Совместное предупреждение трех федеральных агентств

Агентство по кибербезопасности и защите инфраструктуры (CISA), ФБР и Министерство здравоохранения и социальных служб США (HHS) совместно выпустили обновленные рекомендации по безопасности, касающиеся программы-вымогателя Medusa, предупреждая, что стоящие за ней злоумышленники активно проникают в корпоративные сети. Согласно рекомендациям, операторы Medusa похищают конфиденциальные данные перед блокировкой систем, отключают или уничтожают работающие на машинах жертв средства безопасности, а затем шифруют целые сети, а не отдельные серверы или конечные точки.

Это не новая угроза. Программа-вымогатель Medusa отслеживается федеральными агентствами уже некоторое время, но решение выпустить обновленные рекомендации сигнализирует о том, что тактика группы остается активной, а организации в различных секторах, включая здравоохранение, учитывая участие HHS, по-прежнему подвергаются риску. Совместный характер предупреждения, охватывающего кибербезопасность, правоохранительные органы и органы здравоохранения, подчеркивает, что программы-вымогатели стали межсекторальной проблемой, которую ни одно агентство не может решить в одиночку.

Как работает схема Medusa

Что делает эти рекомендации примечательными, так это описанный в них многоуровневый подход. Вместо простой атаки с целью шифрования по принципу «наскок и захват», операторы Medusa следуют методичной последовательности: получают доступ к сети, незаметно выгружают ценные данные, отключают программное обеспечение безопасности, предназначенное для их обнаружения, и только затем запускают шифрование всей сети. Это знакомая модель «двойного вымогательства», когда жертвы сталкиваются с давлением как по выплате выкупа за ключ дешифрования, так и по предотвращению утечки или продажи похищенных данных.

Особую обеспокоенность вызывает акцент на уничтожении средств безопасности. Это предполагает, что операторы Medusa не просто пассивно избегают обнаружения, но активно нейтрализуют защиту, на которую полагаются организации, такую как программное обеспечение для обнаружения и реагирования на конечные точки (EDR) или антивирусные агенты, до начала самой разрушительной фазы атаки. К моменту начала шифрования злоумышленники уже могли свободно действовать внутри сети в течение длительного периода, что дает им время для выявления ценных систем и максимизации ущерба от скоординированного отключения.

Эта схема повторяет тактику, наблюдаемую в других семействах программ-вымогателей, на которые федеральные агентства недавно указывали. Рекомендации CISA по Gunra ransomware аналогично указывали на то, что злоумышленники используют уязвимости в инфраструктуре удаленного доступа для получения первоначального доступа, что напоминает о том, что группы программ-вымогателей часто нацеливаются на одни и те же категории точек входа: открытые удаленные сервисы, слабые учетные данные и необновленное программное обеспечение.

Почему полное шифрование сети меняет правила игры

Шифрование всей сети, а не нескольких серверов, значительно повышает ставки для жертв. Это означает, что системы резервного копирования, внутренние коммуникации и повседневные операционные инструменты могут быть затронуты одновременно, что делает восстановление гораздо более сложным и дорогостоящим. Для больниц, муниципальных коммунальных служб и других организаций, с которыми регулярно работают HHS и CISA, такой сбой является не только финансовой проблемой, но и может напрямую повлиять на предоставление услуг и безопасность.

Акцент в рекомендациях на краже данных наряду с шифрованием также важен для конфиденциальности. Даже организации, которые поддерживают надежные резервные копии и могут восстановить системы без выплаты выкупа, по-прежнему сталкиваются с реальностью, что конфиденциальные данные, будь то медицинские записи, информация о сотрудниках или проприетарные бизнес-данные, уже могут находиться в руках злоумышленников. Это согласуется с более широкой тенденцией, задокументированной федеральными агентствами в кампаниях программ-вымогателей, где угроза публичной утечки данных стала таким же значимым рычагом, как и само шифрование.

Что это значит для вас

Для большинства людей подобные рекомендации по программам-вымогателям являются сигналом об организационном риске, а не прямой личной угрозой, но косвенные последствия все же могут вас затронуть. Если больница, работодатель или поставщик услуг, которым вы пользуетесь, будет скомпрометирован такой группой, как Medusa, ваши личные данные могут оказаться под угрозой раскрытия, или ваш доступ к услугам может быть временно нарушен. Стоит обращать внимание на уведомления об утечках от организаций, с которыми вы взаимодействуете, и с осторожностью относиться к любым неожиданным запросам на сброс пароля или подозрительной активности в учетных записях в течение нескольких недель после сообщения об инциденте.

Для ИТ-специалистов и команд безопасности рекомендации подтверждают некоторые давние основы: своевременно устанавливать исправления для известных уязвимостей, ограничивать и отслеживать доступ к привилегированным учетным записям, а также обеспечивать включение защиты от вмешательства в средства безопасности, чтобы их нельзя было незаметно отключить. Сегментация сетей, чтобы одна скомпрометированная система не могла привести к полному шифрованию сети, также является критически важной защитой от такого рода атак, которые описывает CISA. Эти же основы применимы в широком смысле, как видно из предупреждений о тактике выдачи себя за ИТ-персонал группой Silent Ransom Group в юридических фирмах, где социальная инженерия, а не только технические эксплойты, открыла дверь для компрометации.

Как оставаться на шаг впереди угроз программ-вымогателей

Medusa — одна из нескольких групп программ-вымогателей, на которые федеральные агентства указали в недавних рекомендациях, и схема последовательна: сначала кража, затем отключение защиты, затем широкомасштабное шифрование. Организации, которые рассматривают эти рекомендации как действенные контрольные списки, а не как фоновый шум, находятся в гораздо лучшем положении, чтобы избежать участи следующего примера. Для частных лиц наиболее практичным способом реагирования на подобные инциденты остается информированность о том, какие организации обрабатывают ваши данные, и следование официальным уведомлениям об утечках.