Lazarus tar i bruk Medusa-løsepengevirus mot Midtøsten og amerikansk helsevesen

Den nordkoreanskknyttede Lazarus-gruppen er observert med Medusa-løsepengevirus i angrep mot en unavngitt virksomhet i Midtøsten og i et forsøk på inntrengning hos en amerikansk helsetjenesteleverandør. Symantec og Carbon Black Threat Hunter Team beskriver dette som en dreining fra egenutviklet skadevare mot løsepengevirus som tjeneste, trolig for å spare tid og ressurser. Gruppen tok i bruk en rekke verktøy for legitimasjonstyveri, bakdørstilgang og uttrekk av data, i tråd med den finansielle motivasjonen som har preget aktiviteten deres.

Hva det betyr for virksomheten

Når statstilknyttede grupper bruker de samme løsepengeviruskitene som kriminelle, blir skillet mellom spionasje og vinningskriminalitet mindre nyttig for den som skal forsvare seg. Angriper er kanskje mer tålmodig og bedre trent enn en gjennomsnittlig kriminell, men verktøyene og forløpet ligner. Konsekvensen er den samme uansett: driftsstans, krypterte systemer og uttrukket data. Helse og annen kritisk virksomhet er særlig utsatt fordi driftsstans der har direkte konsekvenser for mennesker.

Berigo anbefaler

• Kontroller at sikkerhetskopier er uforanderlige og atskilt, og at gjenoppretting av et helt kritisk system er testet i praksis.
• Begrens administratorrettigheter og innfør trinnvis tilgang, slik at legitimasjonstyveri ikke gir angriperen hele miljøet.
• Ha en beredskapsplan som også dekker uttrukket data og utpressing, ikke bare kryptering og gjenoppretting.
• Øv på hendelsen med ledergruppen, inkludert beslutningen om hva dere gjør med et løsepengekrav.

Kilde

• security.com
• thehackernews.com
• welivesecurity.com