Microsoft-Warnung: Neue INC-Ransomware zielt auf das US-Gesundheitswesen

Laut einem kürzlich veröffentlichten Microsoft-Warnungwurde ein Bedrohungsakteur mit böswilligen finanziellen Motiven dabei beobachtet, wie er eine neue INC-Ransomware-Variante einsetzt, um den Gesundheitssektor in den Vereinigten Staaten anzugreifen. In diesem Artikel gehen wir den Details auf den Grund und stellen fest, wer der Bedrohungsakteur ist und wie solche Angriffe durchgeführt werden. Fangen wir an!

Microsoft-Warnung Über Vanilla Tempest

Angesichts der Details in der Microsoft-Warnungverfolgen die Threat Intelligence-Teams die Aktivitäten dieses Bedrohungsakteurs unter dem Namen Vanilla Tempest, früher bekannt als DEV-0832 und Vice Society.

Seit 2021 hat sich der Bedrohungsakteur den Ruf erworben, verschiedene Sektoren ins Visier zu nehmen, darunter das Bildungswesen, das Gesundheitswesen, die IT und die Industrie. Zu den verschiedenen Ransomware-Stämmen, die bei diesen Angriffen verwendet wurden, gehören:  

• Rhysida
• Zeppelin. 
• BlackCat. 
• Quantum Locker. 

CheckPoint, ein Unternehmen für Softwaretechnologien, brachte Vanilla Tempest auch mit einer Ransomware-Gruppe namens Rhysida in Verbindung. Es wurde aufgedeckt, dass die von dieser Gruppe durchgeführten Angriffe auch auf den Gesundheitssektor abzielten und den Verkauf von Patientendaten zum Ziel hatten, die vom Lurie Children's Hospital in Chicago erworben wurden.

In Anbetracht der Aktivitäten des Bedrohungsakteurs als Vice Society wird angenommen, dass die bösartige Online-Kriminalitätsgruppe dafür bekannt ist, bereits vorhandene Schließfächer für ihre Angriffe zu verwenden, anstatt eine eigene Version zu entwickeln. 

Die INC-Ransomware

Diejenigen, die sich für die Wiederherstellung und Schutz vor solchen Online-Bedrohungen zu schützen, müssen wissen, dass die INC-Ransomware, die in der Microsoft-Warnung eine Ransomware-as-a-Service (RaaS) ist. Böswillige Online-Operationen, die mit dieser Ransomware zusammenhängen, haben seit Juli 2023 sowohl öffentliche als auch private Organisationen zum Ziel. Zu diesen Zielen gehören:

• Yamaha Motor Philippinen. 
• Schottlands Nationaler Gesundheitsdienst (NHS).
• Die US-Abteilung von Xerox Business Solutions (XBS).

Es ist erwähnenswert, dass der Quellcode für die Windows- und Linux/ESXi-Verschlüsselungsversionen von INC Ransom im Mai 2024 für 300.000 US-Dollar zum Verkauf angeboten wurde. Der Bedrohungsakteur hinter diesem Verkauf war "salfetka". und die Ankündigung wurde in Exploit- und XSS-Hacking-Foren gemacht.

Vanille-Sturmangriffskette

Laut dem Microsoft-Warnungsind die jüngsten Cyberangriffe auf den US-Gesundheitssektor das erste Mal, dass dieser Bedrohungsakteur das INC-Ransom-Tool verwendet hat. Die Bedrohungsdaten Microsoft-Warnunghat in einer Reihe von Beiträgen auf X erklärt dass:

"Vanilla Tempest wird von dem Bedrohungsakteur Storm-0494 mit GootLoader-Infektionen versorgt, bevor er Tools wie die Supper-Backdoor, das legitime AnyDesk-Tool zur Fernüberwachung und -verwaltung (RMM) und das MEGA-Tool zur Datensynchronisierung einsetzt."

Sobald die Tools installiert sind, beginnen die Angreifer, sich seitlich durch ein kompromittiertes Netzwerk zu bewegen, indem sie Remote-Desktop-Protokolle. Danach verwenden die Bedrohungsakteure den Windows Management Instrumentation (WMI) Provider Host für die Bereitstellung des Ransomware-Angriffs.

Medienberichte über den Microsoft-Warnung behaupten, dass solche Bedrohungsakteure auch Azure Storage Explorer und AzCopy nutzen, um sensible Daten zu extrahieren und dabei zu versuchen, die Entdeckung zu umgehen.

Schlussfolgerung 

Das Auftauchen von Vanilla Tempest und der Einsatz von INC-Ransomware gegen das US-Gesundheitswesen verdeutlichen die anhaltenden Cyber-Bedrohungen für kritische Sektoren. Organisationen müssen wachsam bleiben und robuste Cybersicherheitsmaßnahmenund die sich weiterentwickelnden Taktiken dieser Bedrohungsakteure genau beobachten, um den potenziellen Schaden zu begrenzen.

Die Quellen für diesen Artikel sind unter anderem Artikel in Die Hacker-Nachrichten und Tech Business Nachrichten.