Какво се промени: Преминаването на Gunra към модела RaaS
FBI издаде ново предупреждение за ransomware Gunra — заплаха, която бързо се е развила от операция на една група до пълноценен бизнес модел ransomware-като-услуга (RaaS). В практически план това означава, че първоначалните разработчици зад Gunra вече не са единствените, които извършват атаки. Те вече лицензират или отдават под наем своя зловреден софтуер и инфраструктура на партньори (affiliates) — престъпни сътрудници, които извършват действителните прониквания и разделят печалбата с основната група.
Тази промяна е важна, защото моделите RaaS обикновено ускоряват мащаба и обхвата на атаките. Вместо един екип бавно да подбира жертви, десетки независими партньори могат едновременно да разполагат същия ransomware в различни индустрии и региони, всеки със свои собствени техники за проникване в мрежи. Препоръката на FBI потвърждава, че Gunra продължава да разчита на подход на двойно изнудване: криптира данните на жертвата, като същевременно краде копия от тях, след което заплашва да публикува откраднатите файлове на специален сайт за изтичане на информация, освен ако не бъде платен откуп.
За контекст относно това как Gunra е изградил репутацията си преди това разширяване, нашето по-ранно покритие на атаките с двойно изнудване на Gunra разгледа как групата първо привлече вниманието на изследователите, разпространявайки се бързо в множество сектори.
Защо двойното изнудване разбива защитата „просто възстанови от резервно копие“
В продължение на години стандартният съвет за оцеляване при ransomware атака беше ясен: поддържайте добри резервни копия и ако бъдете ударени, изтрийте заразените системи и възстановете от чисто копие. Този съвет все още е важен, но вече не решава целия проблем. Двойното изнудване на Gunra е проектирано именно да го победи.
Ето защо. Дори ако организацията жертва може напълно да възстанови системите си от резервно копие и никога да не плати, за да отключи собствените си файлове, нападателите вече са изнесли копие от тези чувствителни данни, преди да криптират каквото и да било. Резервните копия предпазват от загуба на данни, но не правят нищо, за да спрат изтичането или продажбата на откраднати файлове. Сайтът за изтичане на Gunra съществува именно за да приложи този втори слой натиск: платете или вашите клиентски записи, финансови документи или вътрешна комуникация ще станат публични.
Това е основната причина, поради която екипите по сигурността днес говорят за ransomware в контекста на кражба и излагане на данни, а не само на престой на системите. Бързото възстановяване на операциите все още е ценно, но не премахва лоста, който нападателите държат, след като притежават копие от вашите данни.
Кой е изложен на риск, докато партньорите на Gunra се разширяват
Тъй като Gunra вече работи по структура RaaS, кръгът от потенциални жертви вероятно ще се разшири. Партньорите на RaaS обикновено са опортюнисти — те не винаги се насочват към конкретна индустрия, а вместо това атакуват организации, които показват експлоатируеми слабости, като изложени точки за отдалечен достъп, незакърпени софтуерни уязвимости или слаба хигиена на идентификационните данни. Това означава, че организации с различни размери и сектори, не само големи предприятия, могат да попаднат в полезрението им просто защото представляват по-лесен път за влизане.
Предупреждението на FBI е сигнал, че защитниците в правителството, здравеопазването, финансите и други сектори трябва да третират Gunra като активна, развиваща се заплаха, а не като нишов проблем. Тъй като все повече партньори приемат инструментите на групата, обемът и разнообразието от атаки, приписвани на Gunra, вероятно ще нараснат.
Изграждане на стратегия за отбрана в дълбочина
Нито един инструмент не спира ransomware сам по себе си, включително VPN. VPN може да помогне за защита на данните при пренос и да намали излагането на вътрешни мрежови ресурси към отворения интернет, но няма да попречи на нападател да открадне файлове, след като вече е вътре в компрометирана система. Истинският отговор е слоеста защита.
Няколко практически слоя, които си струва да приоритизирате:
- Надеждни, офлайн резервни копия: Дръжте резервните копия изолирани от основната мрежа, така че ransomware да не може да ги достигне и криптира.
- Минимизиране на данните: Съхранявайте само чувствителните данни, от които наистина се нуждаете, и изтривайте или архивирайте останалите. Нападателите не могат да изтекат това, което не притежавате.
- Мрежова сегментация и контрол на достъпа: Ограничете страничното движение, така че един компрометиран акаунт да не може да достигне цялата ви мрежа.
- Инструменти за поверителност на мрежово ниво: VPN и сигурни решения за отдалечен достъп намаляват атакуваната повърхност, изложена на интернет, което затруднява партньорите да намерят лесен вход.
- Управление на кръпките: Много RaaS партньори експлоатират известни, незакърпени уязвимости, а не нови техники, така че актуалността на ъпдейтите затваря лесна врата.
Какво означава това за вас
Независимо дали управлявате ИТ за малък бизнес или просто се грижите за собствените си устройства, моделът на двойно изнудване на Gunra е напомняне, че защитата на данните е повече от възстановяване. Става въпрос за ограничаване на това, което нападателите могат да откраднат на първо място, и за намаляване на това колко изложени са вашите системи на опортюнистично сканиране и експлоатация — точно видът дейност, която разрастващата се мрежа от партньори обикновено поражда.
Ключови изводи
- Ransomware Gunra премина към модел RaaS, което означава, че повече партньори могат да извършват атаки, използвайки неговите инструменти.
- Двойното изнудване означава, че плащането за дешифриране не предотвратява изтичането на откраднати данни.
- Резервните копия остават от съществено значение, но трябва да бъдат съчетани с минимизиране на данните и контрол на достъпа.
- Инструментите за мрежова поверителност като VPN са един слой на защита, а не пълно решение.
- Актуалните кръпки и ограничаването на услугите, изложени на интернет, намаляват шансовете да станете лесна мишена за разрастващите се партньори.
