Какво разкрива предупреждението на CISA/ФБР за рансъмуера Gunra

Агенцията за киберсигурност и сигурност на инфраструктурата (CISA) и ФБР, в сътрудничество с американски правителствени и международни партньори, публикуваха съвместно предупреждение за киберсигурност, озаглавено #StopRansomware: Gunra Ransomware. Предупреждението проследява група за рансъмуер, която се появява за първи път през април 2025 г. и тихомълком си създава репутация с агресивни кампании за изнудване под високо напрежение.

Според предупреждението, Gunra работи по модел на двойно изнудване. Това означава, че групата не само заключва файловете на жертвата чрез криптиране; тя също краде, или ексфилтрира, чувствителни данни преди да ги криптира. Това дава на атакуващите две отделни точки за натиск върху целите им: едната, за да изискат плащане за ключ за декриптиране, и другата, за да изискат плащане, за да предотвратят изтичането или продажбата на откраднатите данни. В предупреждението се отбелязва, че исканията за откуп се извършват чрез структурирани канали за плащане, което е отличителен белег на рансъмуер операциите, преминали от опортюнистични атаки към организирано, бизнес-подобно изнудване.

Фактът, че федералните агенции са сметнали за необходимо да издадат специално предупреждение за група, която е активна едва от пролетта на 2025 г., говори за това колко бързо Gunra е ескалирала. Съвместни предупреждения от този вид обикновено се запазват за заплахи, за които агенциите смятат, че активно са насочени срещу широк кръг организации, а не са изолирани инциденти.

Как атаките с двойно изнудване превръщат откраднатите данни в оръжие

Основната опасност на двойното изнудване е, че то променя сметките на жертвите. При по-старите рансъмуер атаки, организация с надеждни резервни копия често можеше да откаже да плати и просто да възстанови системите си. Двойното изнудване премахва тази предпазна мрежа. Дори ако една компания може да възстанови мрежата си от резервни копия, без да плаща за ключ за декриптиране, атакуващите все още държат откраднатите данни като заложник и могат да заплашат да ги публикуват или продадат.

Тази тактика има по-широки последици, отколкото повечето хора осъзнават. Откраднатите данни рядко остават ограничени до вътрешни фирмени записи. Те често включват имена на клиенти, данни за контакт, информация за плащане и други лични данни, които веднъж ексфилтрирани, могат да бъдат използвани за оказване на натиск върху бизнеса от множество ъгли. Както беше разгледано в предишен анализ за това как банди за рансъмуер вече заплашват да се свържат с вашите клиенти, някои групи са отишли крачка по-далеч, като директно се свързват с клиентите на организацията-жертва, предупреждавайки ги, че личната им информация е била открадната и ги призовават да окажат натиск върху компанията да плати. Подходът на Gunra за двойно изнудване напълно се вписва в същия модел на превръщане на откраднатите данни в оръжие срещу както пробитата организация, така и срещу хората, чиято информация е съдържала.

За малките и средни предприятия, това означава, че инцидентът с рансъмуер вече не е чисто ИТ проблем. Той може бързо да се превърне в проблем с доверието на клиентите и репутацията, независимо дали откупът в крайна сметка бъде платен.

Отбранителни стъпки, които малките предприятия могат да предприемат сега

Публикуването на предупреждението е полезен стимул за организации от всякакъв размер да преразгледат защитите си срещу рансъмуер, особено след като групи като Gunra не изглежда да ограничават целите си само до големи предприятия. Няколко основни стъпки имат голямо значение:

  • Поддържайте офлайн или неизменни резервни копия, които не могат да бъдат променяни или изтривани от атакуващ, получил достъп до мрежата.
  • Сегментирайте мрежите, така че компрометирането на една система, като работна станция на служител, да не може лесно да се разпространи към сървъри, съдържащи чувствителни клиентски данни.
  • Налагайте многофакторна автентикация за инструменти за отдалечен достъп, имейл и административни акаунти, тъй като откраднатите идентификационни данни остават една от най-често срещаните входни точки за операторите на рансъмуер.
  • Своевременно прилагайте кръпки за системи, достъпни от интернет, тъй като неактуализираният софтуер рутинно се експлоатира за получаване на първоначален достъп.
  • Разработете и тествайте план за реакция при инциденти преди да се случи атака, а не след това.

Антивирусният софтуер все още има роля, но той никога не е бил проектиран да спре атакуващ, който вече се е внедрил и ексфилтрира данни в продължение на дълъг период. Слоестата защита има по-голямо значение от който и да било отделен инструмент.

Защо криптирането на резервните копия и свеждането на данните до минимум са по-важни от всякога

Само резервните копия не са достатъчни, ако целта е двойно изнудване. Криптирането на данните в резервните копия в покой и ограничаването на това кой може да ги достъпва или променя, намалява вероятността атакуващите да манипулират опциите за възстановяване по време на разузнавателната фаза на атаката. Също толкова важно е свеждането на данните до минимум: предприятията, които събират и съхраняват само клиентската информация, от която действително се нуждаят, свиват обема от данни, които атакуващ като Gunra би могъл да ексфилтрира и по-късно да използва като лост за натиск. Старите записи, които стоят в неизползвана база данни, са пасив, а не актив.

Какво означава това за вас

Ако управлявате малък бизнес или ръководите ИТ за такъв, предупреждението за Gunra напомня, че готовността за рансъмуер вече трябва да отчита и откраднатите данни, не само заключените файлове. Кампаниите за двойно изнудване на рансъмуера Gunra успяват, защото експлоатират както оперативното прекъсване от криптирането, така и репутационните последици от изтичането на данни. Подготовката само за едното без другото оставя пропуск, който атакуващите все повече са обучени да намират.

Практически изводи

  • Прегледайте стратегията си за резервни копия, за да се уверите, че копията са офлайн, неизменни и криптирани.
  • Одитирайте какви клиентски данни действително трябва да съхранявате и изтрийте тези, които не са ви нужни.
  • Проверете дали многофакторната автентикация е активирана за всички точки за отдалечен и административен достъп.
  • Изградете план за реакция при инциденти, който включва процедури за уведомяване на клиентите, тъй като откраднатите данни могат да бъдат използвани директно срещу тях.
  • Бъдете в течение с предупрежденията от CISA и ФБР, тъй като новите групи за рансъмуер продължават да възприемат същия подход за двойно изнудване.