Organizacje opieki zdrowotnej pod ostrzałem Trinity Ransomware

Sektor opieki zdrowotnej stoi w obliczu rosnącego cyberzagrożenia ze strony nowego wariantu ransomware znanego jako Trinity . Departament Zdrowia i Opieki Społecznej USA (HHS) wydał ostrzeżenie, ostrzegając organizacje zajmujące się opieką zdrowotną i zdrowiem publicznym o zbliżających się niebezpieczeństwach.

Rosnące zagrożenie w postaci oprogramowania ransomware

Pierwszy raz wykryty w maju 2024 r. Trinity to stosunkowo nowy szczep ransomware. Szyfruje pliki, dodając rozszerzenie „.trinitylock”. Według HHS ma podobieństwa do innych rodzin ransomware, takich jak 2023Lock i Venus. Grupy te często atakują krytyczną infrastrukturę, a Trinity nie jest wyjątkiem.

Podobnie jak inne ransomware, Trinity używa witryny z wyciekami, aby wymienić swoje ofiary i negocjować z organizacjami odszyfrowanie plików. Operatorzy ransomware'a eksfiltrują dane przed zablokowaniem systemów, aby przetrzymywać je jako zakładników w celu dalszego wymuszenia.

Po wejściu do środka Trinity używa wiadomości phishingowych, podatnego oprogramowania i złośliwych witryn, aby uzyskać dostęp. Następnie przeprowadza rozpoznanie sieci, skanuje systemy i porusza się bocznie, aby podnieść uprawnienia. Jedną z zaawansowanych taktyk stosowanych przez Trinity jest podszywanie się pod token legalnych procesów, aby rozszerzyć zasięg w sieci ofiary.

Metody szyfrowania i wymuszeń

Po uzyskaniu pełnego dostępu Trinity szyfruje pliki za pomocą solidnego algorytmu szyfrowania. Pliki stają się bezużyteczne, jeśli ofiara nie posiada prawidłowego klucza deszyfrującego. Każdy dotknięty plik zostaje oznaczony rozszerzeniem „.trinitylock”, wyraźnie identyfikującym zaszyfrowane dane.

Po procesie szyfrowania ofiary otrzymują notatki z żądaniem okupu w formacie tekstowym i .hta, a także zmodyfikowane tapety pulpitu wyświetlające atak. Notatka z żądaniem okupu zazwyczaj zawiera adres URL onion umożliwiający dostęp do witryny atakującego oraz instrukcje dotyczące komunikacji.

Linki do innych rodzin oprogramowania ransomware

HHS wskazuje, że Trinity jest uderzająco podobne do rodzin ransomware 2023Lock i Venus. Mają wspólny algorytm szyfrowania ChaCha20, a ich notatki dotyczące okupu, nazwy mutexów i wartości rejestru są niemal identyczne. Te głębokie powiązania sugerują, że Trinity może być bezpośrednim następcą 2023Lock, co czyni go ewoluującym zagrożeniem.

Wpływ na organizacje opieki zdrowotnej

Sektory opieki zdrowotnej i zdrowia publicznego są szczególnie narażone. Jedna amerykańska organizacja opieki zdrowotnej już padła ofiarą tej grupy, a na razie strona wycieku Trinity wymienia pięć ofiar. Obejmuje to Rocky Mountain Gastroenterology, z którego atakujący twierdzą, że ukradli 330 gigabajtów danych.

Obecnie nie ma dostępnych narzędzi do odszyfrowywania ransomware Trinity, co pozostawia ofiarom niewiele opcji. Podczas gdy niektórzy odnieśli częściowy sukces, korzystając z narzędzi do odzyskiwania danych, potrzeba konsultacji ekspertów od cyberbezpieczeństwa jest wysoka.

Przygotowanie do kolejnego ataku

Ryzyko, jakie Trinity i inne rodziny ransomware stwarzają dla systemów opieki zdrowotnej, jest oczywiste. Jakie kroki powinna podjąć Twoja organizacja, aby zapobiec atakowi? Czy Twoje obecne środki obrony wystarczą, aby wytrzymać naruszenie? Przemyślane, proaktywne środki bezpieczeństwa mogą być różnicą między zostaniem ofiarą a pozostaniem bezpiecznym.