Ransomware INC drukuje żądania okupu na drukarkach szpitalnych

Gang ransomware, który sam drukuje swoje żądania

Większość grup ransomware pozostawia notatki z żądaniem okupu jako pliki tekstowe rozrzucone po zaszyfrowanych folderach ofiary. Ransomware INC podchodzi do tego w bardziej niepokojący sposób: według analizy technicznej Picus Security, złośliwe oprogramowanie próbuje również wysłać notatkę z okupem bezpośrednio do wszystkich podłączonych drukarek i faksów w zaatakowanej sieci, fizycznie drukując żądanie tak, aby każdy w budynku mógł je zobaczyć.

To drobny szczegół, ale wiele mówi o sposobie działania grupy INC. To grupa, która chce wywierać maksymalną presję psychologiczną na swoje ofiary i odkryła, że sieci w służbie zdrowia i edukacji, często pełne starych drukarek, współdzielonych linii faksowych i podłączonych urządzeń, które zespoły IT rzadko kontrolują, stanowią podatny grunt dla tego typu zakłóceń.

Dlaczego służba zdrowia i edukacja wciąż padają ofiarami

Ransomware INC, śledzony jako operacja w modelu ransomware-as-a-service od momentu swojego pojawienia się, wielokrotnie atakował szpitale, kliniki i szkoły, a także inne branże, takie jak handel detaliczny i finanse. Przyczyny nie są tajemnicą. Sieci w służbie zdrowia opierają się na wzajemnie połączonych urządzeniach medycznych, starzejącej się infrastrukturze i systemach, których często nie można załatać ani odłączyć od sieci bez ryzyka dla opieki nad pacjentem. Z drugiej strony sieci edukacyjne często obsługują tysiące uczniów i pracowników na współdzielonej infrastrukturze, przy ograniczonych budżetach na bezpieczeństwo i niespójnych kontrolach dostępu.

Obie branże przechowują również dokładnie tego rodzaju dane, które sprawiają, że podwójne wymuszenie ransomware jest opłacalne: dokumentację medyczną, historie chorób, dane finansowe i dane osobowe nieletnich. INC, podobnie jak wiele współczesnych operacji ransomware, nie tylko szyfruje pliki. Najpierw kradnie dane, a następnie grozi ich publicznym ujawnieniem, jeśli okup nie zostanie zapłacony, dając ofiarom dwa osobne powody, aby się podporządkować.

Ten schemat działania sprawia, że szpitale są szczególnie narażone na poważne konsekwencje. Kiedy ransomware blokuje elektroniczną dokumentację medyczną lub systemy harmonogramowania, skutki nie ograniczają się do niedogodności. Może to opóźnić leczenie, wymusić przekierowanie karetek i bezpośrednio zagrozić bezpieczeństwu pacjentów, co jest jednym z powodów, dla których cyberbezpieczeństwo w służbie zdrowia stało się priorytetem politycznym wykraczającym daleko poza działy IT.

Problem z punktami dostępu

Grupy ransomware muszą znaleźć sposób, aby dostać się do sieci, zanim cokolwiek wdrożą, a INC pokazało, że chętnie wykorzysta każdą lukę, która da mu taki przyczółek. Niedawny przypadek dobrze to ilustruje: SonicWall potwierdził, że dwie krytyczne luki zero-day w urządzeniach serii SMA 1000 były aktywnie wykorzystywane przez grupę ransomware INC przez 22 dni, zanim stała się dostępna łatka. Taki okres – prawie trzy tygodnie aktywnego wykorzystywania przed udostępnieniem poprawki – to dokładnie taka okazja, jakiej szukają operatorzy ransomware, szczególnie w przypadku organizacji, które mogą wolniej łatać urządzenia dostępu zdalnego z powodu ograniczeń kadrowych lub wymagań operacyjnych.

Ten schemat podkreśla szerszą prawdę o ransomware ogólnie, a w szczególności o INC: początkowe włamanie rzadko pochodzi z czegoś egzotycznego. Pochodzi z niezałatanego oprogramowania, odsłoniętych narzędzi dostępu zdalnego lub poświadczeń, które nigdy nie zostały zmienione. Gdy już znajdą się w środku, grupa przemieszcza się lateralnie, identyfikuje cenne dane do eksfiltracji, wdraża ładunek szyfrujący, a w przypadku INC próbuje wydrukować swoje przesłanie, aby zapewnić mu maksymalną widoczność.

Co to oznacza dla Ciebie

Jeśli pracujesz w systemie opieki zdrowotnej lub edukacji, albo masz z nimi styczność jako pracownik, pacjent, uczeń lub rodzic, ransomware INC przypomina, że dane przechowywane przez te instytucje na Twój temat są rzeczywistym celem, a nie hipotetycznym. Dokumentacja medyczna i dane uczniów są atrakcyjne właśnie dlatego, że trudno je zastąpić i często wiążą się z możliwością oszustw finansowych lub medycznych.

Dla zespołów IT i bezpieczeństwa praktyczną lekcją jest częstotliwość łatania i segmentacja sieci. Urządzenia dostępu zdalnego, podłączone drukarki i bramy faksowe są często traktowane jako urządzenia o niskim priorytecie, ale zachowanie INC pokazuje, że atakujący wykorzystają każde urządzenie w sieci, nawet najbardziej przyziemne, aby osiągnąć swoje cele. Odseparowanie drukarek i urządzeń typu IoT od systemów kluczowych oraz szybkie łatanie urządzeń wystawionych na działanie Internetu, gdy producenci ujawnią luki, znacząco zmniejsza powierzchnię ataku.

Dla osób indywidualnych praktyczne kroki są bardziej znane, ale warto je powtórzyć: monitoruj powiadomienia o naruszeniach danych od swojego dostawcy usług medycznych lub okręgu szkolnego, używaj unikalnych haseł do portali przechowujących dane osobowe lub medyczne i uważaj na kolejne próby phishingu, które często wykorzystują incydenty ransomware, gdy skradzione dane zaczną krążyć.

Wyprzedzanie ukierunkowanych kampanii ransomware

Ransomware INC nie jest wyjątkowy w atakowaniu służby zdrowia i edukacji, ale jego gotowość do fizycznego drukowania żądań okupu podkreśla, jak daleko te grupy są w stanie się posunąć, aby wymusić zapłatę. Organizacje z tych sektorów powinny traktować każde urządzenie podłączone do Internetu, niezależnie od tego, jak niepozorne, jako potencjalny punkt wejścia, a osoby fizyczne powinny uważnie śledzić powiadomienia o naruszeniach danych pochodzące od instytucji przechowujących ich wrażliwe dane. Świadomość i terminowe łatanie pozostają najskuteczniejszą obroną przed zagrożeniem, które nie wykazuje oznak spowolnienia.