Un nou avertisment federal pentru rețelele din domeniul sănătății

CISA și FBI au emis un aviz comun de securitate cibernetică prin care avertizează spitalele și organizațiile din domeniul sănătății despre o operațiune activă de ransomware numită Gunra. Avertismentul descrie un grup de tip ransomware-ca-serviciu (RaaS) care a exploatat vulnerabilități expuse la internet, inclusiv defecte în produsele Fortinet, pentru a pătrunde în rețele și a fura date sensibile înainte de a le cripta.

Acesta nu este primul avertisment despre Gunra. După cum s-a relatat în SUA și Coreea de Sud avertizează asupra amenințării tot mai mari a ransomware-ului Gunra, autoritățile urmăresc acest grup de ceva timp, pe măsură ce își extinde aria de acoperire și capacitățile tehnice. Cel mai recent aviz se concentrează mai precis asupra țintelor din domeniul sănătății, guvernamental și al infrastructurilor critice și detaliază exact modul în care grupul acționează odată ce pătrunde într-o rețea.

Cum funcționează atacul ransomware-ului Gunra

Potrivit avizului, odată ce afiliații Gunra obțin acces la o rețea, aceștia urmează un model de dublă extorcare. În primul rând, exfiltrează date, copiind fișiere de pe rețea înainte ca cineva să observe. Apoi criptează sistemele victimei, blocând personalul spitalului din dosarele medicale, sistemele de programare și alte infrastructuri critice.

Tactica de presiune devine deosebit de agresivă pentru țintele din domeniul sănătății. Victimelor li se acordă doar cinci până la șapte zile pentru a plăti, înainte ca Gunra să amenințe că va publica fișierele furate pe un site de scurgere de pe dark web. Negocierile au loc printr-un portal bazat pe Tor, care menține ascunsă identitatea și locația grupului, permițând totuși comunicarea directă cu victimele.

Ceea ce face ca Gunra să fie deosebit de îngrijorător pentru agențiile federale este modelul său de afaceri. Grupul recrutează activ afiliați de la alte operațiuni de ransomware, oferind o cotă de 80% din orice răscumpărare colectată. Aceasta este o împărțire neobișnuit de generoasă în lumea ransomware-ca-serviciu și semnalează că Gunra încearcă să se extindă rapid, atrăgând operatori experimentați care știu deja cum să pătrundă în rețele și să exercite presiuni asupra victimelor.

De ce spitalele sunt o țintă principală

Organizațiile din domeniul sănătății au fost de mult timp ținte atractive pentru grupurile de ransomware, iar motivele nu s-au schimbat. Spitalele funcționează pe baza continuității. Un sistem blocat de dosare medicale electronice sau o platformă de programare înghețată nu reprezintă doar un inconvenient, ci poate întârzia îngrijirea pacienților. Această urgență creează presiune pentru a plăti rapid, exact ceea ce grupuri precum Gunra urmăresc.

Componenta de furt de date adaugă un alt nivel de risc. Dosarele pacienților includ de obicei nume, adrese, numere de securitate socială, detalii de asigurare și istorii medicale, toate având valoare reală pe piețele de pe dark web și putând fi folosite pentru furt de identitate sau fraudă de asigurări mult timp după atacul inițial. Numărătoarea inversă de cinci până la șapte zile înainte de amenințarea cu scurgerea datelor înseamnă, de asemenea, că spitalele sunt forțate să ia decizii cu mize mari sub un termen strâns și tensionat în mod deliberat.

Exploatarea vulnerabilităților expuse la internet, în special în produsele Fortinet, conform avizului, este o reamintire că multe breșe pornesc de la defecte cunoscute și corectabile, nu de la atacuri zero-day sofisticate. Organizațiile care rămân în urmă cu actualizările dispozitivelor perimetrale, precum firewall-uri și gateway-uri VPN, lasă ușa deschisă pentru grupuri precum Gunra.

Ce înseamnă acest lucru pentru tine

Dacă ești pacient al unui spital sau al unui sistem de sănătate, acest aviz este o reamintire că informațiile tale medicale și personale sunt la fel de sigure ca și sistemele care le stochează. În general, nu vei ști în timp real dacă furnizorul tău a fost vizat, dar poți lua măsuri pentru a limita daunele dacă datele tale sunt vreodată expuse. Monitorizează declarațiile de asigurare și rapoartele de credit pentru activități neobișnuite și ia în considerare plasarea unei alerte privind fraudele sau a unui îngheț al creditului dacă primești o notificare de breșă de la un furnizor de servicii medicale.

Dacă lucrezi în IT medical sau administrația unui spital, acest aviz ar trebui să determine o verificare imediată a infrastructurii expuse la internet, în special a dispozitivelor Fortinet și a altor echipamente perimetrale de rețea, pentru a confirma că actualizările sunt la zi. Segmentarea rețelelor astfel încât un singur dispozitiv compromis să nu ofere acces la sistemele de dosare ale pacienților este o altă apărare practică. Având în vedere că Gunra recrutează activ afiliați cu o cotă neobișnuit de mare din venituri, echipele de securitate ar trebui să presupună că volumul de atacuri al grupului va crește în lunile următoare, nu va scădea.

Concluzii cheie

Ransomware-ul Gunra reprezintă o amenințare tot mai mare și motivată financiar, care vizează în mod specific spitale și infrastructuri critice. Abordarea de dublă extorcare a grupului, combinată cu un termen agresiv de cinci până la șapte zile pentru plata răscumpărării, este concepută pentru a exercita presiune maximă asupra victimelor care își permit cel mai puțin timp de nefuncționare. Pentru pacienți, vigilența la notificările de breșă și monitorizarea conturilor personale rămâne cea mai bună apărare. Pentru echipele IT din domeniul sănătății, actualizarea vulnerabilităților cunoscute, în special la dispozitivele perimetrale, și menținerea unei segmentări solide a rețelei sunt cei mai imediați și acționabili pași pentru reducerea expunerii. Pe măsură ce agențiile federale continuă să urmărească expansiunea Gunra, informarea prin avize precum acesta este una dintre cele mai simple modalități de a rămâne cu un pas înaintea următorului atac.