Hvad har ændret sig: Gunras overgang til en RaaS-model

FBI har udsendt en ny advarsel om Gunra ransomware, en trussel der hurtigt har udviklet sig fra en enkelt gruppes operation til en fuld ransomware-as-a-service (RaaS)-forretning. I praksis betyder det, at de oprindelige udviklere bag Gunra ikke længere er de eneste, der iværksætter angreb. De licenserer eller udlejer nu deres malware og infrastruktur til affilierede, kriminelle partnere, som udfører de faktiske indtrængninger og deler overskuddet med kernegruppen.

Denne ændring er vigtig, fordi RaaS-modeller har tendens til at accelerere omfanget og rækkevidden af et angreb. I stedet for at ét team langsomt udpeger ofre, kan snesevis af uafhængige affilierede nu implementere den samme ransomware samtidigt på tværs af forskellige brancher og regioner, og hver især medbringer deres egne teknikker til at bryde ind i netværk. FBI's advarsel bekræfter, at Gunra fortsat benytter en dobbeltafpresningstilgang: kryptering af offerets data, samtidig med at der stjæles kopier af dem, og derefter trusler om at offentliggøre de stjålne filer på et dedikeret lækwebsted, medmindre der betales løsesum.

For baggrund om, hvordan Gunra opbyggede sit omdømme inden denne udvidelse, gennemgik vores tidligere dækning af Gunras dobbeltafpresningsangreb, hvordan gruppen først tiltrak forskernes opmærksomhed ved at sprede sig hurtigt på tværs af flere sektorer.

Hvorfor dobbeltafpresning nedbryder forsvaret “bare gendan fra backup”

I årevis var standardrådet for at overleve et ransomwareangreb ligetil: Sørg for gode backups, og hvis du bliver ramt, så ryd de inficerede systemer og gendan fra en ren kopi. Det råd er stadig vigtigt, men det løser ikke længere hele problemet. Gunra-ransomwares dobbeltafpresning er specifikt designet til at omgå det.

Her er hvorfor. Selv hvis en offerorganisation fuldt ud kan gendanne sine systemer fra backup og aldrig betaler for at låse sine egne filer op, har angriberne allerede eksfiltreret en kopi af de følsomme data, inden noget blev krypteret. Backups beskytter mod datatab, men de forhindrer ikke, at stjålne filer bliver lækket eller solgt. Gunras lækageside findes netop for at lægge det andet lag pres: Betal, eller også offentliggøres dine kundedata, økonomiske dokumenter eller interne kommunikation.

Det er den centrale grund til, at sikkerhedsteams nu taler om ransomware i form af datatyveri og eksponering, ikke kun systemnedetid. Hurtigt at gendanne driften er stadig værdifuldt, men det fjerner ikke den magt, angriberne har, når de først besidder en kopi af dine data.

Hvem er i risikozonen, når Gunras affilierede opskalerer

Fordi Gunra nu opererer under en RaaS-struktur, vil puljen af potentielle ofre sandsynligvis blive bredere. RaaS-affilierede er typisk opportunistiske; de går ikke altid efter en bestemt branche, men i stedet efter de organisationer, der udviser udnyttelige svagheder, såsom eksponerede fjernadgangspunkter, upatchede programmer eller svag legitimationshygiejne. Det betyder, at organisationer af forskellig størrelse og inden for forskellige sektorer, ikke kun store virksomheder, kan ende i sigtekornet, blot fordi de udgør en lettere vej ind.

FBI's advarsel er et signal om, at forsvarere på tværs af regering, sundhedsvæsen, finans og andre sektorer bør behandle Gunra som en aktiv, udviklende trussel snarere end et nicheproblem. Efterhånden som flere affilierede tager gruppens værktøjer i brug, vil mængden og variationen af angreb, der tilskrives Gunra, sandsynligvis vokse.

Opbygning af en dybdeforsvarsstrategi

Intet enkelt værktøj stopper ransomware alene, og det gælder også en VPN. En VPN kan hjælpe med at beskytte data under overførsel og reducere eksponeringen af interne netværksressourcer mod det åbne internet, men den forhindrer ikke en angriber i at stjæle filer, når de allerede er inde i et kompromitteret system. Det egentlige svar er lagdelt forsvar.

Et par praktiske lag, der er værd at prioritere:

  • Pålidelige offline backups: Hold backups isoleret fra hovednetværket, så ransomware ikke kan nå og kryptere dem også.
  • Dataminimering: Opbevar kun de følsomme data, du faktisk har brug for, og slet eller arkivér resten. Angribere kan ikke lække det, du ikke ligger inde med.
  • Netværkssegmentering og adgangskontroller: Begræns lateral bevægelse, så en enkelt kompromitteret konto ikke kan nå hele dit netværk.
  • Beskyttelsesværktøjer på netværksniveau: VPN'er og sikre fjernadgangsløsninger reducerer angrebsfladen, der er eksponeret mod internettet, og gør det sværere for affilierede at finde et let indgangspunkt.
  • Patchstyring: Mange RaaS-affilierede udnytter kendte, upatchede sårbarheder snarere end nye teknikker, så at holde sig opdateret lukker en let dør.

Hvad det betyder for dig

Uanset om du driver IT for en lille virksomhed eller blot administrerer dine egne enheder, er Gunra-ransomwares dobbeltafpresningsmodel en påmindelse om, at databeskyttelse handler om mere end gendannelse. Det handler om at begrænse, hvad angribere overhovedet kan stjæle, og reducere, hvor eksponerede dine systemer er over for opportunistisk scanning og udnyttelse, hvilket netop er den slags aktivitet, et voksende affiliate-netværk har tendens til at skabe.

Vigtigste pointer

  • Gunra ransomware er gået over til en RaaS-model, hvilket betyder, at flere affilierede nu kan iværksætte angreb med dens værktøjer.
  • Dobbeltafpresning betyder, at betaling for dekryptering ikke forhindrer, at stjålne data bliver lækket.
  • Backups er fortsat afgørende, men skal kombineres med dataminimering og adgangskontroller.
  • Netværksbeskyttelsesværktøjer som VPN'er er ét lag af forsvar, ikke en komplet løsning.
  • At holde sig opdateret med patches og begrænse interneteksponerede tjenester mindsker chancen for at blive et let mål for opskalerende affilierede.