Agentura pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA), FBI a jejich vládní partneři zveřejnili další technické podrobnosti o tom, jak se aktéři ransomwaru Gunra dostávají do sítí obětí. Podle nejnovějšího společného varování získávají afiliáti Gunra počáteční průnik prostřednictvím dvou známých zranitelností v zařízeních vystavených internetu – tedy v okrajovém hardwaru, VPN branách, firewallech a zařízeních pro vzdálený přístup, která se nacházejí na perimetru sítě téměř každé organizace.
Jedná se o navazující informaci k dřívějším varováním o této operaci typu ransomware jako služba, na kterou agentury dříve upozornily kvůli cílení na sektor zdravotnictví a kvůli agresivnímu schématu dvojitého vydírání, které kombinuje krádež dat se šifrováním souborů. Nové pokyny se zaměřují na samotnou mechaniku průniku a poskytují obráncům jasnější představu o tom, kam přesně zaměřit pozornost.
Zranitelnosti, které aktéři Gunra zneužívají
Podle varování se aktéři Gunra nespoléhají na nové zero-day exploity. Namísto toho zneužívají dvě již známé zranitelnosti v zařízeních vystavených internetu, tedy v softwaru a zařízeních, která organizace vystavují veřejnému internetu kvůli vzdálené práci, propojení lokalit nebo externím službám. Tento vzorec odpovídá tomu, jak funguje většina afiliátů ransomwaru jako služby: místo investic do nákladného vývoje exploitů skenují internet a hledají nezáplatované systémy, a pak procházejí dveřmi, které už měly být dávno zavřené. Poučení pro obránce je jednoduché. Známé zranitelnosti zůstávají nebezpečné ještě dlouho po zveřejnění, protože cykly záplatování v reálných organizacích bývají pomalejší než tempo, jakým útočníci přeměňují veřejný exploit kód na zbraň.
Jak Gunra získává opěrný bod po průniku
Jakmile afiliáti Gunra zneužijí některý z těchto vstupních bodů, využijí tento přístup k postupu hlouběji do sítě. Zařízení vystavená internetu, jako jsou VPN koncentrátory a firewally, jsou atraktivními cíli právě proto, že jejich kompromitace často poskytuje úroveň důvěry, kterou interní systémy považují za legitimní. Odtud mohou aktéři zajistit trvalou přítomnost, sbírat přihlašovací údaje a začít mapovat síť v přípravě na fáze krádeže dat a šifrování, které definují model dvojitého vydírání Gunra. Protože k počáteční kompromitaci dochází na okraji sítě, organizace, které perimetrová zařízení považují za infrastrukturu typu „nastav a zapomeň“, jsou obzvláště zranitelné. Tato zařízení se často nasazují jednou, konfigurují spíše kvůli dostupnosti než bezpečnosti a nechávají se roky běžet bez kontroly firmwaru nebo záplat.
Kroky záplatování a konfigurace k uzavření mezery
Hlavní doporučení varování platí obecně napříč ransomwarovými kampaněmi, nejen pro Gunra: neprodleně záplatujte zařízení vystavená internetu a upřednostněte známé, aktivně zneužívané zranitelnosti před běžnými aktualizacemi. IT a bezpečnostní týmy by měly udržovat aktuální inventář všech zařízení vystavených internetu, včetně VPN bran, firewallů a nástrojů pro vzdálený přístup, a u každého potvrdit, že běží na podporované a aktualizované verzi. Pokud záplatování nelze provést okamžitě, měly by organizace zvážit odstavení dotčené služby nebo omezení přístupu, dokud nebude oprava nasazena. Vícefaktorové ověřování na všech bodech vzdáleného přístupu v kombinaci se záznamem a upozorňováním na neobvyklou přihlašovací aktivitu přidává další vrstvu odolnosti, i když má zařízení nezáplatovanou chybu.
Proč řízení přístupu k VPN a segmentace sítě omezují šíření ransomwaru
Ani při disciplinovaném záplatování nemůže žádná organizace zaručit nulovou expozici v každém okamžiku. Proto jsou řízení přístupu a segmentace stejně důležité jako počáteční oprava. Přístup k VPN by měl být nastaven úzce a uživatelé by měli mít oprávnění pouze k těm síťovým segmentům, které skutečně potřebují, nikoli široký přístup do celého prostředí. Segmentace sítí tak, aby kompromitované okrajové zařízení nemohlo přímo zasáhnout citlivé systémy, zálohovací servery nebo řadiče domény, může rozhodnout o tom, zda půjde o zvládnutý incident, nebo plnohodnotnou ransomwarovou událost. Tyto kontroly nezabrání každému průniku, ale zpomalují útočníky a dávají obráncům čas odhalit hrozbu a zareagovat dříve, než dojde k šifrování a exfiltraci dat.
Co to znamená pro vás
Pro IT administrátory a bezpečnostní týmy je toto varování připomínkou, že ransomwarové skupiny jako Gunra nadále uspívají zneužíváním základních nedostatků: nezáplatovaných systémů a příliš benevolentního síťového přístupu, nikoli sofistikovaných nových útoků. Účinná ochrana před ransomwarem Gunra začíná poctivým auditem všech zařízení, která vaše organizace vystavuje internetu. Pokud působíte ve zdravotnictví nebo v jiném sektoru, který byl v dřívějších varováních o Gunra jmenován, je naléhavost ještě vyšší, protože tato skupina už ukázala ochotu cílit na tato prostředí konkrétně.
Konkrétní doporučené kroky
Organizace by měly provést inventuru všech zařízení vystavených internetu, včetně VPN bran a firewallů, a ověřit stav záplat proti známým zranitelnostem. Omezte vzdálený přístup pomocí vícefaktorového ověřování a oprávnění VPN s nejnižšími nutnými právy. Segmentujte sítě tak, aby jediné kompromitované zařízení nemohlo vystavit zálohy nebo kritické systémy. Projděte si dřívější varování CISA, FBI a NSA o cílení Gunra na zdravotnictví a o taktice dvojitého vydírání, kde najdete kompletní technické indikátory a sektorově specifické pokyny potřebné k vybudování kompletního obranného plánu.
