Спільне попередження від трьох федеральних агентств

Агентство з кібербезпеки та захисту критичної інфраструктури (CISA), ФБР і Міністерство охорони здоров'я та соціальних служб США (HHS) спільно опублікували оновлене попередження про програму-вимагач Medusa, попереджаючи, що зловмисники, які стоять за нею, активно проникають у корпоративні мережі. Згідно з попередженням, оператори Medusa викрадають чутливі дані перед блокуванням систем, вимикають або знищують засоби безпеки, що працюють на машинах жертв, а потім шифрують усі мережі, а не окремі сервери чи кінцеві точки.

Це не зовсім нова загроза. Програма-вимагач Medusa відстежується федеральними агентствами вже деякий час, але рішення опублікувати оновлене попередження свідчить про те, що тактика групи залишається активною, а організації в багатьох секторах, зокрема в охороні здоров'я, враховуючи участь HHS, продовжують зазнавати ризику. Спільний характер попередження, що охоплює кібербезпеку, правоохоронні органи та органи охорони здоров'я, підкреслює, що програми-вимагачі стали міжсекторальною проблемою, яку жодне агентство не може вирішити самостійно.

Як працює тактика Medusa

Що робить це попередження помітним, так це багаторівневий підхід, який воно описує. Замість простої атаки з шифруванням за принципом «вдарив і втік», оператори Medusa дотримуються методичної послідовності: отримують доступ до мережі, тихо викрадають цінні дані, вимикають програмне забезпечення безпеки, призначене для їх виявлення, і лише тоді запускають шифрування всієї мережі. Це вже знайома модель «подвійного вимагання», коли жертви стикаються з тиском як щодо оплати ключа дешифрування, так і щодо запобігання витоку чи продажу викрадених даних.

Особливо тривожним є акцент на знищенні засобів безпеки. Це свідчить про те, що зловмисники Medusa не просто пасивно уникають виявлення, а активно нейтралізують захисні механізми, на які покладаються організації, зокрема програмне забезпечення виявлення та реагування на кінцевих точках (EDR) або антивірусні агенти, до початку найбільш руйнівної фази атаки. До моменту запуску шифрування зловмисники вже можуть мати вільний доступ усередині мережі протягом тривалого часу, що дає їм змогу визначити цінні системи та максимізувати шкоду від скоординованого відключення.

Цей патерн перегукується з тактикою, яку спостерігали в інших сімействах програм-вимагачів, що нещодавно були позначені федеральними агентствами. Попередження CISA про програму-вимагач Gunra також вказувало на те, що зловмисники використовують вразливості в інфраструктурі віддаленого доступу для отримання початкової точки входу, що нагадує: групи програм-вимагачів часто атакують одні й ті самі категорії точок входу — відкриті віддалені сервіси, слабкі облікові дані та невстановлене програмне забезпечення з патчами.

Чому шифрування всієї мережі змінює розрахунки

Шифрування всієї мережі, а не кількох серверів, різко підвищує ставки для жертв. Це означає, що системи резервного копіювання, внутрішні комунікації та повсякденні робочі інструменти можуть бути порушені одночасно, що робить відновлення значно складнішим і дорожчим. Для лікарень, муніципальних підприємств та інших організацій, з якими регулярно працюють HHS і CISA, таке порушення є не лише фінансовою проблемою, але може безпосередньо вплинути на надання послуг і безпеку.

Фокус попередження на викраденні даних поряд із шифруванням також має значення для конфіденційності. Навіть організації, які мають надійні резервні копії та можуть відновити системи без сплати викупу, все одно стикаються з реальністю, що чутливі дані — чи то медичні записи, інформація про співробітників або власні бізнес-дані — можуть уже перебувати в руках зловмисників. Це узгоджується з ширшою тенденцією, задокументованою федеральними агентствами в кампаніях програм-вимагачів, де загроза публічного витоку даних стала таким самим значним важелем, як і саме шифрування.

Що це означає для вас

Для більшості людей попередження про програми-вимагачі, як-от це, є сигналом про організаційний ризик, а не прямою особистою загрозою, але наслідки можуть дістатися і до вас. Якщо лікарня, роботодавець або постачальник послуг, на яких ви покладаєтеся, постраждає від групи на кшталт Medusa, ваші персональні дані можуть бути викриті, або доступ до послуг тимчасово порушено. Варто звертати увагу на повідомлення про порушення від організацій, з якими ви взаємодієте, і з обережністю ставитися до будь-яких несподіваних запитів на скидання пароля чи незнайомої активності в обліковому записі протягом тижнів після повідомленого інциденту.

Для ІТ-команд і команд безпеки попередження підкріплює давні базові принципи: своєчасно встановлювати патчі для відомих вразливостей, обмежувати та контролювати доступ до привілейованих облікових записів і забезпечувати, щоб засоби безпеки мали ввімкнений захист від втручання, щоб їх не можна було тихо вимкнути. Сегментація мереж, щоб одна скомпрометована система не призвела до повного шифрування мережі, також є критично важливим захистом від такого типу атак, які описує CISA. Ці ж базові принципи застосовуються широко, як видно з попереджень про тактику імітації Silent Ransom Group проти юридичних фірм, де соціальна інженерія, а не лише технічні експлойти, відкрила шлях до компрометації.

Випереджаючи загрози програм-вимагачів

Medusa — одна з кількох груп програм-вимагачів, які федеральні агентства позначили в нещодавніх попередженнях, і патерн послідовний: спочатку викрасти, потім вимкнути захист, а тоді широко зашифрувати. Організації, які розглядають ці попередження як практичні контрольні списки, а не як фоновий шум, мають значно кращі позиції, щоб уникнути ролі наступного прикладу. Для окремих осіб інформування про те, які організації обробляють ваші дані, і відстеження офіційних повідомлень про порушення залишається найпрактичнішим способом реагувати, коли трапляються такі інциденти.