Η CISA και το FBI Αποκαλύπτουν Δύο Ελαττώματα που Τροφοδοτούν το Ransomware Gunra

Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών (CISA), το FBI και οι κυβερνητικοί τους εταίροι δημοσίευσαν πρόσθετες τεχνικές λεπτομέρειες σχετικά με τον τρόπο με τον οποίο οι δράστες του Gunra ransomware εισβάλλουν σε δίκτυα θυμάτων. Σύμφωνα με την τελευταία κοινή σύσταση, οι συνεργάτες του Gunra αποκτούν το αρχικό τους σημείο εισόδου μέσω δύο γνωστών τρωτών σημείων σε συσκευές εκτεθειμένες στο διαδίκτυο — το είδος του εξοπλισμού άκρου, των πυλών VPN, των τειχών προστασίας και των συσκευών απομακρυσμένης πρόσβασης που βρίσκονται στην περιφέρεια σχεδόν κάθε οργανισμού.

Αυτό αποτελεί συνέχεια προηγούμενων προειδοποιήσεων για τη λειτουργία ransomware-as-a-service, την οποία οι υπηρεσίες είχαν επισημάνει προηγουμένως για στόχευση του τομέα υγείας και για τη διεξαγωγή ενός επιθετικού σχήματος διπλού εκβιασμού που συνδυάζει την κλοπή δεδομένων με την κρυπτογράφηση αρχείων. Η νέα καθοδήγηση επικεντρώνεται στους μηχανισμούς της ίδιας της εισβολής, δίνοντας στους υπερασπιστές μια πιο ξεκάθαρη εικόνα για το πού ακριβώς πρέπει να εστιάσουν την προσοχή τους.

Τα Τρωτά Σημεία που Εκμεταλλεύονται οι Δράστες του Gunra

Σύμφωνα με τη σύσταση, οι δράστες του Gunra δεν βασίζονται σε νέα exploits μηδενικής ημέρας. Αντίθετα, εκμεταλλεύονται δύο ήδη γνωστά τρωτά σημεία σε συσκευές εκτεθειμένες στο διαδίκτυο — το λογισμικό και τις συσκευές που οι οργανισμοί εκθέτουν στο δημόσιο διαδίκτυο για να επιτρέψουν την απομακρυσμένη εργασία, τη συνδεσιμότητα μεταξύ τοποθεσιών ή εξωτερικές υπηρεσίες. Αυτό το μοτίβο συνάδει με τον τρόπο που λειτουργούν οι περισσότεροι συνεργάτες ransomware-as-a-service: αντί να επενδύουν σε ακριβή ανάπτυξη exploits, σκανάρουν το διαδίκτυο για συστήματα χωρίς ενημερώσεις και περνούν από πόρτες που θα έπρεπε ήδη να έχουν κλείσει. Το μάθημα για τους υπερασπιστές είναι απλό. Τα γνωστά τρωτά σημεία παραμένουν επικίνδυνα για μεγάλο χρονικό διάστημα μετά την αποκάλυψή τους, επειδή οι κύκλοι ενημέρωσης μέσα σε πραγματικούς οργανισμούς είναι συχνά πιο αργοί από τον ρυθμό με τον οποίο οι επιτιθέμενοι οπλοποιούν δημόσιο κώδικα εκμετάλλευσης.

Πώς το Gunra Αποκτά Έδαφος Μόλις Εισέλθει στο Σύστημα

Μόλις οι συνεργάτες του Gunra εκμεταλλευτούν ένα από αυτά τα σημεία εισόδου, χρησιμοποιούν αυτή την πρόσβαση για να προχωρήσουν βαθύτερα στο δίκτυο. Οι συσκευές εκτεθειμένες στο διαδίκτυο, όπως οι συγκεντρωτές VPN και τα τείχη προστασίας, αποτελούν ελκυστικούς στόχους ακριβώς επειδή η παραβίασή τους συχνά παρέχει ένα επίπεδο εμπιστοσύνης που τα εσωτερικά συστήματα θεωρούν νόμιμο. Από εκεί, οι δράστες μπορούν να εγκαθιδρύσουν επιμονή, να συλλέξουν διαπιστευτήρια και να αρχίσουν να χαρτογραφούν το δίκτυο προετοιμάζοντας τα στάδια κλοπής δεδομένων και κρυπτογράφησης που καθορίζουν το μοντέλο διπλού εκβιασμού του Gunra. Επειδή η αρχική παραβίαση συμβαίνει στο άκρο του δικτύου, οι οργανισμοί που αντιμετωπίζουν τις συσκευές περιμέτρου ως υποδομή "εγκατάστασης και λήθης" είναι ιδιαίτερα εκτεθειμένοι. Αυτές οι συσκευές συχνά εγκαθίστανται μία φορά, διαμορφώνονται για διαθεσιμότητα αντί για ασφάλεια και παραμένουν σε λειτουργία για χρόνια χωρίς αναθεώρηση υλικολογισμικού ή ενημερώσεων.

