CISA, FBI Cảnh Báo Bệnh Viện: Mối Đe Dọa Từ Ransomware Gunra Gia Tăng

Một Cảnh Báo Liên Bang Mới Cho Hệ Thống Chăm Sóc Sức Khỏe

CISA và FBI đã ban hành một khuyến cáo an ninh mạng chung cảnh báo các bệnh viện và tổ chức chăm sóc sức khỏe về một chiến dịch ransomware đang hoạt động có tên Gunra. Khuyến cáo mô tả một nhóm ransomware-as-a-service (RaaS) đã khai thác các lỗ hổng tiếp xúc internet, bao gồm cả lỗi trong sản phẩm Fortinet, để xâm nhập vào mạng và đánh cắp dữ liệu nhạy cảm trước khi mã hóa chúng.

Đây không phải là cảnh báo đầu tiên về Gunra. Như đã đề cập trong Mỹ, Hàn Quốc Cảnh Báo Về Mối Đe Dọa Gia Tăng Của Ransomware Gunra, các cơ quan chức năng đã theo dõi nhóm này một thời gian khi chúng mở rộng phạm vi và khả năng kỹ thuật. Khuyến cáo mới nhất tập trung sâu hơn cụ thể vào các mục tiêu chăm sóc sức khỏe, chính phủ và cơ sở hạ tầng quan trọng, đồng thời mô tả chi tiết cách nhóm này hoạt động sau khi xâm nhập vào mạng.

Cách Thức Hoạt Động Của Tấn Công Ransomware Gunra

Theo khuyến cáo, một khi các thành viên của Gunra giành được quyền truy cập vào mạng, chúng thực hiện mô hình tống tiền kép. Đầu tiên, chúng trích xuất dữ liệu, sao chép các tệp ra khỏi mạng trước khi ai kịp nhận ra. Sau đó, chúng mã hóa hệ thống của nạn nhân, khóa nhân viên bệnh viện khỏi hồ sơ bệnh án, hệ thống lịch hẹn và các cơ sở hạ tầng quan trọng khác.

Chiến thuật gây áp lực trở nên đặc biệt quyết liệt hơn đối với các mục tiêu chăm sóc sức khỏe. Nạn nhân chỉ có năm đến bảy ngày để trả tiền trước khi Gunra đe dọa công bố các tệp bị đánh cắp trên một trang web rò rỉ trên dark web. Các cuộc đàm phán diễn ra thông qua cổng thông tin dựa trên Tor, che giấu danh tính và vị trí của nhóm trong khi vẫn cho phép liên lạc trực tiếp với nạn nhân.

Điều khiến Gunra đặc biệt đáng lo ngại đối với các cơ quan liên bang là mô hình kinh doanh của chúng. Nhóm này đang tích cực tuyển mộ các thành viên từ các chiến dịch ransomware khác bằng cách đề nghị chia 80% số tiền chuộc thu được. Đây là tỷ lệ chia bất thường hào phóng trong thế giới ransomware-as-a-service, và nó báo hiệu rằng Gunra đang cố gắng mở rộng quy mô nhanh chóng bằng cách thu hút các nhà khai thác giàu kinh nghiệm, những người đã biết cách xâm nhập mạng và gây áp lực lên nạn nhân.

Tại Sao Bệnh Viện Là Mục Tiêu Hàng Đầu

Các tổ chức chăm sóc sức khỏe từ lâu đã là mục tiêu hấp dẫn đối với các nhóm ransomware, và lý do vẫn không thay đổi. Bệnh viện phụ thuộc vào thời gian hoạt động liên tục. Một hệ thống hồ sơ sức khỏe điện tử bị khóa hoặc một nền tảng lịch hẹn bị đóng băng không chỉ tạo ra sự bất tiện, mà còn có thể trì hoãn việc chăm sóc bệnh nhân. Sự khẩn cấp đó tạo ra áp lực phải trả tiền nhanh chóng, điều mà các nhóm như Gunra đang trông cậy.

