Insecticidas en Estados Unidos

In den letzten Monaten hat die Cyber-Drohung aus dem nordkoreanischen Staat eine besonders besorgniserregende Wende genommen: eine Untergruppe, die mit dem bekannten Lazarus Kollektiv verbunden ist, hat begonnen, die Medusa Ransomware gegen Gesundheitsorganisationen in den Vereinigten Staaten zu verwenden, in Operationen, deren Hauptziel die wirtschaftliche Erpressung ist. Diese Nachricht bestätigt nicht nur die Kontinuität der nordkoreanischen Strafkampagnen, sondern zeigt auch, wie diese Akteure raffinierte Techniken mit öffentlichen Werkzeugen und "Ransomware als Service"-Dienste mischen, um ihre Auswirkungen zu maximieren.

Jellyfish ist keine neue Familie: erschien als Operation RaaS Anfang 2021 und hat im Laufe der Zeit Hunderte von Organisationen in kritischen Sektoren begangen. Wichtig ist jetzt, dass Sicherheitsforscher technische und taktische Überschneidungen identifiziert haben, die auf die Beteiligung einer Gruppe im Dach von Lazarus hinweisen - mit möglichen Verbindungen zu Untergruppen, die in der Gemeinschaft als Andariel oder Stonefly bekannt sind - bei Angriffen auf Gesundheitsdienstleister in den USA. USA. Wenn Sie den technischen Bericht der Analysten lesen möchten, die diese Zufälle dokumentieren, können Sie den Eintrag überprüfen, der von Symantec auf ihrem Firmenblog veröffentlicht wird: Symantec Enterprise Blogs.

Forscher bemerken, dass, zusammen mit der Verwendung von Medusa, Angreifer Resort zu einer Mischung von Diensten und Hintertüren: von Anmeldeinformationen Räuber für Browser und Anmeldeinformationen überdrehen Werkzeuge, um Remote Access Malware und benutzerdefinierte Proxys. Obwohl viele dieser Stücke "commodity" sind - das ist, verfügbar oder von vielen Gruppen wiederverwendet - die Kombination und die Verwendungssequenz helfen Analysten, Verbindungen zwischen Vorkommnissen und Attributaktivität mit größerem Vertrauen zu ziehen.

Die finanziellen Auswirkungen zeichnen auch ein Muster. Die Operationen von Medusa haben durchschnittliche Rettungsaktionen von rund $260.000 registriert, eine signifikante Zahl, wenn man die Skala und Häufigkeit von Intrusionen betrachtet. Mehrere frühere staatliche Untersuchungen und Aktionen haben dokumentiert, wie die Gewinne aus illegalen Cyber-Operationen verwendet wurden, um nordkoreanische Staatsaktivitäten zu finanzieren, diese Kampagnen mehr als nur wirtschaftliche Verbrechen zu machen: sie sind Finanzierungsquellen mit möglichen geopolitischen Auswirkungen.

Aber jenseits des Geldes, was die Sicherheitsgemeinschaft und Krankenhausadministratoren betrifft, ist die bewusste Wahl des Ziels. Die Gesundheitsversorgung ist ein kritischer Sektor, in dem die Unterbrechung das Leben gefährden kann; jedoch betonen die Analysten, dass diese Gruppen keine Kontrolle beim Angriff von Krankenhäusern oder anderen sensiblen Dienstleistungen zeigen, obwohl solche Ziele oft eine intensive öffentliche Ablehnung bewirken. In den Worten der Forscher zeigt der Übergang zu Erpressungsstücken wie Medusa, dass die Beteiligung der nordkoreanischen Akteure an Cyberkriminalität intensiv und mit wenigen ethischen Barrieren bleibt.

Wenn Sie nach einer zugänglichen Medienabdeckung dieser Entdeckung suchen, haben spezialisierte Medien Zusammenfassungen veröffentlicht, die mit der ursprünglichen technischen Arbeit verknüpfen und Kontext über die Opfer und die Evolution von Medusa bieten: zum Beispiel können Sie die Notiz in BleepingComputer veröffentlicht sehen: BleepingComputer auf Lazarus und Medusa.

Auf der praktischen Ebene bestehen die Antwort-Team-Berichte darauf, dass Organisationen die Verpflichtungsindikatoren (IoC) und Erkennungsverfahren, die von Lieferanten und Behörden veröffentlicht werden, überprüfen, da eine frühzeitige Erkennung die Verschlüsselungsphase und den daraus resultierenden Datenverlust vermeiden kann. Agenturen wie die CISA bieten allgemeine Anleitungen und Ressourcen, wie Sie auf Ransomware vorbereiten und auf Vorfälle reagieren; sie sind gute Referenzen für Betriebsteams und Sicherheitsbeamte: CISA - Ransomware. Darüber hinaus behält das FBI Material und Empfehlungen zur Bedrohung der Ransomware auf seiner Website: FBI - Ransomware.

Diese neue Phase des hochmodernen kriminellen Aktivismus lässt mehrere klare Lektionen für den Gesundheitssektor und für jede kritische Organisation. Das erste ist, dass die Exposition nicht nur davon abhängt, "ein technologisches Unternehmen" zu sein: Gesundheitseinrichtungen leben mit Netzwerken von Lieferanten, angeschlossenen medizinischen Geräten und Personal, das sensible Informationen verarbeitet, die die Angriffsfläche erweitert. Die zweite Lektion ist, dass die Mischung von kommerziellen Werkzeugen und öffentlich verfügbaren Code mit kundenspezifischen Entwicklungen die Zuschreibung schwierig macht, aber macht es nicht unmöglich; die sorgfältige Korrelation von Telemetrie ist, was Intelligenz Teams ermöglicht, Kampagnen an bestimmte Akteure zu verknüpfen.

Kurz, wir stehen vor einem Szenario, in dem staatlich unterstützte Akteure das Cyber-Kriminalität-Geschäftsmodell - Ransomware im RaaS-Modus - verwenden, um Ressourcen zu erhalten, ihre Arsenal zu differenzieren und Druck auf Sektoren zu halten, die vorher als "unantastbar" aus guten Gründen angesehen werden könnten. Die Empfehlung für jeden Sicherheitsbeauftragten ist es nicht, die Bedrohung zu unterschätzen: Erfinder zu aktualisieren, Zugriffskontrollen zu stärken, Backup zu validieren und mit Geheimdiensten zu arbeiten, um IoC und Erkennungsregeln in die Verteidigung einzubeziehen. Technische Berichte, wie sie von Erkennungs- und Antwortteams und von nationalen Agenturen veröffentlicht werden, sollten als operationelle Straßenkarte zur Verringerung des Expositionsfensters und potenzieller Schäden verwendet werden.