Βήματα Ενημέρωσης και Διαμόρφωσης για το Κλείσιμο του Κενού

Η βασική σύσταση της αναφοράς είναι μία που ισχύει ευρέως σε εκστρατείες ransomware, όχι μόνο στο Gunra: ενημερώστε άμεσα τις συσκευές που είναι εκτεθειμένες στο διαδίκτυο και δώστε προτεραιότητα σε γνωστά, ενεργά εκμεταλλεύσιμα τρωτά σημεία έναντι των τακτικών ενημερώσεων. Οι ομάδες πληροφορικής και ασφάλειας θα πρέπει να διατηρούν μια ενημερωμένη καταγραφή κάθε συσκευής εκτεθειμένης στο διαδίκτυο, συμπεριλαμβανομένων των πυλών VPN, των τειχών προστασίας και των εργαλείων απομακρυσμένης πρόσβασης, και να επιβεβαιώνουν ότι κάθε μία εκτελεί μια υποστηριζόμενη, ενημερωμένη έκδοση. Όπου η ενημέρωση δεν μπορεί να γίνει άμεσα, οι οργανισμοί θα πρέπει να εξετάσουν το ενδεχόμενο να θέσουν εκτός λειτουργίας την επηρεαζόμενη υπηρεσία ή να περιορίσουν την πρόσβαση μέχρι να εφαρμοστεί μια διόρθωση. Ο έλεγχος ταυτότητας πολλαπλών παραγόντων σε όλα τα σημεία απομακρυσμένης πρόσβασης, σε συνδυασμό με καταγραφή και ειδοποιήσεις για ασυνήθιστη δραστηριότητα σύνδεσης, προσθέτει άλλο ένα επίπεδο αντίστασης ακόμη και αν μια συσκευή έχει ένα μη ενημερωμένο ελάττωμα.

Γιατί ο Έλεγχος Πρόσβασης VPN και ο Κατακερματισμός Δικτύου Περιορίζουν την Εξάπλωση του Ransomware

Ακόμη και με πειθαρχημένες ενημερώσεις, κανένας οργανισμός δεν μπορεί να εγγυηθεί μηδενική έκθεση ανά πάσα στιγμή. Γι' αυτό ο έλεγχος πρόσβασης και ο κατακερματισμός έχουν την ίδια σημασία με την αρχική διόρθωση. Η πρόσβαση VPN θα πρέπει να είναι αυστηρά περιορισμένη, με τους χρήστες να λαμβάνουν μόνο τα τμήματα δικτύου που χρειάζονται πραγματικά, αντί για ευρεία πρόσβαση σε ολόκληρο το περιβάλλον. Ο κατακερματισμός των δικτύων, ώστε μια παραβιασμένη συσκευή άκρου να μην μπορεί να φτάσει άμεσα σε ευαίσθητα συστήματα, διακομιστές αντιγράφων ασφαλείας ή ελεγκτές τομέα, μπορεί να είναι η διαφορά μεταξύ ενός περιορισμένου περιστατικού και ενός πλήρους συμβάντος ransomware. Αυτοί οι έλεγχοι δεν αποτρέπουν κάθε εισβολή, αλλά επιβραδύνουν τους επιτιθέμενους και κερδίζουν χρόνο στους υπερασπιστές για να εντοπίσουν και να ανταποκριθούν πριν συμβούν η κρυπτογράφηση και η εξαγωγή δεδομένων.

Τι Σημαίνει Αυτό για Εσάς

Για τους διαχειριστές πληροφορικής και τις ομάδες ασφάλειας, αυτή η σύσταση αποτελεί υπενθύμιση ότι ομάδες ransomware όπως το Gunra συνεχίζουν να επιτυγχάνουν εκμεταλλευόμενες τα βασικά: μη ενημερωμένα συστήματα και υπερβολικά επιτρεπτική πρόσβαση στο δίκτυο, όχι εξελιγμένες νέες επιθέσεις. Η αποτελεσματική προστασία από το ransomware Gunra ξεκινά με μια ειλικρινή επιθεώρηση κάθε συσκευής που ο οργανισμός σας εκθέτει στο διαδίκτυο. Εάν δραστηριοποιείστε στον τομέα της υγείας ή σε άλλο τομέα που προηγουμένως αναφέρθηκε σε συστάσεις για το Gunra, ο επείγων χαρακτήρας είναι ακόμη μεγαλύτερος, καθώς η ομάδα έχει ήδη δείξει προθυμία να στοχεύει αυτά τα περιβάλλοντα συγκεκριμένα.

Πρακτικά Συμπεράσματα

Οι οργανισμοί θα πρέπει να καταγράψουν όλες τις συσκευές εκτεθειμένες στο διαδίκτυο, συμπεριλαμβανομένων των πυλών VPN και των τειχών προστασίας, και να επιβεβαιώσουν την κατάσταση ενημέρωσης σε σχέση με γνωστά τρωτά σημεία. Περιορίστε την απομακρυσμένη πρόσβαση με έλεγχο ταυτότητας πολλαπλών παραγόντων και δικαιώματα VPN ελάχιστου προνομίου. Κατακερματίστε τα δίκτυα ώστε μια μεμονωμένη παραβιασμένη συσκευή να μην μπορεί να εκθέσει αντίγραφα ασφαλείας ή κρίσιμα συστήματα. Ανατρέξτε στις προηγούμενες συστάσεις των CISA, FBI και NSA σχετικά με τη στόχευση του τομέα υγείας από το Gunra και τις τακτικές διπλού εκβιασμού για τους πλήρεις τεχνικούς δείκτες και την τομεακή καθοδήγηση που απαιτούνται για την οικοδόμηση ενός πλήρους σχεδίου άμυνας.