Новое федеральное предупреждение для медицинских сетей

CISA и ФБР выпустили совместное кибербезопасное предупреждение для больниц и медицинских организаций о действующей операции с программой-вымогателем под названием Gunra. В предупреждении описывается группа, работающая по модели «вымогатель как услуга» (RaaS), которая использует уязвимости в интернет-ориентированных системах, включая недостатки в продуктах Fortinet, чтобы проникать в сети и похищать конфиденциальные данные перед их шифрованием.

Это не первое предупреждение о Gunra. Как сообщалось в статье США и Южная Корея предупреждают о растущей угрозе программы-вымогателя Gunra, власти отслеживают эту группу уже некоторое время, поскольку она расширяет свой охват и технические возможности. Последнее предупреждение особенно акцентирует внимание на медицинских учреждениях, государственных органах и объектах критической инфраструктуры, а также подробно описывает, как группа действует после проникновения в сеть.

Как работает атака программы-вымогателя Gunra

Согласно предупреждению, после получения доступа к сети участники Gunra применяют модель двойного вымогательства. Сначала они похищают данные, копируя файлы из сети до того, как кто-либо заметит. Затем они шифруют системы жертвы, блокируя медицинскому персоналу доступ к записям, системам планирования и другим критически важным сервисам.

Тактика давления становится особенно агрессивной в отношении медицинских учреждений. Жертвам дается всего от пяти до семи дней на оплату, прежде чем Gunra угрожает опубликовать похищенные файлы на сайте в даркнете. Переговоры ведутся через портал на основе Tor, что скрывает личность и местоположение группы, но при этом позволяет напрямую общаться с жертвами.

Что делает Gunra особенно опасной для федеральных ведомств, так это ее бизнес-модель. Группа активно переманивает участников из других операций с программами-вымогателями, предлагая им 80% от любой полученной суммы выкупа. Это необычно щедрая доля в мире «вымогательства как услуги», и это сигнализирует о том, что Gunra пытается быстро масштабироваться, привлекая опытных операторов, которые уже умеют взламывать сети и оказывать давление на жертв.

Почему больницы являются главной целью

Медицинские организации давно являются привлекательной целью для групп, использующих программы-вымогатели, и причины не изменились. Больницы зависят от бесперебойной работы систем. Заблокированная система электронных медицинских записей или замороженная платформа планирования — это не просто неудобство, это может задержать оказание медицинской помощи пациентам. Эта срочность создает давление на быстрое внесение выкупа, на что и рассчитывают такие группы, как Gunra.

Хищение данных добавляет еще один уровень риска. Медицинские записи пациентов обычно включают имена, адреса, номера социального страхования, страховые данные и истории болезней — все это имеет реальную ценность на площадках даркнета и может использоваться для кражи личности или страхового мошенничества еще долго после первоначальной атаки. Пяти-семидневный отсчет до угрозы утечки также означает, что больницы вынуждены принимать решения с высокими ставками в жесткие и намеренно стрессовые сроки.

Использование уязвимостей в интернет-ориентированных системах, особенно в продуктах Fortinet, согласно предупреждению, напоминает о том, что многие взломы начинаются с известных и устранимых недостатков, а не с изощренных атак нулевого дня. Организации, которые отстают с установкой обновлений на периферийные устройства, такие как межсетевые экраны и VPN-шлюзы, оставляют открытую дверь для таких групп, как Gunra.

Что это значит для вас

Если вы пациент больницы или медицинской системы, это предупреждение напоминает о том, что ваша медицинская и личная информация настолько же защищена, насколько защищены системы, которые ее хранят. Вы, как правило, не будете знать в реальном времени, стала ли ваша клиника целью атаки, но вы можете предпринять шаги, чтобы ограничить ущерб в случае раскрытия ваших данных. Следите за выписками по страховке и кредитными отчетами на предмет подозрительной активности и рассмотрите возможность установки предупреждения о мошенничестве или заморозки кредитной истории, если получите уведомление об утечке от медицинского учреждения.

Если вы работаете в сфере медицинских ИТ или администрации больницы, это предупреждение должно побудить немедленно проверить интернет-ориентированную инфраструктуру, особенно устройства Fortinet и другое сетевое периферийное оборудование, чтобы убедиться, что обновления установлены. Сегментация сетей, чтобы одно скомпрометированное устройство не давало доступа к системам с записями пациентов, — еще одна практическая мера защиты. Учитывая, что Gunra активно нанимает участников с необычно высокой долей дохода, команды безопасности должны предполагать, что количество атак группы будет расти в ближайшие месяцы, а не снижаться.

Ключевые выводы

Программа-вымогатель Gunra представляет собой растущую и финансово мотивированную угрозу, направленную главным образом на больницы и объекты критической инфраструктуры. Подход двойного вымогательства в сочетании с агрессивным пяти-семидневным сроком оплаты выкупа призван максимизировать давление на жертв, которые меньше всего могут позволить себе простои. Для пациентов лучшей защитой остается бдительность в отношении уведомлений об утечках и мониторинг личных счетов. Для ИТ-команд медицинских учреждений установка обновлений для известных уязвимостей, особенно на периферийных устройствах, и поддержание надежной сегментации сети — наиболее немедленные и практичные шаги для снижения рисков. Поскольку федеральные ведомства продолжают отслеживать расширение Gunra, информированность через подобные предупреждения — один из самых простых способов оставаться на шаг впереди следующей атаки.