Групата за рансъмуер Gunra разширява модела си RaaS през 2026 г.

Какво представлява Gunra и как се разви от изтеклия код на Conti

Рансъмуерът Gunra се появява за първи път през април 2025 г., изграден върху код, произлизащ от изтеклия изходен код на рансъмуера Conti. Conti беше една от най-продуктивните рансъмуер операции, преди вътрешните му чат логове и builder кодът му да изтекат в интернет през 2022 г., и оттогава този теч захранва малка индустрия от имитиращи варианти. Gunra е един от по-способните наследници, появил се с вградена от самото начало възможност за двойно изнудване: нападателите криптират файловете на жертвата и едновременно с това открадват копия от чувствителни данни, след което използват заплахата от публично разкриване като лост за натиск, заедно с искането за отключване на системите.

Това, което прави Gunra заслужаващ внимание през 2026 г., не е само произходът му, а как е узрял. Групата сега управлява персонализиран портал за преговори на базата на Tor, където жертвите са подложени на натиск да платят, с допълнителната заплаха, че ексфилтрираните данни ще бъдат публикувани, ако исканията не бъдат изпълнени. Това отразява по-широката промяна, която индустрията проследява, където атаките все повече се изграждат около кражба на данни с изнудване, а не само около криптиране. Открадването на данни първо дава на нападателите резервен лост за натиск, дори ако жертвата успее да възстанови системите си от резервни копия, което е точно видът натиск, който Gunra прилага.

Как моделът на афилиейтите на Gunra RaaS умножава заплахата

Операторите на Gunra не спряха само до създаването на зловреден софтуер. През 2026 г. групата се формализира в структурирана програма за рансъмуер като услуга (RaaS), рекламирана открито на форуми в даркнет за набиране на афилиейти. Тази структура RaaS е значима, защото разделя хората, които пишат рансъмуера, от тези, които го разполагат. Разработчиците поддържат и подобряват кода и инфраструктурата за преговори, докато по-широк кръг от афилиейти се занимава с действителните пробиви, често в различни индустрии и региони с различно ниво на умения и избор на цели.

Практическият ефект е мащаб. Превръщането на един добре финансиран оператор в мрежа от франчайз тип означава повече едновременни кампании, повече разнообразие в техниките за първоначален достъп и по-труден проблем за защитниците, които се опитват да изградят единен профил за откриване. Организации от множество сектори сега са обект на атаки под знамето на Gunra, не защото една група е особено агресивна, а защото десетки афилиейти изпълняват свои собствени версии на същия сценарий.

Индикатори за откриване: Разпознаване на пробив от Gunra в ранен етап

Тъй като Gunra се движи от афилиейти, методите за първоначален достъп ще варират между отделните инциденти, но основният модел на атака с двойно изнудване обикновено следва разпознаваема дъга. Екипите по сигурност трябва да следят за големи или необичайни изходящи трансфери на данни, особено към непознати крайни точки за облачно съхранение или Tor exit нодове, тъй като ексфилтрацията обикновено се случва преди началото на криптирането. Неочакваното използване на легитимни инструменти за отдалечен достъп или трансфер на файлове, опити за достъп до идентификационни данни срещу домейн контролери и внезапната поява на непознати планирани задачи или услуги са често срещани предшественици на разполагане на рансъмуер.

Логирането и видимостта на крайните точки са по-важни от всеки единичен подпис тук. Тъй като Gunra произлиза от кодовата база на Conti, но е модифициран от различни афилиейти, статичните правила за откриване, изградени около един образец, може да пропуснат варианти, използвани от друг афилиейт. Мониторингът на поведението, фокусиран върху това какво прави даден процес, а не как изглежда, дава на защитниците по-добър шанс да засекат пробив, преди файловете да бъдат криптирани и данните вече да са излезли навън.

Стратегии за смекчаване: Резервни копия, сегментиране и криптирани комуникации

Основите все още са най-важни. Офлайн, тествани резервни копия остават най-надеждният начин за възстановяване без преговори, а сегментирането на мрежата ограничава докъде може да се придвижи афилиейт, след като получи достъп. Многофакторното удостоверяване на точките за отдалечен достъп и привилегированите акаунти затваря един от най-често срещаните пътища, които рансъмуер групите използват, за да ескалират от едно компрометирано устройство до контрол върху целия домейн. Организациите, които преосмислят стратегията си за възстановяване пред заплахите, ускорени от ИИ, са установили, че третирането на кибер възстановяването като непрекъсната дисциплина, а не като еднократно отмятане на резервно копие, се отплаща, когато инцидентът действително се случи.

Тъй като лостът за натиск на Gunra разчита до голяма степен на откраднати данни, ограничаването на това до какво могат да получат достъп нападателите, преди да криптират каквото и да е, е също толкова важно, колкото планирането на възстановяването. Криптирани, контролирани чрез достъп комуникационни инструменти и инструменти за споделяне на файлове намаляват обема от чувствителен материал, който се съхранява в открит текст или на места с разхлабени права за достъп, свивайки това, с което група за двойно изнудване реално може да ви заплашва. Също така си струва да сте реалисти относно самите преговори: изследванията върху резултатите от плащане на рансъмуер показват, че плащането рядко спира бъдещи атаки, което подсилва, че превенцията и бързото откриване осигуряват далеч по-трайна защита от надеждата, че плащането ще сложи край на проблема.

Какво означава това за вас

Ако управлявате ИТ или сигурността за организация от какъвто и да е размер, структурата RaaS на Gunra означава, че заплахата не е един-единствен противник, който да профилирате, а растяща мрежа от афилиейти, използващи общ инструментариум. Това трябва да премести фокуса от преследването на всеки нов образец към укрепването на основите: силни контроли за достъп, сегментирани мрежи, тествани резервни копия и криптирани канали за чувствителни данни. За отделните служители практическият извод е по-прост: бъдете внимателни с неочаквани подкани за отдалечен достъп, докладвайте бързо за необичайна активност в акаунтите и разберете, че кражбата на данни, не само криптирането на файлове, вече е в центъра на това как се развиват тези атаки.

Ключови изводи

• Gunra е щам на рансъмуер с двойно изнудване, произлизащ от Conti, който през 2026 г. се разшири в пълна програма за афилиейти RaaS.
• Тъй като афилиейтите варират, откриването трябва да се фокусира върху поведението, като необичайни трансфери на данни и злоупотреба с идентификационни данни, а не върху статични подписи на зловреден софтуер.
• Солидната защита срещу рансъмуера Gunra съчетава офлайн резервни копия, сегментиране на мрежата и многофакторно удостоверяване с криптирано и ограничено чрез права за достъп обработване на чувствителни данни.
• Плащането на откуп на Gunra не дава гаранция срещу бъдещи атаки, което прави превенцията и ранното откриване по-надеждната инвестиция.