针对医疗网络的新联邦警告

CISA和FBI联合发布网络安全通告，警告医院和医疗保健组织注意名为Gunra的活跃勒索软件活动。该通告描述了一个勒索软件即服务（RaaS）组织，该组织利用面向互联网的漏洞（包括Fortinet产品中的缺陷）入侵网络，并在加密数据之前窃取敏感信息。

这不是关于Gunra的首次警报。正如美国、韩国警告Gunra勒索软件威胁日益增长中所报道的，随着该组织不断扩展其影响范围和技术能力，当局已对其追踪了一段时间。最新通告将焦点进一步对准医疗保健、政府和关键基础设施目标，并详细说明了该组织一旦进入网络后的具体操作方式。

Gunra勒索软件攻击的工作原理

根据该通告，一旦Gunra的附属机构获得网络访问权限，他们就会采用双重勒索模式。首先，他们窃取数据——在任何人察觉之前将文件从网络中复制出来。然后，他们加密受害者的系统，将医院工作人员锁在病历、排班系统和其他关键基础设施之外。

对于医疗保健目标，施压手段尤为激进。受害者只有五到七天的时间支付赎金，之后Gunra便威胁在暗网泄密网站上公布被盗文件。谈判通过基于Tor的门户进行，既隐藏了该组织的身份和位置，同时又允许与受害者直接沟通。

Gunra之所以令联邦机构特别担忧，在于其商业模式。该组织正在积极从其他勒索软件行动中招募附属机构，提供任何赎金的80%作为分成。这在勒索软件即服务领域是异常慷慨的分成比例，表明Gunra正试图通过吸引已有入侵网络和施压受害者经验的老手来快速扩张规模。

为什么医院是首要目标

医疗保健组织长期以来一直是勒索软件集团的首选目标，原因并未改变。医院依赖正常运行时间。被锁定的电子健康记录系统或冻结的排班平台不仅造成不便，还可能延误患者护理。这种紧迫性产生了快速支付的巨大压力，这正是Gunra等组织所依赖的。

数据窃取部分又增加了一层风险。患者记录通常包括姓名、地址、社会安全号码、保险信息和病史，这些信息在暗网市场上都具有实际价值，并可能在初次攻击后很长一段时间内被用于身份盗窃或保险欺诈。五到七天的泄密威胁倒计时也意味着医院被迫在紧张且被刻意施加压力的期限内做出高风险的决策。

对面向互联网漏洞的利用——据该通告指出尤其是Fortinet产品中的漏洞——提醒我们，许多入侵始于已知的、可修补的缺陷，而非复杂的零日攻击。未能及时修补防火墙和VPN网关等边缘设备的组织，等于为Gunra等组织敞开了一扇门。

这对你意味着什么

如果你是医院或医疗保健系统的患者，本通告提醒你，你的医疗和个人信息的安全程度取决于存储这些信息的系统的安全性。你通常无法实时得知你的医疗服务提供者是否已成为攻击目标，但你可以采取措施，在数据被泄露时将损害降到最低。监控你的保险账单和信用报告是否有异常活动，如果收到医疗保健提供者的泄露通知，请考虑设置欺诈警报或信用冻结。

如果你从事医疗IT或医院管理工作，本通告应促使你立即检查面向互联网的基础设施，尤其是Fortinet设备和其他网络边界设备，以确认补丁已及时更新。对网络进行分段，使单个受感染设备无法访问患者记录系统，是另一项实用的防御措施。鉴于Gunra正以异常高额的收益分成积极招募附属机构，安全团队应预计该组织的攻击量在未来几个月内将增加，而非减少。

关键要点

Gunra勒索软件是一种日益增长且受经济利益驱动的威胁，专门针对医院和关键基础设施。该组织的双重勒索手法，加上激进的五到七天赎金期限，旨在向最无法承受停机的受害者施加最大压力。对于患者而言，保持对泄露通知的警觉并监控个人账户仍然是最好的防御。对于医疗IT团队而言，修补已知漏洞（尤其是边缘设备中的漏洞）并保持强大的网络分段，是减少暴露的最直接、最可行的措施。随着联邦机构持续追踪Gunra的扩张，通过此类通告保持信息更新是领先于下一次攻击的最简单方法之一。