Η Microsoft προειδοποιεί νοσοκομεία ότι οι gateway και VPN συσκευές τους είναι ευάλωτες σε ransomware επιθέσεις που αναζητούν εκτεθειμένα τελικά σημεία. Ο τεχνολογικός γίγαντας ισχυρίστηκε ότι οι χάκερς που κρύβονται πίσω από το ransomware REVIL (γνωστό και ως Sodinokibi), σαρώνουν το Διαδίκτυο για ευάλωτα συστήματα, με τα VPN να χρησιμοποιούνται σε ευρεία κλίμακα αυτή την περίοδο καθώς ενόψει του COVID-19 οι, εργαζόμενοι είναι υποχρεωμένοι να παραμένουν και να δουλεύουν στο σπίτι. Αυτή η ομάδα των χάκερς φαίνεται να αλλάζει την malware υποδομή που χρησιμοποίησε πέρυσι στις νέες επιθέσεις, οι οποίες έχουν ως στόχο να εκμεταλλευτούν ευάλωτες εγκαταστάσεις υγειονομικής περίθαλψης, όπως τα νοσοκομεία, που βρίσκονται υπό ακραίες πιέσεις καθώς ασχολούνται με τους ασθενείς που έχουν μολυνθεί από τον COVID-19.
Σύμφωνα με την Microsoft, αυτές οι επιθέσεις διαφέρουν από τις ransomware απόπειρες που πραγματοποιούνται σε βασικά προϊόντα, δεδομένου ότι οι χάκερς αξιοποιούν τις διευρυμένες γνώσεις που κατέχουν πάνω στη διαχείριση συστημάτων, εκμεταλλευόμενοι επίσης τις κοινές παρανοήσεις που υπάρχουν σχετικά με την ασφάλεια των δικτύων. Η εταιρεία πρόσθεσε επίσης πως από τη στιγμή που οι χάκερς διεισδύουν σε ένα δίκτυο, εκτελούν διεξοδική αναγνώριση και προσαρμόζουν την κλιμάκωση προνομίων και τις πλευρικές κινήσεις που βασίζονται σε σφάλματα ασφαλείας και σε ευάλωτες υπηρεσίες που ανακαλύπτουν στο δίκτυο. Σε αυτές τις επιθέσεις, οι χάκερς συνήθως επιμένουν, ακόμη και για μήνες, σε δίκτυα που δεν έχουν εντοπιστεί, και στη συνέχεια αναπτύσσουν το ransomware payload. Αυτό το είδος ransomware είναι πιο δύσκολο να αποκατασταθεί γιατί μπορεί να είναι δύσκολο για τα θύματα να ψάξουν να βρουν πού έχουν ανακαλύψει σφάλματα οι χάκερς καθώς και να εντοπίσουν τα inboxes, τα credentials, τα τελικά σημεία ή τις εφαρμογές που έχουν παραβιαστεί.
Σύμφωνα με αναφορές, ransomware επιθέσεις, συμπεριλαμβανομένου του REvil, είχαν βάλει ως στόχο σφάλματα που εντοπίζονταν σε προϊόντα των Citrix ADC και Gateway. Υπάρχει επίσης υποψία ότι η ομάδα εκμεταλλεύτηκε πέρυσι σφάλματα που υπήρχαν στην πλατφόρμα του VPN Pulse Security για να παραβιάσει την Travelex. Το Εθνικό Κέντρο Κυβερνοασφάλειας (NCSC) και η NSA προειδοποίησαν τον περασμένο Οκτώβριο ότι τα προϊόντα αυτά είχαν μπει στο στόχαστρο APT χάκερς.
Η Microsoft συνιστά στους χρήστες να κάνουν ενημερώσεις συχνά και προσεκτικά, να παρακολουθούν με προσοχή την απομακρυσμένη πρόσβαση και να ενεργοποιήσουν τις ειδοποιήσεις για επιθέσεις στα Windows καθώς και το AMSI (Antimalware Scan Interface) για Office VBA σε περιβάλλοντα του Office 365. Τέλος, μια αναφορά που εξέδωσε η εταιρεία τον Φεβρουάριο περιέχει περισσότερες λεπτομέρειες σχετικά με το πώς μπορούν οι χρήστες να αμυνθούν, έως ένα βαθμό τουλάχιστον, στις ransomware επιθέσεις.
