Програма-вимагач Medusa атакує критичну інфраструктуру в масштабах

Операція програм-вимагачів як послуги під назвою Medusa скомпрометувала понад 300 організацій у секторах критичної інфраструктури, згідно зі спільним попередженням CISA, ФБР та Міністерства охорони здоров'я і соціальних служб США. Серед жертв — охорона здоров'я, виробництво, освіта та технології, тобто галузі, де одна успішна атака може порушити догляд за пацієнтами, ланцюги постачання або важливі послуги на тижні.

Що робить Medusa помітною — це не лише її масштаб. Це багаторівневі тактики тиску, які її партнери використовують, щоб вичавлювати гроші з жертв ще довго після первинного зламу, а також тривожні ознаки того, що деяких жертв вимагають гроші повторно за одну й ту саму атаку.

Як працює модель подвійного вимагання Medusa

Як і багато сучасних операцій програм-вимагачів, Medusa не просто шифрує файли. Спочатку вона викрадає чутливі дані, а потім погрожує опублікувати їх, якщо жертва не заплатить. Це стандартна схема подвійного вимагання: платіть, щоб розшифрувати дані, і платіть знову (або замість цього), щоб вони не були оприлюднені в інтернеті.

Medusa додає психологічний аспект до цієї кампанії тиску. За повідомленнями, група пропонує жертвам можливість заплатити додатково, щоб відтермінувати зворотний відлік перед публікацією викрадених даних, фактично монетизуючи паніку від дедлайну, що тикає. Це дрібна деталь, але вона ілюструє, як оператори програм-вимагачів ставляться до вимагання як до бізнесу з ціновими рівнями, а не просто як до одного ультиматуму.

Можливий трюк із потрійним вимаганням

Найбільш тривожний висновок із розслідувань ФБР стосується того, що відбувається після того, як жертва вже заплатила. Принаймні в одному випадку жертву, яка сплатила викуп, знову контактував інший учасник Medusa з вимогою ще одного платежу за "справжній дешифратор". Це означає, що перший платіж або не надав робочого інструменту для розшифрування, або був отриманий зовсім іншим партнером.

Це породжує два неприємні припущення, які розглядають слідчі: або партнери Medusa ведуть неформальну схему потрійного вимагання, вичавлюючи гроші з однієї жертви кілька разів, або структура програм-вимагачів як послуги настільки слабко координована, що різні актори незалежно намагаються отримати прибуток від одного зламу, не поважаючи попередні платежі. Так чи інакше, висновок для жертв однаковий: немає жодної гарантії, що платіж групі програм-вимагачів фактично вирішить інцидент, і організації, які платять, все одно можуть зіткнутися з повторними вимогами.

Чому критична інфраструктура постійно стає мішенню

Організації критичної інфраструктури залишаються привабливими цілями, оскільки вони часто використовують суміш застарілих систем і сучасних ІТ разом з обмеженим персоналом з безпеки, а також тому, що порушення надання послуг створює терміновий тиск платити швидко. Медичні заклади, зокрема, стикаються з наслідками для життя та безпеки людей, якщо системи виходять з ладу, і групи програм-вимагачів це розуміють та використовують, встановлюючи дедлайни та суми викупу.

Масштаб кампанії Medusa — понад 300 підтверджених жертв — також відображає, як програми-вимагачі як послуга знизили бар'єр входу. Партнери не повинні створювати власне шкідливе програмне забезпечення чи інфраструктуру; вони орендують доступ до готового інструментарію та структури переговорів, і це частина того, чому такі атаки можуть масштабуватися до сотень організацій, а не лише кількох гучних цілей.

Що це означає для вас

Якщо ви працюєте або покладаєтеся на послуги лікарні, шкільної системи, виробника чи комунального підприємства, ця кампанія є нагадуванням, що програми-вимагачі — це не абстрактна загроза, обмежена заголовками про великі корпорації. Вони активно атакують організації, які керують вашими медичними записами, даними школи вашої дитини та інфраструктурою, від якої ви залежите щодня.

Для окремих осіб практичний ризик полягає у витоці персональних даних, якщо організація, з якою ви взаємодієте, стане жертвою Medusa і відмовиться платити або не зможе цього зробити. Для ІТ- та служб безпеки в потенційно постраждалих організаціях висновки ФБР про повторні вимоги викупу є вагомим аргументом проти припущення, що платіж гарантує вирішення. Планування резервного копіювання та відновлення, яке не залежить від співпраці зловмисника, залишається більш надійним шляхом вперед.

Також варто пам'ятати, що мережева безпека є багаторівневою проблемою. Такі інструменти, як VPN, зазвичай використовуються для захисту віддаленого доступу до критичних систем, але вони не є невразливими до збоїв або зловживань, як видно з непов'язаних, але показових випадків, наприклад Росія заморожує пропускну здатність інтернету, щоб заблокувати доступ до VPN, де сама інфраструктура доступу стала точкою контролю. Будь-який окремий інструмент, чи то VPN, міжмережевий екран чи система резервного копіювання, є лише одним шаром у ширшій стратегії захисту.

Практичні висновки

  • Організації в секторах критичної інфраструктури повинні вважати себе потенційними цілями незалежно від розміру та надавати пріоритет офлайн-резервним копіям із тестуванням, а не сплаті викупу як плану відновлення.
  • Не припускайте, що оплата викупу Medusa завершує інцидент; ФБР задокументувало випадки повторних вимог після оплати.
  • Окремі особи повинні стежити за своїми рахунками та кредитною активністю, якщо їх повідомили про витік даних в організації, яка зберігає їхні дані.
  • ІТ-команди повинні переглянути деталі спільного попередження CISA та ФБР щодо тактик Medusa та застосувати рекомендовані заходи пом'якшення, включно з виправленням відомих експлуатованих вразливостей та впровадженням багатофакторної автентифікації.

Зростання Medusa до понад 300 жертв показує, що групи програм-вимагачів як послуги вдосконалюють свої тактики вимагання швидше, ніж багато організацій удосконалюють свій захист. Залишатися поінформованим про те, як працюють ці кампанії, і планувати відновлення на основі стійкості, а не сплати викупу, залишається найнадійнішим способом зменшити шкоду, коли — не якщо — станеться атака.