CISA bekräftar en stor förändring i BianLians taktik

Cybersecurity and Infrastructure Security Agency har bekräftat att BianLian, en ransomwaregrupp som en gång var känd för att låsa sjukhusnätverk, helt slutade kryptera filer från och med januari 2024. Istället för att förvränga data och kräva betalning för en dekrypteringsnyckel fokuserar gruppen nu enbart på att stjäla känslig information och hota att läcka den om offren inte betalar.

Denna bekräftelse är betydelsefull eftersom den signalerar en bredare förändring i hur ransomware-aktörer gör affärer. I åratal gick standardmetodiken ut på att kryptera offrets filer, lämna ett lösenmeddelande och tvinga organisationer att välja mellan att betala för en dekrypteringsnyckel eller återställa från säkerhetskopior. BianLians sväng bort från den modellen visar att enbart datastöld, utan det extra steget med kryptering, kan vara lika lönsamt och betydligt mindre komplicerat att genomföra.

Från kryptering till utpressning: varför förändringen är viktig

Att kryptera ett helt nätverk tar tid, kräver beräkningsresurser och en åtkomstnivå som ökar risken för upptäckt innan attacken slutförs. Att helt enkelt kopiera filer från ett nätverk och sedan diskret lämna det är snabbare, svårare att upptäcka i realtid och ger fortfarande angriparna ett starkt påtryckningsmedel. Om en grupp kan föra ut patientjournaler, ekonomiska dokument eller intern kommunikation räcker ofta hotet om att publicera den informationen offentligt för att pressa ett offer att betala.

Detta tillvägagångssätt kringgår också vissa av de försvar som organisationer har byggt upp mot krypteringsbaserade attacker. Många företag har investerat kraftigt i säkerhetskopierings- och återställningssystem just för att mildra effekterna av filkrypterande ransomware. Dessa säkerhetskopior hjälper inte mot en grupp som aldrig rörde filernas integritet från början – de kopierade bara informationen och försvann. CISA:s bekräftelse av denna förändring ligger i linje med ett mönster som myndigheten har följt noga, inklusive fall där ransomwaregrupper övergått till att utnyttja allvarliga sårbarheter i stor skala så snart de blir allmänt kända, vilket sågs när CISA bekräftade att ransomwaregäng utnyttjade BlueHammer-sårbarheten i stor omfattning istället för att reservera den för smala, riktade attacker.

Sjukvårdsorganisationer är fortfarande i skottlinjen

BianLians historia av att angripa sjukhusnätverk är värd att uppmärksamma, även med gruppens taktikomläggning. Sjukvårdsorganisationer innehar några av de mest känsliga personuppgifter som finns, inklusive sjukdomshistoria, försäkringsuppgifter och behandlingsjournaler. Den känsligheten är just anledningen till att utpressning genom datastöld fungerar så bra mot denna sektor. Ett sjukhus som står inför risken att patientjournaler publiceras eller säljs har starka incitament att betala snabbt, oavsett om dess system någonsin krypterades.

Att få initial tillgång till dessa nätverk beror ofta fortfarande på utnyttjande av kända sårbarheter, ett mönster som CISA har dokumenterat upprepade gånger i sin katalog över kända utnyttjade sårbarheter. Myndighetens nyliga flaggning av en sårbarhet för Linux-privilegieeskalering som redan utnyttjas aktivt illustrerar hur angripare fortsätter att förlita sig på opatchade system som sin inkörsport, oavsett vad de gör när de väl är inne.

Vad detta betyder för dig

Om din organisation hanterar känsliga data – oavsett om det är ett sjukhus, ett litet företag eller någon verksamhet som lagrar kundinformation – förändrar denna omläggning vad ”ransomware-skydd” måste innebära. Strategier för säkerhetskopiering är fortfarande viktiga, men de är inte längre tillräckliga i sig. Datastöldattacker som BianLians nyare tillvägagångssätt kräver att organisationer lägger lika stor vikt vid att förhindra obehörig åtkomst och övervaka ovanliga utgående dataöverföringar, eftersom skadan sker i det ögonblick filerna lämnar nätverket, inte när de krypteras.

För privatpersoner är lärdomen mer personlig. Om en organisation som innehar dina medicinska journaler, finansiella uppgifter eller personlig information drabbas av en datastöldattack kanske du aldrig ser ett lösenmeddelande eller hör talas om krypterade system. Det första tecknet på problem kan helt enkelt vara ett meddelande om dataintrång, eller ännu värre, att du upptäcker dina uppgifter till salu eller läckta online.

Praktiska åtgärder

Organisationer bör prioritera nätverksövervakningsverktyg som kan flagga för stora eller ovanliga dataöverföringar, inte bara specifika larm om ransomware-kryptering. Att snabbt patcha kända sårbarheter är fortsatt avgörande, eftersom det initiala tillträdet fortfarande vanligtvis bygger på utnyttjande av opatchade system. Privatpersoner bör vara uppmärksamma på meddelanden om dataintrång från vårdgivare och finansinstitut, och överväga kreditövervakning eller skydd mot identitetsstöld om de får ett sådant. I takt med att ransomwaregrupper som BianLian fortsätter att anpassa sina metoder är det bästa skyddet att hålla sig informerad om dessa förändringar, snarare än att anta att gårdagens försvar fortfarande täcker dagens hot.