A rendszeres kibertámadások elkövetői között szokták listázni Oroszország és Észak-Korea mellett Iránt és Kínát is. Gyakorlatilag a fizikai konfliktusokat, harcokat ma már szinte mindig megelőzik vagy kísérik kiberműveletek is, gondoljunk például az Ukrajna kritikus infrastruktúráját megbénító, áramszüneteket okozó incidensekre. A kórházak elleni ransomware támadásoknál azonban főként oroszországi csoportok ténykedtek, legalábbis eddig.

Egy friss jelentés alapján úgy tűnik, ez a pénzre utazó zsarolóvírus terület az oroszok mellett kínai elkövetők számára is vonzó lett. A kínai kiberbűnözők kormányhivatalokat, az energiaszektort, a gyárakat, pénzügyi szolgáltatásokat és igen kórházakat, egészségügyi intézményeket is megcélozzák szerte a világon.

A Ghost ransomware hackerei elsősorban leginkább Észak-Amerikát és az Egyesült Királyságot támadták meg ransomware programmal. Korábban kínai bűnözői csoportok szinte kizárólag kémkedéssel foglalkoztak, így ez a megjelenés mindenképpen újdonságnak számít.

A Ghost csapat eredetileg még 2021-ben bukkant fel, és a zsarolóvírus eszközeik Cring, Crypt3r, Hello, illetve Phantom neveken is ismertek lehetnek. A névváltoztatások oka nagy valószínűséggel azt szolgálja, hogy a hatóságok nehezebben azonosíthassák egyetlen elkövetőhöz a különféle támadásokat.

A mostani friss figyelmeztetés arról tájékoztat, hogy 2025. eleje óta széles körű támadásba kezdett a Ghost csoport, és immár 70 országot fenyeget, többek közt az egészségügyi szektort is célzó doxinggal kombinált ransomware hullám. Az egészségügy elleni incidensek komoly leállásokat, akár betegek életét is veszélyeztető helyzeteket okozhatnak.

A támadási módszer elsősorban javítatlan sebezhetőségek felkutatására és kihasználására alapoz, így minden elavult rendszert futtató szervezet fokozott kockázatnak van kitéve. Például a javítatlan VPN-kiszolgálók és a régi alkalmazások komoly kockázatot jelentenek, illetve az IT csapatok biztonsági fásultsága is a támadók malmára hajthatja a vizet. Gyakori a behatolás után a rejtett backdoor (hátsóajtó) telepítése is.

A fájlok elkódolása előtt a bizalmas adatok saját szerverekre való kiszivárogtatása biztosítja a támadók számára, hogy a váltságdíj követelésénél nagyobb nyomást tudjanak gyakorolni az áldozatokra, amit szokás szerint Bitcoinban kérnek. 

A hatóságok egyelőre tehetetlenek, mivel a Kínából tevékenykedő elkövetők, bár helyi kormányzati támogatást látszólag nem élveznek, de mégis védettek, és elérhetetlenek a bűnüldöző szervek számára.

A megoldás nem igazán lehet más, mint a megelőzésre és védekezésre tett erőfeszítések: végpont védelem, offline mentések, automatizált patch menedzsment, titkosítás, jogosultság és jelszó policy, és hasonló védelmi lépések.