Нове федеральне попередження для медичних мереж

CISA та ФБР опублікували спільне кібербезпекове попередження, в якому попереджають лікарні та медичні організації про активну операцію програми-вимагача під назвою Gunra. У попередженні описується група, що діє за моделлю «вимагач-як-послуга» (RaaS), яка використовує вразливості, доступні через інтернет, зокрема недоліки в продуктах Fortinet, щоб проникати в мережі та викрадати чутливі дані перед їх шифруванням.

Це не перше попередження про Gunra. Як уже висвітлювалося в США та Південна Корея попереджають про зростаючу загрозу програми-вимагача Gunra, влада відстежує цю групу вже деякий час, оскільки вона розширює свої можливості та технічний потенціал. Останнє попередження особливо акцентує увагу на медичних закладах, урядових структурах та об'єктах критичної інфраструктури, а також детально описує, як група діє після проникнення в мережу.

Як працює атака програми-вимагача Gunra

Згідно з попередженням, після того як афілійовані особи Gunra отримують доступ до мережі, вони застосовують модель подвійного вимагання. Спочатку вони викрадають дані, копіюючи файли з мережі до того, як хтось це помітить. Потім вони шифрують системи жертви, блокуючи медичному персоналу доступ до записів, систем планування та іншої критичної інфраструктури.

Тактика тиску стає особливо агресивною щодо медичних закладів. Жертвам надається лише п'ять-сім днів на оплату, перш ніж Gunra погрожує опублікувати викрадені файли на сайті витоку в даркнеті. Переговори відбуваються через портал на основі Tor, що приховує особу та місцезнаходження групи, водночас дозволяючи прямий зв'язок із жертвами.

Що робить Gunra особливо загрозливою для федеральних відомств, так це її бізнес-модель. Група активно переманює афілійованих осіб з інших операцій програм-вимагачів, пропонуючи 80% частку від будь-якого отриманого викупу. Це надзвичайно щедрий розподіл у світі «вимагач-як-послуга», і це свідчить про те, що Gunra намагається швидко масштабуватися, залучаючи досвідчених операторів, які вже знають, як зламувати мережі та тиснути на жертв.

Чому лікарні є першочерговою ціллю

Медичні організації вже давно є привабливими цілями для груп програм-вимагачів, і причини цього не змінилися. Лікарні залежать від безперебійної роботи систем. Заблокована система електронних медичних записів або заморожена платформа планування — це не просто незручність, це може затримати надання медичної допомоги пацієнтам. Така терміновість створює тиск сплатити швидко, і саме на це розраховують такі групи, як Gunra.

Компонент викрадення даних додає ще один рівень ризику. Медичні записи пацієнтів зазвичай містять імена, адреси, номери соціального страхування, дані страхування та історії хвороб — усе це має реальну цінність на ринках даркнету та може бути використане для крадіжки особистих даних або страхового шахрайства ще довго після первинної атаки. П'яти-семиденний відлік часу перед погрозою витоку також означає, що лікарні змушені приймати рішення високого ризику в умовах жорсткого та навмисно стресового дедлайну.

Використання вразливостей, доступних через інтернет, особливо в продуктах Fortinet, як зазначено в попередженні, нагадує про те, що багато зламів починаються з відомих і виправних недоліків, а не зі складних атак нульового дня. Організації, які відстають із встановленням патчів для периферійних пристроїв, таких як міжмережеві екрани та VPN-шлюзи, залишають відчинені двері для таких груп, як Gunra.

Що це означає для вас

Якщо ви пацієнт лікарні або медичної системи, це попередження нагадує, що ваша медична та особиста інформація настільки ж захищена, наскільки захищені системи, що її зберігають. Зазвичай ви не знатимете в реальному часі, чи ваш медичний заклад став ціллю, але ви можете вжити заходів, щоб обмежити шкоду, якщо ваші дані колись будуть скомпрометовані. Контролюйте свої страхові виписки та кредитні звіти на предмет незвичної активності та розгляньте можливість встановлення попередження про шахрайство або замороження кредитної історії, якщо ви отримаєте повідомлення про витік даних від медичного закладу.

Якщо ви працюєте в медичній ІТ-сфері або адміністрації лікарні, це попередження має спонукати до негайної перевірки інфраструктури, доступної через інтернет, особливо пристроїв Fortinet та іншого мережевого периферійного обладнання, щоб підтвердити актуальність патчів. Сегментація мереж таким чином, щоб один скомпрометований пристрій не надавав доступу до систем із записами пацієнтів, є ще одним практичним захистом. З огляду на те, що Gunra активно переманює афілійованих осіб із надзвичайно високою часткою доходу, команди безпеки мають припускати, що кількість атак групи зростатиме в найближчі місяці, а не зменшуватиметься.

Ключові висновки

Програма-вимагач Gunra є зростаючою та фінансово вмотивованою загрозою, яка націлена саме на лікарні та критичну інфраструктуру. Підхід подвійного вимагання групи в поєднанні з агресивним п'яти-семиденним дедлайном викупу розроблений для максимального тиску на жертв, які найменше можуть дозволити собі простої. Для пацієнтів найкращим захистом залишається пильність щодо повідомлень про витоки та моніторинг особистих рахунків. Для медичних ІТ-команд встановлення патчів для відомих вразливостей, особливо в периферійних пристроях, і підтримка надійної мережевої сегментації є найбільш негайними та практичними кроками для зменшення ризику. Оскільки федеральні відомства продовжують відстежувати розширення Gunra, ознайомлення з такими попередженнями є одним із найпростіших способів випередити наступну атаку.