Съвместен бюлетин от ФБР, CISA, NSA, Центъра за киберпрестъпления към Министерството на отбраната и южнокорейските агенции за киберсигурност потвърди, че операторите на рансъмуера Gunra са открили начин да заобиколят един от най-доверените инструменти за корпоративна сигурност: многофакторното удостоверяване. Вместо да откраднат еднократен код или да се сдобият с входна сесия чрез фишинг, афилиатите на Gunra пренаписват файловете за удостоверяване директно върху сървърите на жертвите, като на практика деактивират защитите на MFA отвътре, преди да разгърнат криптиране и да откраднат данни.

Бюлетинът, издаден този месец, представлява едно от по-ясните публични потвърждения, че групите за рансъмуер като услуга вече не третират MFA като препятствие, което трябва да измамят. Те го третират като инфраструктура, която просто могат да преконфигурират, след като веднъж са получили опора.

Как Gunra заобиколи MFA на сървърно ниво

Според бюлетина афилиатите на Gunra експлоатират известни уязвимости в защитни стени и VPN устройства на Fortinet, както и пропуски в системи на Schneider Electric, за да получат първоначален достъп до правителствени мрежи, мрежи на критична инфраструктура и корпоративни мрежи. Веднъж попаднали вътре, вместо да се опитват да преодолеят MFA на екрана за вход, нападателите атакуват файловете с конфигурация за удостоверяване, съхранявани на самия сървър.

Като модифицират тези файлове в самия източник, операторите на Gunra успяват да деактивират или заобиколят проверките за MFA, които обикновено биха спрели неоторизирани влизания, без изобщо да се нуждаят от втория фактор на жертвата. Това е съществена разлика спрямо типичните техники за заобикаляне на MFA като подмяна на SIM карта или атаки с умора от push известия, които са насочени към потребителя. Подходът на Gunra е насочен към инфраструктурата, която налага политиката на първо място, което означава, че слабостта е архитектурна, а не поведенческа. Коригирането на известни уязвимости в крайни устройства като защитни стени и VPN устройства – входните точки, на които според бюлетина разчита Gunra – остава най-прекият начин организациите да затворят тази врата, преди да се отвори.

Gunra функционира като рансъмуер като услуга, което означава, че основният зловреден софтуер се изгражда и поддържа от една група, докато афилиатите извършват отделните атаки, като често използват повторно изтекъл код от по-ранни семейства рансъмуер. Тази структура е помогнала операцията да се разрасне бързо в различни сектори и географски региони, тъй като в бюлетина се отбелязва, че вече е засегнала правителствени, здравни и критични инфраструктурни цели в множество държави.

Добра новина в Linux варианта

Бюлетинът посочва и забележима слабост в Linux-базирания инструмент за криптиране на Gunra. Изследователите са установили, че процесът на криптиране оставя след себе си артефакти от времевите отпечатъци на файловете, които в някои случаи могат да се използват за възстановяване на ключовете за декриптиране, без да се плаща нищо на нападателите. За организациите, които управляват Linux сървъри, засегнати от този конкретен вариант, това отваря път към възстановяване на криптираните данни чрез съдебномедицински анализ, а не чрез преговори с престъпна група.

Този вид недостатък в реализацията не е необичаен при семейства рансъмуер, които използват повторно или адаптират изтекъл код, и не означава, че всяка жертва на Gunra може да се възстанови безплатно. Изглежда, че инструментът за криптиране при Windows няма същата слабост, и организациите трябва да третират всеки опит за възстановяване като задача за опитни специалисти по реагиране на инциденти, а не като решение „направи си сам“. Въпреки това това е рядка добра новина в пейзажа на рансъмуера, където жертвите обикновено са принудени да избират между плащане и възстановяване от резервни копия.

Този избор има значение, защото доказателствата все повече показват, че плащането не решава надеждно проблема. Проучване на Proofpoint установи, че плащането на рансъмуер банди често има обратен ефект, като много организации съобщават, че въпреки това са загубили данни, били са подложени на повторни атаки или никога не са получили използваеми инструменти за декриптиране дори след плащане. Бюлетинът за Gunra затвърждава този модел: най-сигурният залог е превенцията и възможността за възстановяване, а не преговорите.

Какво означава това за вас

Повечето читатели на този бюлетин няма да бъдат пряка цел на Gunra, но основният урок важи широко. MFA е критичен слой на защита, но не е непогрешим, особено когато нападателите могат да достигнат до сървърната конфигурация, която го налага. Ако управлявате ИТ системи за бизнес, болница, училище или местна правителствена агенция, този бюлетин е сигнал да проверите дали фърмуерът на вашата защитна стена и VPN устройства е актуален, тъй като първоначалният достъп на Gunra разчита в голяма степен на известни, поправими уязвимости.

За обикновените потребители изводът е по-малко за това конкретно семейство рансъмуер и повече за това как управлявате собствените си данни. Редовното поддържане на офлайн резервни копия на важни файлове остава една от малкото защити, които работят независимо от това как нападателят е влязъл. Колко дълго съхранявате копия на чувствителни файлове и къде, също влияе върху излагането ви, ако услуга, която използвате, някога бъде пробита; разбирането на собствените ви навици за съхранение на данни и тези на платформите, на които разчитате, е практична стъпка към ограничаване на това, което всеки отделен пробив може да разкрие.

Основни изводи

Организациите, които управляват изложено на интернет оборудване на Fortinet или Schneider Electric, трябва незабавно да дадат приоритет на прилагането на кръпки, тъй като това е документираната входна точка за проникванията на Gunra. ИТ екипите трябва да проверяват сървърните конфигурации за удостоверяване за неоторизирани промени, вместо да приемат, че MFA работи само защото е активирано. Linux администраторите, засегнати от Gunra, трябва да се консултират със специалисти по реагиране на инциденти, преди да приемат, че файловете са окончателно загубени, предвид описаната в бюлетина слабост за възстановяване въз основа на времеви отпечатъци. А за всички останали този бюлетин е поредно напомняне, че рансъмуерът Gunra и подобни групи успяват най-често срещу остаряла инфраструктура, което прави управлението на кръпките и дисциплината за резервните копия по-ценни от всеки отделен инструмент за сигурност.