Trinity: нов компютърен вирус всява хаос в здравеопазването в САЩ

Специалистите ще трябва да разберат дали Trinity е мутант на стари вируси или нов продукт.

Американските здравни заведения са станали жертва на нова програма за изнудване, наречена Trinity. Според Министерството на здравеопазването и човешките ресурси на САЩ тактиката и методите на групата, стояща зад Trinity, представляват „значителна заплаха“ за здравния сектор и общественото здравеопазване в САЩ. Експертите отбелязват, че програмата е била открита за първи път през месец май 2024 г. и може да се разпространи буквално навсякъде.

Съобщава се, че рансъмуерът Trinity е нанесъл вреди на най-малко 7 организации, 2 от които са в сектора на здравеопазването. Една от жертвите е базиран в САЩ доставчик на гастроентерологични услуги, от който са откраднати 330 GB данни. Институцията, чийто уеб сайт преди това е съобщил за технически проблеми и ограничен достъп до телефонните системи, все още не е идентифицирана, но в сайтовете за изтичане на информация за Trinity се споменава. За друг случай е съобщено в Обединеното кралство. Освен това изследователите съобщават за друг инцидент, включващ група зъболекари в Ню Джърси.

Експертите обръщат внимание на приликите между Trinity и два други вида рансъмуера – 2023Lock и Venus. Това показва възможно сътрудничество между киберпрестъпните групи. Подобно на други подобни програми, Trinity използва вече известни уязвимости за кражба на данни и изнудване.

След като бъде инсталирана, програмата събира най-различни системни данни, включително информация за процесорите и наличните дискове, след което сканира мрежата за уязвимости с цел по-нататъшно разпространение. Криптираните файлове получават разширението „trinitylock“, след което на работния плот или в папките, съдържащи криптираните данни, се появява съобщение за откуп.

Програмата също така се опитва да увеличи правата си за достъп, като имитира легитимни процеси, което ѝ позволява да заобикаля мерките за сигурност. Trinity сканира мрежата и се придвижва, като заразява други системи.

Съобщението включва инструкции и имейл адрес за връзка. На жертвите се дават 24 часа, за да платят откупа в криптовалута, в противен случай данните ще бъдат публикувани. Специалистите отбелязват, че към момента няма никакви методи за декриптиране на данните. Операторите на програмата използват два уеб сайта – единият за подпомагане на тези, които са платили откупа, а другият за показване на откраднатите данни с цел оказване на натиск върху жертвите.

Установено е също така, че Trinity и Venus имат общи черти в своята кодова база и методи за криптиране, което може да подскаже, че Trinity е нова версия на 2023Lock. Подобни изводи са направени и от други изследователи, които отбелязват, че Trinity може да е ребрандирана версия на Venus и 2023Lock.

За борба с тази заплаха експертите препоръчват сегментиране на мрежите, използване на резервни копия и актуализиране на софтуера.