Společné upozornění FBI a Agentury pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA) potvrdilo, že skupina provozující ransomware Gunra pronikla do nejméně 51 nemocnic, státních agentur a finančních institucí, především zneužitím nezáplatovaných firewallů Fortinet. Upozornění také odhalilo významnou slabinu v malware Gunra pro Linux: chybný generátor náhodných čísel, který obětem umožňuje obnovit zašifrované soubory bez zaplacení výkupného.

Tato zjištění představují jeden z dosud nejpodrobnějších veřejných rozborů operací skupiny Gunra, který kombinuje vzorce cílení na infrastrukturu s technickým plánem pro obránce. Pro organizace, které stále provozují vystavené nebo zastaralé síťové prvky, je toto upozornění jasným signálem, že propast mezi známou zranitelností a plnohodnotným ransomwarovým incidentem se nadále zmenšuje.

Jak ransomware Gunra pronikl do 51 nemocnic a vládních sítí

Podle upozornění zahrnuje seznam obětí Gunry poskytovatele zdravotní péče, vládní úřady a finanční instituce, tedy sektory, které obvykle uchovávají citlivá data a často si nemohou dovolit delší výpadky. Tato kombinace z nich činí atraktivní cíle pro provozovatele ransomwaru, kteří chtějí oběti přimět k rychlé platbě.

Skupina byla natolik aktivní, že přitáhla trvalou pozornost mezinárodních donucovacích orgánů. Začátkem tohoto roku oznámily jihokorejské a americké úřady společné vyšetřování aktivit gangu, který rozšiřoval své působení do financí, zdravotnictví a výroby. Poslední počet 51 obětí naznačuje, že navzdory tomuto dohledu Gunra pokračuje v činnosti a nachází nové vstupní body do firemních a institucionálních sítí.

Zneužitá zranitelnost nezáplatovaných firewallů Fortinet

Upozornění poukazuje na nezáplatované firewally Fortinet jako na primární vektor počátečního přístupu při průnicích Gunry. Firewally umístěné na okraji sítě představují vysoce hodnotný cíl: jakmile jsou kompromitovány, mohou útočníci často přejít do interních systémů, získat přihlašovací údaje a připravit ransomwarový náklad s relativně malým odporem.

Jedná se o známý vzorec typický pro ransomwarové kampaně obecně. Útočníci často upřednostňují známé, nezáplatované zranitelnosti v perimetrických zařízeních před pracnějším sociálním inženýrstvím, jednoduše proto, že skenování internetu na vystavené, zastaralé firewally je rychlejší a levnější než tvorba phishingových návnad. Společné upozornění CISA a FBI na taktiku dvojitého vydírání Gunry popisuje, jak skupina kombinuje tuto metodu přístupu s krádeží dat a kromě šifrování vyhrožuje únikem ukradených souborů, což je dnes již standardní přístup dvojitého vydírání, který zvyšuje tlak na oběti, aby zaplatily.

Proč chyba v linuxovém šifrování Gunry umožňuje obětem vyhnout se výkupnému

Nejpraktičtějším detailem v upozornění je informace o linuxové variantě Gunry. Výzkumníci zjistili, že malware spoléhá na slabý generátor náhodných čísel k vytváření šifrovacích klíčů používaných k uzamčení souborů obětí. Protože je tento generátor předvídatelný a lze jej rekonstruovat z dat zanechaných na infikovaném systému, byli bezpečnostní výzkumníci schopni proces šifrování zpětně analyzovat natolik dobře, že mohou soubory obnovit bez placení útočníkům.

Pro každou organizaci provozující linuxové servery, kterou Gunra zasáhla, jde o významné zjištění. Dešifrování ransomwaru je málokdy přímočaré a většina variant používá implementace šifrování, které jsou, alespoň teoreticky, výpočetně neprolomitelné bez soukromého klíče útočníka. Slabý nebo opakovaně používaný generátor náhodných čísel je skutečnou implementační chybou, nikoli teoretickou slabinou, a obráncům dává skutečnou alternativu k vyjednávání se zločinci.

S tím řečeno, zneužití této chyby obvykle vyžaduje technické znalosti, forenzní přístup k napadenému systému a opatrné zacházení se zbývajícími stopami po útoku. Organizace, které mají podezření na infekci Gunrou, by měly postižené systémy uchovat v aktuálním stavu, místo aby se o obnovu pokoušely samy, protože nesprávná manipulace by mohla zničit právě ty stopy potřebné k rekonstrukci šifrovacích klíčů.

Záplatování místo placení: Bezpečnostní lekce pro instituce a jednotlivce

Opakujícím se motivem celého upozornění je, že jak počáteční průnik, tak i následné řešení pramení z odvratitelných technických mezer. Firewally Fortinet zneužité k počátečnímu přístupu nebyly záplatované, což znamená, že existovala známá oprava, která však nebyla včas aplikována. A linuxová varianta ransomwaru selhala jen díky programátorské zkratce ve vlastním procesu šifrování. Ani jeden z výsledků nevyžadoval sofistikované zneužití zero-day zranitelnosti.

Zejména pro nemocnice, státní agentury a finanční instituce to posiluje lekci, kterou bezpečnostní profesionálové opakují již léta: správa záplat na perimetrických zařízeních, jako jsou firewally a VPN brány, není volitelná. Tyto systémy jsou často prvním kontaktním bodem pro provozovatele ransomwaru, kteří skenují internet při hledání snadných cílů.

Co to znamená pro vás

Pokud spravujete IT infrastrukturu, zejména ve zdravotnictví, státní správě nebo finančních službách, je upozornění na Gunru přímou výzvou k auditu vašich zařízení Fortinet a k ověření, že používají aktuální firmware se všemi bezpečnostními záplatami. Pokud jste již byli zasaženi ransomwarem Gunra a provozujete linuxové systémy, nepospíchejte s placením. Před zvažováním platby výkupného se poraďte s odborníky na reakci na incidenty ohledně známé slabiny v šifrování.

Pro běžné uživatele a menší organizace je širší poučení podobné: ransomwarové skupiny stále častěji uspívají nikoli díky exotickým technikám, ale kvůli zanedbaným základům. Udržování síťového hardwaru v aktuálním stavu, sledování neobvyklých vzorců přístupu a udržování offline záloh zůstávají nejspolehlivější obranou před tím, abyste se stali další položkou v podobném upozornění.

Závěrečné myšlenky

Chyba v dešifrování linuxové varianty ransomwaru Gunra je vzácnou dobrou zprávou v jinak střízlivém upozornění o 51 kompromitovaných nemocnicích, agenturách a finančních institucích. Neodčiní již způsobené škody, ale nabízí cestu vpřed pro oběti, které by se jinak mohly cítit nuceny zaplatit. V kombinaci s trvajícím tlakem donucovacích orgánů na skupinu tento případ podtrhuje jednoduchou pravdu: záplatování známých zranitelností dříve, než je útočníci najdou, je vždy levnější, rychlejší a bezpečnější než vyjednávání po útoku.