki zdrowotnej przed aktywną operacją ransomware o nazwie Gunra. Ostrzeżenie opisuje grupę ransomware-jako-usługę (RaaS), która wykorzystuje podatności na urządzeniach dostępnych z internetu, w tym luki w produktach Fortinet, aby włamywać się do sieci i wykradać wrażliwe dane przed ich zaszyfrowaniem.

To nie jest pierwsze ostrzeżenie dotyczące Gunra. Jak opisano w USA i Korea Południowa ostrzegają przed rosnącym zagrożeniem ransomware Gunra, władze śledzą tę grupę od pewnego czasu, gdy rozszerza ona swój zasięg i możliwości techniczne. Najnowsze ostrzeżenie skupia się szczególnie na sektorze opieki zdrowotnej, administracji rządowej i infrastrukturze krytycznej oraz szczegółowo opisuje, jak grupa działa po dostaniu się do sieci.

Jak działa atak ransomware Gunra

Według ostrzeżenia, gdy członkowie Gunra uzyskają dostęp do sieci, stosują model podwójnego wymuszenia. Najpierw eksfiltrują dane, kopiując pliki z sieci, zanim ktokolwiek to zauważy. Następnie szyfrują systemy ofiary, blokując personelowi szpitala dostęp do dokumentacji, systemów planowania i innej krytycznej infrastruktury.

Taktyka presji jest szczególnie agresywna w przypadku celów w sektorze opieki zdrowotnej. Ofiary mają tylko pięć do siedmiu dni na zapłatę, zanim Gunra grozi opublikowaniem skradzionych plików na stronie w darknecie. Negocjacje odbywają się przez portal oparty na Torze, który ukrywa tożsamość i lokalizację grupy, jednocześnie umożliwiając bezpośrednią komunikację z ofiarami.

To, co czyni Gunra szczególnie niepokojącym dla agencji federalnych, to jej model biznesowy. Grupa aktywnie rekrutuje członków z innych operacji ransomware, oferując 80% udziału w każdym zebranym okupie. To niezwykle hojny podział w świecie ransomware-jako-usługi, co sygnalizuje, że Gunra próbuje szybko się rozrosnąć, przyciągając doświadczonych operatorów, którzy już wiedzą, jak włamywać się do sieci i wywierać presję na ofiary.

Dlaczego szpitale są głównym celem

Organizacje opieki zdrowotnej od dawna są atrakcyjnym celem dla grup ransomware, a powody się nie zmieniły. Szpitale działają na ciągłej dostępności. Zablokowany system elektronicznej dokumentacji medycznej lub zamrożona platforma do planowania to nie tylko niedogodność — może opóźnić opiekę nad pacjentem. Ta pilność tworzy presję na szybką zapłatę, co dokładnie wykorzystują grupy takie jak Gunra.

Kradzież danych dodaje kolejną warstwę ryzyka. Dokumentacja pacjentów zazwyczaj zawiera imiona i nazwiska, adresy, numery ubezpieczenia społecznego, dane ubezpieczeniowe i historie medyczne, które mają realną wartość na targowiskach darknetu i mogą być wykorzystane do kradzieży tożsamości lub oszustw ubezpieczeniowych długo po początkowym ataku. Odliczanie pięć do siedmiu dni przed groźbą ujawnienia danych oznacza również, że szpitale są zmuszone do podejmowania decyzji o wysokiej stawce w krótkim i celowo stresującym terminie.

Wykorzystywanie podatności na urządzeniach dostępnych z internetu, szczególnie w produktach Fortinet według ostrzeżenia, przypomina, że wiele naruszeń zaczyna się od znanych, łatwych do załatania luk, a nie od zaawansowanych ataków zero-day. Organizacje, które zalegają z łataniem urządzeń brzegowych, takich jak zapory sieciowe i bramy VPN, pozostawiają otwarte drzwi dla grup takich jak Gunra.

Co to oznacza dla Ciebie

Jeśli jesteś pacjentem szpitala lub systemu opieki zdrowotnej, to ostrzeżenie przypomina, że Twoje dane medyczne i osobiste są tak bezpieczne, jak systemy, które je przechowują. Zazwyczaj nie będziesz wiedzieć w czasie rzeczywistym, czy Twój dostawca został zaatakowany, ale możesz podjąć kroki, aby ograniczyć szkody, jeśli Twoje dane zostaną kiedykolwiek ujawnione. Monitoruj wyciągi ubezpieczeniowe i raporty kredytowe pod kątem nieznanej aktywności oraz rozważ umieszczenie alertu o oszustwie lub zamrożenie kredytu, jeśli otrzymasz powiadomienie o naruszeniu od dostawcy opieki zdrowotnej.

Jeśli pracujesz w IT służby zdrowia lub administracji szpitalnej, to ostrzeżenie powinno skłonić do natychmiastowej kontroli infrastruktury dostępnej z internetu, zwłaszcza urządzeń Fortinet i innego sprzętu na obrzeżach sieci, aby potwierdzić, że łatki są aktualne. Segmentacja sieci, tak aby pojedyncze naruszone urządzenie nie zapewniało dostępu do systemów dokumentacji pacjentów, to kolejna praktyczna obrona. Biorąc pod uwagę, że Gunra aktywnie rekrutuje członków z niezwykle wysokim udziałem w zyskach, zespoły bezpieczeństwa powinny zakładać, że liczba ataków grupy wzrośnie w nadchodzących miesiącach, a nie zmaleje.

Kluczowe wnioski

Ransomware Gunra stanowi rosnące i motywowane finansowo zagrożenie, skierowane szczególnie na szpitale i infrastrukturę krytyczną. Podejście podwójnego wymuszenia grupy, połączone z agresywnym terminem zapłaty pięć do siedmiu dni, ma na celu maksymalizację presji na ofiary, które najmniej mogą sobie pozwolić na przestoje. Dla pacjentów czujność na powiadomienia o naruszeniach i monitorowanie kont osobistych pozostaje najlepszą obroną. Dla zespołów IT w służbie zdrowia łatanie znanych podatności, zwłaszcza na urządzeniach brzegowych, i utrzymywanie silnej segmentacji sieci to najbardziej bezpośrednie i wykonalne kroki w celu zmniejszenia narażenia. W miarę jak agencje federalne kontynuują śledzenie ekspansji Gunra, bycie na bieżąco dzięki takim ostrzeżeniom to jeden z najprostszych sposobów, aby wyprzedzić kolejny atak.