به گزارش کارگروه بین‌الملل سایبربان؛ آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA)، اف‌بی‌آی (FBI)، وزارت بهداشت و خدمات انسانی ایالات متحده و آژانس‌های اطلاعاتی کره جنوبی در ارزیابی مشترک عنوان کردند که سازمان‌ها در بخش مراقبت‌های بهداشتی و سلامت عمومی ایالات متحده از جمله اهداف اصلی برای عوامل تهدید سایبری کره شمالی هستند که از سوی دولت حمایت مالی می‌شوند و هکرها با فعالیت‌های جاسوسی از طریق باج‌افزار و سایر حملات هدف مالی دارند.
این گروه در یک مشاوره مشترک در 9 فوریه امسال، دولت کره شمالی را به عنوان استفاده از درآمد، به شکل ارزهای رمزنگاری شده، از این حملات باج‌افزاری برای تأمین مالی سایر عملیات‌های سایبری از جمله جاسوسی از بخش دفاعی ایالات متحده و کره جنوبی و سازمان‌های پایگاه صنعتی دفاعی توصیف کرد.
حملات باج‌افزاری تحت حمایت دولت با یک مأموریت
در بیانیه مشترک گروه آمده است :
«سازمان‌های نویسنده ارزیابی می‌کنند که مقدار نامشخصی از درآمد حاصل از عملیات‌های ارزهای دیجیتال از اولویت‌ها و اهداف سطح ملی کره شمالی پشتیبانی می‌کند. ما همچنین به قربانیان باج‌افزار در بخش‌های مراقبت‌های بهداشتی و زیرساخت‌های حیاتی نسبت به پرداخت باج هشدار می‌دهیم. انجام این کار تضمینی برای بازیابی پرونده‌ها و سوابق نیست و ممکن است خطرات تحریمی را به همراه داشته باشد.»
گزارش مجله انجمن پزشکی آمریکا (JAMA) در اوایل سال جاری نشان داد که تعداد حملات باج‌افزاری علیه نهادهای بهداشتی بین سال‌های 2016 تا 2021 دو برابر شده است. از مجموع 374 حمله باج‌افزاری علیه سازمان‌های مراقبت‌های بهداشتی ایالات متحده در آن دوره، حدود 44 درصد ارائه مراقبت‌های بهداشتی را مختل کردند.
شایع‌ترین اختلالات شامل خرابی سیستم‌ها، لغو مراقبت‌های برنامه‌ریزی شده و انحراف آمبولانس بود. مطالعه مجله انجمن پزشکی آمریکا نشان داد که بین سال‌های 2016 تا 2021 حملات باج‌افزاری علیه سازمان‌های بزرگ مراقبت‌های بهداشتی با امکانات متعدد افزایش یافته است.
همچنین براساس گزارش ماه ژوئن سال 2022 از شرکت امنیت سایبری سوفوس (Sophos)، 66 درصد از سازمان‌های بهداشتی حداقل یک حمله باج‌افزاری را در سال 2021 تجربه کردند. 61 درصد از این حملات با رمزگذاری داده‌های مهاجمان و درخواست باج برای کلید رمزگشایی خاتمه یافتند.
سوفوس توضیح داد :
«مراقبت‌های بهداشتی بیشترین افزایش را در حجم حملات سایبری (69 درصد) و همچنین پیچیدگی حملات سایبری (67 درصد) نسبت به میانگین بین بخشی به ترتیب 57 و 59 درصد داشته است.»
اینتل جدید، تاکتیک‌های جدید
آخرین توصیه سیسا در مورد امنیت سایبری در این هفته دستورالعمل‌های قبلی خود را در مورد حملات باج‌افزاری با حمایت دولتی از کره شمالی علیه بخش مراقبت‌های بهداشتی و سلامت عمومی ایالات متحده به‌روز می‌کند. این گزارش، به تاکتیک‌ها، تکنیک‌ها و رویه‌های متعدد (TTP) را که عوامل تهاجمی سایبری کره شمالی در حال حاضر هنگام اجرای حملات باج‌افزاری علیه اهداف مراقبت‌های بهداشتی به کار می‌گیرند، اشاره داشت. بیشتر تاکتیک‌ها، تکنیک‌ها و رویه‌های متعدد نمونه‌ای از مواردی هستند که با حملات باج‌افزاری مشاهده می‌شوند و شامل تاکتیک‌هایی مانند حرکت جانبی و کشف دارایی هستند.
این گزارش همچنین چندین ابزار باج‌افزار و شاخص‌های مرتبط با سازش (IoCs) را که بازیگران کره شمالی در حملات به سازمان‌های مراقبت‌های بهداشتی استفاده می‌کنند، برجسته می‌کند. در میان آنها انواع توسعه خصوصی مانند «Maui» و «H0lyGh0st» و ابزارهای رمزگذاری در دسترس عمومی مانند «BitLocker»، «Deadbolt»، «Jogsaw» و «Hidden Tear» وجود داشت.
کارشناسان سیسا در گزارش خود نوشتند :
«در برخی موارد، هکرهای کره شمالی خود را به عنوان گروه‌های باج‌افزاری دیگر مانند گروه باج‌افزاری «Revil» معرفی کرده‌اند.»
سیسا و دیگر گروه‌ها معتقدند که عوامل کره شمالی علاوه بر پنهان‌کردن دخالت خود از طریق همکاری با سایر وابسته‌ها و اشخاص ثالث خارجی، اغلب از دامنه‌ها، پرسوناها و حساب‌های جعلی برای اجرای کمپین‌های خود استفاده می‌کنند. عوامل تهاجمی سایبری کره شمالی همچنین از شبکه‌های خصوصی مجازی (VPN) و سرورهای خصوصی مجازی (VPS) یا آدرس‌های آی‌پی (IP) کشور ثالث استفاده می‌کنند تا به‌نظر برسد که از مکان‌های بی‌ضرر هستند.
این بیانیه برخی آسیب‌پذیری‌های نرم‌افزاری جدیدتر را که گروه‌های تحت حمایت دولت در کره شمالی در حملات باج‌افزاری خود از آنها بهره‌برداری می‌کنند، برجسته کرد. از جمله آسیب‌پذیری «Log4Shell» در چارچوب «Apache Log4j»، «CVE-2021-44228»، و آسیب‌پذیری‌های متعدد در دستگاه‌های سونیک‌وال (SonicWall) بود.
اقدامات پیشنهادی سیسا در برابر تهدید کره شمالی شامل احراز هویت و کنترل دسترسی قوی‌تر، اجرای اصل کمترین امتیاز، استفاده از رمزگذاری و پوشش داده برای محافظت از داده‌ها در حالت استراحت و ایمن‌سازی اطلاعات بهداشتی محافظت شده در طول جمع‌آوری، ذخیره‌سازی و پردازش است.
همچنین از نهادهای مراقبت‌های بهداشتی خواسته شد تا نسخه‌های پشتیبان جداگانه را حفظ، یک طرح واکنش به حادثه ایجاد، سیستم‌های عامل و برنامه‌های کاربردی را به‌روزرسانی و پروتکل دسکتاپ از راه دور (RDP) و سایر مکانیسم‌های دسترسی از راه دور را نظارت کنند.
