Insecticidas en Estados Unidos

Ces derniers mois, la cybermenace de l'État nord-coréen a pris un tour particulièrement inquiétant : un sous-groupe lié au collectif bien connu de Lazare a commencé à utiliser le Medusa Ransomware contre les organisations de santé aux États-Unis, dans des opérations dont l'objectif principal est l'extorsion économique. Cette nouvelle confirme non seulement la continuité des campagnes criminelles de marque nord-coréenne, mais montre également comment ces acteurs combinent des techniques sophistiquées avec des outils publics et des services « Ransomware as a service » pour maximiser leur impact.

Jellyfish n'est pas une nouvelle famille: est apparu comme l'opération RaaS au début de 2021 et, au fil du temps, a engagé des centaines d'organisations dans des secteurs critiques. La chose importante maintenant est que les chercheurs en sécurité ont identifié des chevauchements techniques et tactiques qui indiquent la participation d'un groupe au sein de Lazare - avec des liens possibles avec des sous-groupes connus dans la communauté comme Andariel ou Stonefly - dans des attaques dirigées contre des fournisseurs de soins de santé aux États-Unis. États-Unis. Si vous voulez lire le rapport technique des analystes qui documentent ces coïncidences, vous pouvez consulter l'entrée publiée par Symantec sur leur blog d'entreprise: Blogs d'entreprise Symantec.

Les chercheurs notent que, avec l'utilisation de Méduse, les attaquants ont recours à un mélange d'utilitaires et de portes arrière : des identificateurs de vol pour navigateurs et d'identificateurs renversant les outils pour accéder à distance aux logiciels malveillants et aux proxys personnalisés. Bien que bon nombre de ces pièces soient des « produits de consommation », c'est-à-dire des produits disponibles ou réutilisés par de nombreux groupes, la combinaison et la séquence d'utilisation aident les analystes à établir des relations entre les incidents et l'activité des attributs avec plus de confiance.

L'impact financier dessine également un schéma. Les opérations de Méduse ont enregistré des sauvetages moyens d'environ 260 000 $, un chiffre important en considérant l'ampleur et la fréquence des intrusions. Plusieurs enquêtes et actions gouvernementales antérieures ont documenté comment les gains tirés des cyberopérations illicites ont été utilisés pour financer les activités de l'État nord-coréen, rendant ces campagnes plus que des crimes économiques : elles sont des sources de financement pouvant avoir des implications géopolitiques.

Mais au-delà de l'argent, ce qui concerne la communauté de la sécurité et les administrateurs des hôpitaux est le choix délibéré de la cible. Les soins de santé sont un secteur critique où l'interruption peut mettre des vies en danger; cependant, les analystes soulignent que ces groupes ne font pas preuve de scrupule dans l'attaque des hôpitaux ou d'autres services sensibles, même si ces cibles génèrent souvent un rejet public intense. Selon les chercheurs, la transition vers des pièces d'extorsion comme Medusa prouve que l'implication des acteurs nord-coréens dans la cybercriminalité demeure intense et avec peu d'obstacles éthiques.

Si vous êtes à la recherche d'une couverture médiatique accessible de cette découverte, des médias spécialisés ont publié des résumés qui lient au travail technique original et fournissent un contexte sur les victimes et l'évolution de Méduse: par exemple, vous pouvez voir la note publiée dans BleepingComputer: Calculateur de sang sur Lazare et Méduse.

Sur le plan pratique, les rapports de l'équipe d'intervention insistent sur le fait que les organisations examinent les indicateurs d'engagement et les procédures de détection publiées par les fournisseurs et les organismes gouvernementaux, car la détection précoce peut éviter la phase de chiffrement et la perte de données qui en résulte. Des organismes comme la CISA offrent des guides généraux et des ressources sur la façon de se préparer aux ransomwares et d'intervenir en cas d'incidents. CISA - Ransomware. En outre, le FBI maintient des documents et des recommandations sur la menace du ransomware sur son site: FBI - Ransomware.

Cette nouvelle phase de l'activisme criminel de pointe laisse plusieurs leçons claires pour le secteur de la santé et pour toute organisation critique. La première est que l'exposition ne dépend pas seulement d'être une « entreprise technologique » : les établissements de santé vivent avec des réseaux de fournisseurs, des dispositifs médicaux connectés et du personnel manipulant des informations sensibles, ce qui étend la surface de l'attaque. La deuxième leçon est que le mélange d'outils commerciaux et de code public avec des développements personnalisés rend l'attribution difficile, mais ne rend pas impossible; la corrélation minutieuse de la télémétrie est ce qui permet aux équipes de renseignement de relier les campagnes à des acteurs spécifiques.

Bref, nous sommes confrontés à un scénario dans lequel les acteurs soutenus par l'État utilisent le modèle commercial de la cybercriminalité - Ransomware en mode RaaS - pour obtenir des ressources, différencier leur arsenal et maintenir la pression sur des secteurs qui pourraient auparavant être considérés comme "intouchables" pour des raisons de réputation. La recommandation à tout agent de sécurité n'est pas de sous-estimer la menace : mettre à jour les inventaires, renforcer les contrôles d'accès, valider les sauvegardes et travailler avec les équipes de renseignement pour intégrer la COI et les règles de détection à la défense. Les rapports techniques, tels que ceux publiés par les équipes de détection et d'intervention, et les avis des agences nationales, devraient être utilisés comme feuille de route opérationnelle pour réduire la fenêtre d'exposition et les dommages potentiels.