САЩ и Южна Корея предупреждават за нарастващата заплаха от ransomware Gunra

Какво разкрива новият съвместен доклад на САЩ и Южна Корея за растежа на Gunra

Американските и южнокорейските власти издадоха ново съвместно предупреждение за ransomware Gunra, а посланието е категорично: тази операция расте, както по отношение на техническата си сложност, така и по размер на своята мрежа от партньори. Докладът следва по-ранни предупреждения от CISA, ФБР и NSA, които първи определиха Gunra като сериозна заплаха за здравния сектор. Този най-нов бюлетин показва, че Gunra не е забавил темпото оттогава. Вместо това изглежда, че се разраства, привлича повече партньори и разширява обхвата си към повече индустрии и географски региони.

За читателите, които следят тенденциите в ransomware, това е познат и тревожен модел. Семейство ransomware бива отбелязано като насочено към един сектор, в случая здравеопазването, и вместо да изчезне след вниманието на правоприлагащите органи, то се професионализира. Повече партньори означава повече опити за атаки, повече вариации в тактиките и по-трудна мишена за защитниците. Съвместният доклад на САЩ и Южна Корея предполага, че точно такова разширяване е в ход, като международното сътрудничество отразява колко сериозно агенциите от двете страни на Тихия океан приемат заплахата.

Как моделът на партньорите на Gunra разширява атакуваната повърхност

Съвременните ransomware операции рядко функционират като единен централизиран екип. Gunra следва често срещания модел ransomware-като-услуга, при който основна група разработва и поддържа зловредния софтуер и инфраструктурата, след което предоставя достъп на партньори, които извършват действителните прониквания. Всеки партньор носи своите предпочитани методи за първоначален достъп, независимо дали става въпрос за фишинг, експлоатиране на изложени отдалечени услуги или закупуване на откраднати идентификационни данни от други престъпни пазари.

Тази структура е точно причината властите да предупреждават за растеж на мрежата от партньори, а не само за самия зловреден софтуер. Повече партньори означава повече входни точки, повече вариации в начина, по който организациите биват компрометирани, и по-широк обхват на потенциални жертви извън здравните цели, посочени в по-ранните доклади. Това също така прави Gunra по-труден за идентифициране чрез единичен детекционен подпис, тъй като различни партньори може да използват различни техники за доставка, дори когато разполагат със същия основен ransomware товар.

Организациите в сектори, които досега са се чувствали защитени от Gunra, защото не са болници или клиники, трябва да приемат това разширяване сериозно. Операциите ransomware-като-услуга преследват възможности, а не само лоялност към даден сектор, а разширяващата се база от партньори обикновено означава разширяващ се списък с цели.

Къде се вписва VPN в многослойната защита срещу ransomware

Добре конфигурираният VPN е легитимна част от защитния пъзел, но сам по себе си не е щит срещу ransomware. VPN основно защитава данните при пренос и може да ограничи отдалечения достъп до вътрешни системи, което е от значение, защото изложените отдалечени точки за достъп са един от най-честите начини, по които партньорите на ransomware получават първоначална опора. Изискването за VPN достъп със силно удостоверяване, преди някой да може да достигне до вътрешните мрежови ресурси, затваря един често срещан път за влизане, който опортюнистичните партньори търсят.

Но VPN не прави нищо, за да спре ransomware, след като атакуващият вече е вътре в мрежата, нито защитава от фишинг имейли, злонамерени прикачени файлове или компрометирани идентификационни данни, използвани за влизане чрез легитимна на вид връзка. Ето защо по-ранният съвместен доклад, обхващащ Gunra ransomware, насочен към здравеопазването, подчерта комбинация от контроли, а не единичен инструмент. Отнасянето към VPN като към пълен отговор на риска от ransomware създава фалшиво чувство за сигурност, което атакуващите с радост експлоатират.

Практически стъпки: сегментиране, резервни копия и основи на криптирането

Най-ефективният отговор на нарастваща заплаха от ransomware като Gunra е многослойната защита, при която отказът на нито един контрол не води директно до катастрофална загуба на данни. Няколко практически приоритета се открояват:

Сегментирането на мрежата ограничава докъде може да стигне атакуващият, след като получи опора. Ако партньори компрометират една работна станция или един отдалечен акаунт за достъп, сегментирането може да предотврати разпространението на този достъп странично към критични сървъри, резервни системи или чувствителни бази данни.

Стратегията за резервни копия остава една от най-важните защити срещу всеки вариант на ransomware, включително Gunra. Резервните копия трябва да бъдат офлайн или по друг начин изолирани от основната мрежа, редовно тествани за възстановяване и покрити от ясен план за възстановяване. Операторите на ransomware все по-често атакуват директно резервните системи, така че резервни копия, достъпни от същата мрежа като производствените системи, предлагат малка реална защита.

Основите на криптирането, което означава криптиране на чувствителните данни в покой и налагане на силно удостоверяване за всеки, който има достъп до тях, намалява стойността на откраднатите данни, дори ако партньор успее да извлече файлове, преди да разположи ransomware — тактика, която групите за двойно изнудване често използват.

Преглеждането на насоките в оригиналния доклад за Gunra ransomware, насочен към здравеопазването е полезно за всяка организация, която изгражда или актуализира своя защитен план, тъй като той описва модела на ескалация, довел до това по-ново и по-широко предупреждение.

Какво означава това за вас

Ако вашата организация е извън здравеопазването, не предполагайте, че разширяващата се мрежа от партньори на Gunra ви прави по-нисък приоритет. Групите ransomware-като-услуга следват възможностите, а доклад, който посочва нарастваща база от партньори, на практика е предупреждение, че повече сектори вече са в обхвата. Ефективната защита срещу Gunra ransomware не означава намиране на един вълшебен инструмент. Тя означава комбиниране на контроли за достъп, сегментиране на мрежата, тествани офлайн резервни копия и криптиране на данните в стратегия за защита в дълбочина, която предполага, че всеки отделен слой може в крайна сметка да се провали.

Практически изводи

• Прегледайте политиките за отдалечен достъп и се уверете, че използването на VPN е съчетано със силно многофакторно удостоверяване, а не се третира като самостоятелна защита.
• Одитирайте сегментирането на мрежата, за да потвърдите, че компрометирането на една система или акаунт не предоставя широк страничен достъп.
• Тествайте процедурите за възстановяване от резервни копия сега, преди инцидент да ви принуди да откриете пропуски под напрежение.
• Криптирайте чувствителните данни в покой, за да намалите лоста, който тактиките за двойно изнудване дават на атакуващите.
• Бъдете в течение с докладите на CISA, ФБР и международните партньори, тъй като ransomware операции като Gunra се развиват бързо и насоките се актуализират с появата на нови тактики.