Cybersecurity and Infrastructure Security Agency (CISA), FBI og deres regeringspartnere har offentliggjort yderligere tekniske detaljer om, hvordan aktører bag Gunra-ransomware bryder ind i ofres netværk. Ifølge den seneste fælles rådgivning opnår Gunra-tilknyttede aktører deres første fodfæste via to kendte sårbarheder i internetvendte enheder – den type edge-hardware, VPN-gateways, firewalls og fjernadgangsapparater, der sidder i periferien af næsten alle organisationers netværk.

Dette er en opfølgning på tidligere advarsler om ransomware-as-a-service-operationen, som myndighederne tidligere har fremhævet for at målrette sundhedssektoren og for at drive en aggressiv dobbeltafpresningsordning, der kombinerer datatyveri med filkryptering. Den nye vejledning fokuserer på selve indtrængningens mekanik, hvilket giver forsvarere et klarere billede af præcis, hvor de skal rette deres opmærksomhed.

De sårbarheder, Gunra-aktører udnytter

Ifølge rådgivningen er Gunra-aktører ikke afhængige af nye zero-day-udnyttelser. I stedet udnytter de to allerede kendte sårbarheder i internetvendte enheder, den software og de apparater, som organisationer eksponerer mod det offentlige internet for at muliggøre fjernarbejde, site-to-site-forbindelse eller eksterne tjenester. Dette mønster stemmer overens med, hvordan de fleste ransomware-as-a-service-tilknyttede aktører opererer: I stedet for at investere i dyr udvikling af exploits scanner de internettet for upatchede systemer og går gennem døre, der allerede burde have været lukket. Læren for forsvarere er ligetil. Kendte sårbarheder forbliver farlige længe efter, at de er blevet offentliggjort, fordi patchcyklusser i virkelige organisationer ofte er langsommere end det tempo, hvormed angribere våbenliggør offentlig exploit-kode.

Hvordan Gunra får fodfæste, når de først er inde

Når Gunra-tilknyttede aktører udnytter et af disse indgangspunkter, bruger de denne adgang til at bevæge sig dybere ind i netværket. Internetvendte enheder som VPN-koncentratorer og firewalls er attraktive mål, netop fordi kompromittering af dem ofte giver et tillidsniveau, som interne systemer antager er legitimt. Derfra kan aktører etablere persistens, indsamle legitimationsoplysninger og begynde at kortlægge netværket som forberedelse til de faser med datatyveri og kryptering, der definerer Gunras dobbeltafpresningsmodel. Fordi den første kompromittering sker i netværkskanten, er organisationer, der behandler perimeterenheder som "sæt-og-glem"-infrastruktur, særligt udsatte. Disse enheder implementeres ofte én gang, konfigureres til oppetid frem for sikkerhed og efterlades kørende i årevis uden gennemgang af firmware eller patches.

Patch- og konfigurationstrin for at lukke hullet

Rådgivningens centrale anbefaling er en, der gælder bredt på tværs af ransomwarekampagner, ikke kun Gunra: Patch internetvendte enheder hurtigt, og prioriter kendte, aktivt udnyttede sårbarheder frem for rutineopdateringer. IT- og sikkerhedsteams bør opretholde en aktuel fortegnelse over alle enheder, der er eksponeret mod internettet, herunder VPN-gateways, firewalls og fjernadgangsværktøjer, og bekræfte, at hver enkelt kører en understøttet, opdateret version. Hvor patching ikke kan ske med det samme, bør organisationer overveje at tage den berørte tjeneste offline eller begrænse adgangen, indtil en rettelse er anvendt. Multi-faktor-godkendelse på alle fjernadgangspunkter kombineret med logning og alarmer om usædvanlig login-aktivitet tilføjer endnu et modstandslag, selv hvis en enhed har en upatchet sårbarhed.

Hvorfor VPN-adgangskontrol og netværkssegmentering begrænser spredning af ransomware

Selv med disciplineret patching kan ingen organisation garantere nul eksponering hele tiden. Derfor betyder adgangskontrol og segmentering lige så meget som den indledende rettelse. VPN-adgang bør afgrænses stramt, så brugere kun får adgang til de netværkssegmenter, de faktisk har brug for, frem for bred adgang til hele miljøet. Segmentering af netværk, så en kompromitteret edge-enhed ikke direkte kan nå følsomme systemer, backupservere eller domænecontrollere, kan være forskellen mellem en inddæmmet hændelse og en fuldskala ransomwarebegivenhed. Disse kontroller forhindrer ikke enhver indtrængning, men de sænker angriberne og giver forsvarere tid til at opdage og reagere, før kryptering og dataeksfiltrering finder sted.

Hvad dette betyder for dig

For IT-administratorer og sikkerhedsteams er denne rådgivning en påmindelse om, at ransomwaregrupper som Gunra fortsat har succes ved at udnytte det grundlæggende: upatchede systemer og alt for permissiv netværksadgang, ikke sofistikerede nye angreb. Effektiv beskyttelse mod Gunra-ransomware starter med en ærlig gennemgang af hver enhed, din organisation eksponerer mod internettet. Hvis du opererer i sundhedssektoren eller en anden sektor, der tidligere er nævnt i Gunra-rådgivninger, er hastigheden endnu højere, da gruppen allerede har vist vilje til specifikt at målrette disse miljøer.

Konkrete handlingspunkter

Organisationer bør lave en fortegnelse over alle internetvendte enheder, herunder VPN-gateways og firewalls, og bekræfte patchstatus mod kendte sårbarheder. Begræns fjernadgang med multi-faktor-godkendelse og VPN-tilladelser efter mindste privilegium. Segmentér netværk, så en enkelt kompromitteret enhed ikke kan eksponere backups eller kritiske systemer. Gennemgå de tidligere rådgivninger fra CISA, FBI og NSA om Gunras målretning mod sundhedssektoren og dobbeltafpresningstaktikker for de fulde tekniske indikatorer og sektorspecifik vejledning, der er nødvendig for at opbygge en komplet forsvarsplan.