Sjukvårdsorganisationer under belägring från Trinity Ransomware

Sjukvårdssektorn står inför ett växande cyberhot från en ny ransomware-variant känd som Trinity . US Department of Health and Human Services (HHS) har utfärdat en varning och varnar organisationer inom hälso- och sjukvård och folkhälsa om de hotande farorna.

Ett stigande hot i Ransomware

Trinity upptäcktes först i maj 2024 och är en relativt ny ransomware-stam. Den krypterar filer och lägger till ett ".trinitylock"-tillägg. Enligt HHS delar den likheter med andra ransomware-familjer som 2023Lock och Venus. Dessa grupper riktar sig ofta till kritisk infrastruktur, och Trinity är inget undantag.

Liksom andra ransomware använder Trinity en läckagesida för att lista sina offer och för att förhandla med organisationer om fildekryptering. Ransomware-operatörerna exfiltrerar data innan de låser system för att hålla den som gisslan för ytterligare utpressning.

Väl inne använder Trinity nätfiske-e-postmeddelanden, sårbar programvara och skadliga webbplatser för att få åtkomst. Sedan genomför den nätverksspaning, skannar system och rör sig i sidled för att höja privilegier. En avancerad taktik som Trinity använder är att imitera symbolen för legitima processer för att utöka sin räckvidd inom offrets nätverk.

Kryptering och utpressningsmetoder

Efter att ha fått full åtkomst krypterar Trinity filer med en robust krypteringsalgoritm. Filer görs oanvändbara om inte offret har rätt dekrypteringsnyckel. Varje påverkad fil märks med tillägget '.trinitylock', vilket tydligt identifierar den krypterade informationen.

Efter krypteringsprocessen möts offren av lösensedlar i text- och .hta-format, tillsammans med modifierade skrivbordsbakgrunder som visar attacken. Lösenedeln innehåller vanligtvis en lök-URL för åtkomst till angriparens webbplats och instruktioner för kommunikation.

Länkar till andra Ransomware-familjer

HHS påpekar att Trinity är slående lik familjerna 2023Lock och Venus ransomware. De delar ChaCha20-krypteringsalgoritmen och deras lösensedlar, mutex-namn och registervärden är nästan identiska. Dessa djupa kopplingar tyder på att Trinity kan vara en direkt efterföljare till 2023Lock, vilket gör det till ett hot som utvecklas.

Inverkan på hälsovårdsorganisationer

Särskilt utsatta är sjukvården och folkhälsoområdet. En amerikansk sjukvårdsorganisation har redan fallit offer för denna grupp, och från och med nu listar Trinitys läckagesida fem offer. Detta inkluderar Rocky Mountain Gastroenterology, från vilken angriparna hävdar att de stulit 330 gigabyte data.

För närvarande finns det inga dekrypteringsverktyg tillgängliga för Trinity ransomware, vilket lämnar offren med få alternativ. Medan vissa har sett delvis framgång med att använda verktyg för dataåterställning, är behovet av expertkonsultation från cybersäkerhetsproffs stort.

Förbereder för nästa attack

Risken som Trinity och andra familjer med ransomware utgör för sjukvårdssystemen är tydlig. Vilka åtgärder bör din organisation vidta för att förhindra en attack? Är ditt nuvarande försvar tillräckligt för att motstå ett brott? Genomtänkta, proaktiva säkerhetsåtgärder kan vara skillnaden mellan att bli ett offer eller att vara säker.