Thành phần đánh cắp dữ liệu thêm một lớp rủi ro khác. Hồ sơ bệnh nhân thường bao gồm tên, địa chỉ, số An sinh xã hội, chi tiết bảo hiểm và tiền sử bệnh lý, tất cả đều có giá trị thực trên các chợ dark web và có thể được sử dụng cho hành vi trộm cắp danh tính hoặc gian lận bảo hiểm rất lâu sau cuộc tấn công ban đầu. Thời gian đếm ngược năm đến bảy ngày trước khi bị đe dọa rò rỉ cũng có nghĩa là các bệnh viện buộc phải đưa ra các quyết định rủi ro cao dưới áp lực thời gian chặt chẽ và cố tình gây căng thẳng.

Việc khai thác các lỗ hổng tiếp xúc internet, đặc biệt là trong các sản phẩm Fortinet theo khuyến cáo, là lời nhắc nhở rằng nhiều vụ xâm nhập bắt đầu từ các lỗ hổng đã biết và có thể vá, chứ không phải các cuộc tấn công zero-day tinh vi. Các tổ chức chậm trễ trong việc vá các thiết bị biên như tường lửa và cổng VPN đang để ngỏ cánh cửa cho các nhóm như Gunra bước vào.

Điều Này Có Ý Nghĩa Gì Với Bạn

Nếu bạn là bệnh nhân tại một bệnh viện hoặc hệ thống chăm sóc sức khỏe, khuyến cáo này là lời nhắc rằng thông tin y tế và cá nhân của bạn chỉ an toàn như các hệ thống lưu trữ chúng. Bạn thường sẽ không biết trong thời gian thực liệu nhà cung cấp của mình có bị nhắm mục tiêu hay không, nhưng bạn có thể thực hiện các bước để hạn chế thiệt hại nếu dữ liệu của bạn từng bị lộ. Theo dõi bảng sao kê bảo hiểm và báo cáo tín dụng để phát hiện hoạt động bất thường, và cân nhắc đặt cảnh báo gian lận hoặc đóng băng tín dụng nếu bạn nhận được thông báo vi phạm từ nhà cung cấp dịch vụ chăm sóc sức khỏe.

Nếu bạn làm việc trong lĩnh vực CNTT chăm sóc sức khỏe hoặc quản lý bệnh viện, khuyến cáo này nên thúc đẩy việc kiểm tra ngay lập tức cơ sở hạ tầng tiếp xúc internet, đặc biệt là các thiết bị Fortinet và các thiết bị ngoại vi mạng khác, để xác nhận rằng các bản vá đã được cập nhật. Phân đoạn mạng để một thiết bị bị xâm nhập duy nhất không cung cấp quyền truy cập vào hệ thống hồ sơ bệnh nhân là một biện pháp phòng thủ thực tế khác. Với việc Gunra đang tích cực tuyển mộ các thành viên với tỷ lệ chia doanh thu cao bất thường, các đội ngũ an ninh nên giả định rằng khối lượng tấn công của nhóm sẽ tăng lên trong những tháng tới, chứ không giảm đi.

Những Điểm Chính

Ransomware Gunra đại diện cho một mối đe dọa đang gia tăng và có động cơ tài chính, nhắm mục tiêu cụ thể vào các bệnh viện và cơ sở hạ tầng quan trọng. Phương pháp tống tiền kép của nhóm, kết hợp với thời hạn trả tiền chuộc gay gắt từ năm đến bảy ngày, được thiết kế để tối đa hóa áp lực lên các nạn nhân những người ít có khả năng chịu đựng thời gian ngừng hoạt động. Đối với bệnh nhân, việc cảnh giác với các thông báo vi phạm và theo dõi tài khoản cá nhân vẫn là biện pháp phòng thủ tốt nhất. Đối với các đội ngũ CNTT chăm sóc sức khỏe, việc vá các lỗ hổng đã biết, đặc biệt là trong các thiết bị biên, và duy trì phân đoạn mạng mạnh mẽ là những bước khả thi và tức thời nhất để giảm thiểu rủi ro. Khi các cơ quan liên bang tiếp tục theo dõi sự mở rộng của Gunra, việc cập nhật thông tin qua các khuyến cáo như thế này là một trong những cách đơn giản nhất để đi trước một bước trước cuộc tấn công tiếp theo.