In einer Aktualisierung zu dem Vorfall teilte die Universität mit, dass das UNM Hospital und das Sandoval Regional Medical Center geöffnet bleiben und alle Kliniken ab Dienstag, dem 27. Oktober, wieder planmäßige Termine und Eingriffe durchführen. In Notfällen sollen Betroffene den Notruf 911 wählen. Der Unterricht an den vier Gesundheitsfakultäten wurde für diesen Tag abgesagt, nicht zwingend benötigte Beschäftigte des Health Sciences Center sollten zu Hause bleiben.

Inzwischen erklärte das UNM Health Sciences Center, alle kritischen elektronischen Systeme seien wieder in Betrieb und sämtliche Krankenhäuser von UNM Health vollständig geöffnet. Der Rettungsdienstverkehr laufe wieder normal, alle Kliniken hätten geplante Termine und Eingriffe wieder aufgenommen. Die rasche Wiederherstellung sei möglich gewesen, weil die IT-Sicherheitsteams gemeinsam “mit externen Partnern das Netzwerk abgesichert” hätten. “Ihre Bewertung ergab, dass das Ereignis einige Endgeräte betraf, aber nicht in Kernsysteme oder Server eingedrungen ist”, teilte die Einrichtung mit. Patienten, Beschäftigte und Studierende wurden aufgefordert, wachsam gegenüber unaufgeforderten Kontaktaufnahmen und Phishing-Versuchen zu bleiben.

Welche Art von Angriff vorlag, gab UNM nicht bekannt. Eine neue Ransomware-Gruppe namens Byod beansprucht die Tat jedoch für sich. Auf ihrer Leak-Seite behaupten die Täter, 36.000 Systeme auf dem Hauptcampus und in den Krankenhausumgebungen kompromittiert zu haben, darunter Active-Directory-Forests, die Group-Policy-Infrastruktur, den gesamten Microsoft-Entra-Tenant und zwei Oracle-Datenbanken. “Das ist euer gesamtes Netzwerk und eure gesamte Infrastruktur kompromittiert, die gesamte Universität KOMPLETT”, schrieb die Gruppe.

Die Angreifer geben an, Zugriff auf persönliche Daten von Studierenden und Beschäftigten zu haben, darunter:

  • Sozialversicherungsnummern (SSNs)
  • Personal-, Gehaltsabrechnungs- und Banner-Studierendendaten
  • interne E-Mails
  • Forschungsdaten
  • Termindaten des Krankenhauses
  • Patienteninformationen
  • Nutzerlisten des Cerner-EHR-Systems

Um Druck für eine Zahlung aufzubauen, kündigte Byod an, den Eintrag zu dem Leck zu entfernen, sobald die Universität Kontakt aufnimmt — vermutlich zu Lösegeldverhandlungen. Eine Anfrage zu den Vorwürfen des Datendiebstahls ließ das UNM Health Sciences Center unbeantwortet.

In einem weiteren Beitrag erklärte die Gruppe, sie werde kostenlose Schlüssel zur Entschlüsselung gesperrter Systeme in Gesundheitseinrichtungen bereitstellen. Zudem versprach sie, bis zu 2.500 Dollar für jeden vom Angriff betroffenen Patienten zu zahlen. “Wir haben Moral und wir haben ein Herz, wir sind keine Bösewichte, aber wir werden Unternehmen weiterhin für schlechte Sicherheit zur Verantwortung ziehen, die zur Kompromittierung von Kundendaten führt”, so die Kriminellen. Gleichzeitig erklärten sie, alle erbeuteten Daten behalten zu wollen.

Byod ist eine neue Ransomware-Gruppe und listet derzeit sechs Opfer auf ihrer Leak-Seite. Bei drei davon wurden die angeblich gestohlenen Daten bereits veröffentlicht. Auf ihrer FAQ-Seite behauptet die Gruppe, sie betreibe “Pentesting”, um Schwachstellen aufzudecken und Datenverantwortliche für Datenschutzverletzungen zur Rechenschaft zu ziehen. Kein Ziel sei grundsätzlich ausgeschlossen, Opfer würden jedoch nach einer ersten Einschätzung ausgewählt; man konzentriere sich auf “diejenigen an der Spitze, die Verbraucher und/oder Kunden als Nummer oder als weiteren Dollar in der eigenen Tasche betrachten”.