CISA и ФБР разкриват две уязвимости, използвани от рансъмуера Gunra

Агенцията за киберсигурност и сигурност на инфраструктурата (CISA), ФБР и техните правителствени партньори публикуваха допълнителни технически подробности за това как операторите на рансъмуера Gunra проникват в мрежите на жертвите. Според последния съвместен съвет, асоциираните с Gunra лица получават първоначален достъп чрез две известни уязвимости в устройства, изложени към интернет – вида периферно оборудване, VPN шлюзове, защитни стени и устройства за отдалечен достъп, които се намират в периметъра на почти всяка организационна мрежа.

Това е продължение на предишни предупреждения за операцията тип „рансъмуер като услуга“, която агенциите по-рано посочиха за насочване към сектора на здравеопазването и за провеждане на агресивна схема за двойно изнудване, която съчетава кражба на данни с криптиране на файлове. Новото ръководство се фокусира върху механиката на самото проникване, като дава на защитниците по-ясна картина точно къде да съсредоточат вниманието си.

Уязвимостите, които операторите на Gunra експлоатират

Според съвета, операторите на Gunra не разчитат на нови експлойти от типа „нулев ден“. Вместо това те експлоатират две вече известни уязвимости в устройства, изложени към интернет – софтуера и уредите, които организациите излагат към публичния интернет, за да позволят отдалечена работа, свързаност между обекти или външни услуги. Този модел е в съответствие с начина, по който действат повечето филиали на „рансъмуер като услуга“: вместо да инвестират в скъпо разработване на експлойти, те сканират интернет за некоригирани системи и влизат през врати, които е трябвало вече да бъдат затворени. Урокът за защитниците е ясен. Известните уязвимости остават опасни дълго след като бъдат разкрити, тъй като циклите на коригиране в реалните организации често са по-бавни от темпото, с което атакуващите въоръжават публичния код за експлойти.

Как Gunra получава опора, след като влезе вътре

След като филиалите на Gunra експлоатират някоя от тези входни точки, те използват този достъп, за да проникнат по-дълбоко в мрежата. Устройствата, изложени към интернет, като VPN концентратори и защитни стени, са привлекателни цели именно защото компрометирането им често осигурява ниво на доверие, което вътрешните системи приемат за легитимно. Оттам операторите могат да установят устойчивост, да събират идентификационни данни и да започнат картографиране на мрежата в подготовка за етапите на кражба на данни и криптиране, които определят модела на двойно изнудване на Gunra. Тъй като първоначалното компрометиране се случва в периферията на мрежата, организациите, които третират периферните устройства като инфраструктура „настрой и забрави“, са особено изложени. Тези устройства често се внедряват веднъж, конфигурират се за непрекъсната работа, а не за сигурност, и остават да работят с години без преглед на фърмуера или корекциите.

Стъпки за корекции и конфигурация за затваряне на пропуските

Основната препоръка на съвета е тази, която се прилага широко в кампаниите за рансъмуер, не само за Gunra: коригирайте незабавно устройствата, изложени към интернет, и приоритизирайте известните, активно експлоатирани уязвимости пред рутинните актуализации. ИТ и екипите по сигурност трябва да поддържат текущ списък на всяко устройство, изложено към интернет, включително VPN шлюзове, защитни стени и инструменти за отдалечен достъп, и да потвърждават, че всяко от тях работи с поддържана, актуализирана версия. Когато коригирането не може да се извърши незабавно, организациите трябва да обмислят спиране на засегнатата услуга или ограничаване на достъпа, докато не бъде приложена корекция. Многофакторното удостоверяване на всички точки за отдалечен достъп, съчетано с регистриране и сигнализиране за необичайна активност при влизане, добавя още един слой на съпротива, дори ако дадено устройство има некоригиран пропуск.

Защо контролът на VPN достъпа и мрежовото сегментиране ограничават разпространението на рансъмуера

Дори при дисциплинирано коригиране, никоя организация не може да гарантира нулева изложеност по всяко време. Ето защо контролът на достъпа и сегментирането имат толкова голямо значение, колкото и първоначалната корекция. VPN достъпът трябва да бъде строго ограничен, като на потребителите се предоставят само мрежовите сегменти, от които реално се нуждаят, а не широк достъп до цялата среда. Сегментирането на мрежите така, че компрометирано периферно устройство да не може да достигне директно чувствителни системи, сървъри за архивиране или домейн контролери, може да бъде разликата между ограничен инцидент и пълномащабно събитие с рансъмуер. Тези контроли не предотвратяват всяко проникване, но забавят атакуващите и дават на защитниците време да открият и реагират, преди да настъпят криптиране и извличане на данни.

Какво означава това за вас

За ИТ администраторите и екипите по сигурност този съвет е напомняне, че групите за рансъмуер като Gunra продължават да успяват, като експлоатират основите: некоригирани системи и прекалено разрешителен мрежов достъп, а не сложни нови атаки. Ефективната защита срещу рансъмуера Gunra започва с честен одит на всяко устройство, което вашата организация излага към интернет. Ако работите в здравеопазването или в друг сектор, посочен преди това в съветите за Gunra, спешността е още по-голяма, тъй като групата вече е показала готовност да атакува конкретно тези среди.

Практически изводи

Организациите трябва да инвентаризират всички устройства, изложени към интернет, включително VPN шлюзове и защитни стени, и да потвърдят състоянието на корекциите спрямо известните уязвимости. Ограничете отдалечения достъп с многофакторно удостоверяване и VPN разрешения с минимални привилегии. Сегментирайте мрежите така, че едно компрометирано устройство да не може да разкрие архиви или критични системи. Прегледайте предишните съвети на CISA, ФБР и NSA относно насочването на Gunra към здравеопазването и тактиките за двойно изнудване за пълните технически индикатори и насоки, специфични за сектора, необходими за изграждане на цялостен план за защита.