În cursul nopții de 11 spre 12 februarie 2024 a avut loc un atac cibernetic de tip ransomware asupra companiei Romanian Soft Company (RSC) www.rsc.ro care dezvoltă, administrează și comercializează sistemul informatic Hipocrate (alias HIS). Conform datelor DNSC, atacul a perturbat activitatea a 26 spitale din România care utilizează sistemul informatic Hipocrate:
BACKMYDATA
Malware-ul utilizat în cadrul atacului este aplicația ransomware Backmydata care face parte din familia de malware Phobos, cunoscută pentru propagarea prin conexiuni de tip Remote Desktop Protocol (RDP).
Backmydata este conceput pentru a cripta fișierele țintei vizate utilizând un algoritm complex. Fișierele criptate sunt redenumite cu extensia .backmydata. După criptare, malware-ul furnizează două note de răscumpărare (info.hta și info.txt) cu detalii despre pașii ce trebuie urmați pentru contactarea atacatorilor și stabilirea detaliilor pentru plata răscumpărării.
Familia de ransomware Phobos a evoluat din ransomware-ul Dharma/Crysis și de când a fost observat prima dată, în 2019, a suferit modificări minime în ciuda popularității sale în rândul grupurilor de atacatori cibernetici[1].
Phobos este un Ransomware-as-a-Service (RaaS), unde dezvoltatorii și afiliații nu sunt strâns legați, dar colaborează pentru a distribui malware-ul pe scară largă, vizând diverse organizații și indivizi. Phobos este remarcat pentru tehnicile sale de evaziune și utilizarea de mecanisme simple dar eficace pentru atingerea obiectivelor operaționale. Structura sa descentralizată complică eforturile de a contracara operațiunile sale și de a identifica atacatorii.
Variantele comune de Phobos (precum Eking, Eight, Elbie, Devos și Faust) demonstrează adaptabilitatea și diversitatea acestei familii de ransomware. Afiliații folosesc Tactici, Tehnici și Proceduri (TTPs) similare pentru a implementa Phobos, ce vizează în mod obișnuit infectarea serverelor cu rol important în infrastructurile țintă pentru a exercita presiune asupra victimelor să plătească răscumpărarea.
În Romania, sectorul sănătății a mai fost vizat în 2019 și 2021 de atacuri cibernetice complexe motivate financiar, care au implicat utilizarea malware-ului Phobos[2].
Phobos criptează datele folosind algoritmul AES 256[3] pentru fișiere cu multiple extensii și transmite o notă de răscumpărare de forma următoare:
Nu există până acum niciun indiciu referitor la exfiltrarea (extragerea, descărcarea) datelor de către atacatori în acest caz.
În variantele populare, Phobos își oprește execuția și se auto-elimină de pe dispozitivele de stocare dacă identifică utilizarea de caractere chirilice la nivelul sistemului de operare, aspect comun dezvoltatorilor de malware vorbitori de limbă rusă.
Atacatorii utilizează platforma getsession în comunicarea cu victimele. Aplicația folosește criptarea end-to-end și arhitectură descentralizată pentru a garanta confidențialitatea și a reduce riscul interceptării mesajelor.
RECOMANDĂRI
Directoratul recomandă cu fermitate ca nimeni să nu plătească răscumpărarea către atacatori! Plata răscumpărării nu garantează că datele vor fi recuperate și încurajează atacatorii.
Recomandăm implementarea următoarelor măsuri de securitate cibernetică cu caracter specific:
Recomandăm implementarea următoarelor măsuri de securitate cibernetică cu caracter general:
Telefon 1911
#DNSC #alert #cybersecurity #awareness
[1] Understanding the Phobos affiliate structure and activity
[2] Atac cibernetic cu aplicația ransomware PHOBOS (sri.ro)
[3] Algoritm pentru care nu există modalitate de decriptare
Postat în: cybersecurity ransomware awareness alerta cybersecurity cybersecurity cybersecurity awareness cybersecurity cybersecurity alerta cybersecurity alerta cybersecurity alerta backmydata healtchcare
Vizualizat de 2815 ori