Το FBI Προειδοποιεί: Το Ransomware Gunra Επεκτείνεται σε Μοντέλο RaaS

Τι Άλλαξε: Η Μετακίνηση του Gunra σε Μοντέλο RaaS

Το FBI εξέδωσε νέα προειδοποίηση για το ransomware Gunra, μια απειλή που εξελίχθηκε γρήγορα από επιχείρηση μιας μεμονωμένης ομάδας σε πλήρη επιχείρηση ransomware-as-a-service (RaaS). Στην πράξη, αυτό σημαίνει ότι οι αρχικοί προγραμματιστές πίσω από το Gunra δεν είναι πλέον οι μόνοι που εξαπολύουν επιθέσεις. Τώρα παραχωρούν άδεια ή εκμισθώνουν το κακόβουλο λογισμικό και τις υποδομές τους σε συνεργάτες, εγκληματικούς εταίρους που πραγματοποιούν τις ίδιες τις εισβολές και μοιράζονται τα κέρδη με την κεντρική ομάδα.

Αυτή η αλλαγή έχει σημασία επειδή τα μοντέλα RaaS τείνουν να επιταχύνουν την κλίμακα και την εμβέλεια μιας επίθεσης. Αντί για μία ομάδα που στοχεύει αργά τα θύματα, δεκάδες ανεξάρτητοι συνεργάτες μπορούν πλέον να αναπτύξουν ταυτόχρονα το ίδιο ransomware σε διαφορετικούς κλάδους και περιοχές, ο καθένας φέρνοντας τις δικές του τεχνικές για διείσδυση σε δίκτυα. Η συμβουλευτική έκθεση του FBI επιβεβαιώνει ότι το Gunra συνεχίζει να βασίζεται σε προσέγγιση διπλού εκβιασμού: κρυπτογραφεί τα δεδομένα του θύματος ενώ ταυτόχρονα κλέβει αντίγραφά τους και στη συνέχεια απειλεί να δημοσιεύσει τα κλεμμένα αρχεία σε έναν ειδικό ιστότοπο διαρροών εκτός αν καταβληθεί λύτρα.

Για το ιστορικό του πώς το Gunra έχτισε τη φήμη του πριν από αυτή την επέκταση, η προηγούμενη κάλυψή μας για τις επιθέσεις διπλού εκβιασμού του Gunra παρουσίασε πώς η ομάδα προσέλκυσε αρχικά την προσοχή των ερευνητών εξαπλωνόμενη ραγδαία σε πολλούς τομείς.

Γιατί ο Διπλός Εκβιασμός Καταρρίπτει την Άμυνα «Απλώς Επαναφέρετε από Αντίγραφο Ασφαλείας»

Για χρόνια, η τυπική συμβουλή για επιβίωση από επίθεση ransomware ήταν απλή: διατηρείτε καλά αντίγραφα ασφαλείας και αν δεχτείτε επίθεση, σβήστε τα μολυσμένα συστήματα και επαναφέρετε από καθαρό αντίγραφο. Αυτή η συμβουλή εξακολουθεί να έχει σημασία, αλλά δεν λύνει πλέον όλο το πρόβλημα. Ο διπλός εκβιασμός του ransomware Gunra έχει σχεδιαστεί ακριβώς για να την καταρρίψει.

Να γιατί. Ακόμα κι αν ένας οργανισμός-θύμα μπορεί να επαναφέρει πλήρως τα συστήματά του από αντίγραφα ασφαλείας και να μην πληρώσει ποτέ για να ξεκλειδώσει τα αρχεία του, οι επιτιθέμενοι έχουν ήδη εξάγει αντίγραφο των ευαίσθητων δεδομένων πριν από την κρυπτογράφηση. Τα αντίγραφα ασφαλείας προστατεύουν από απώλεια δεδομένων, αλλά δεν κάνουν τίποτα για να σταματήσουν τη διαρροή ή την πώληση κλεμμένων αρχείων. Ο ιστότοπος διαρροών του Gunra υπάρχει ακριβώς για να ασκήσει αυτή τη δεύτερη μορφή πίεσης: πληρώστε ή τα αρχεία πελατών σας, τα οικονομικά έγγραφα ή οι εσωτερικές επικοινωνίες σας θα δημοσιοποιηθούν.

Αυτός είναι ο βασικός λόγος που οι ομάδες ασφαλείας μιλούν πλέον για το ransomware σε όρους κλοπής και έκθεσης δεδομένων, όχι μόνο διακοπής λειτουργίας συστημάτων. Η γρήγορη αποκατάσταση των λειτουργιών εξακολουθεί να έχει αξία, αλλά δεν αφαιρεί τη μόχλευση που κατέχουν οι επιτιθέμενοι μόλις αποκτήσουν αντίγραφο των δεδομένων σας.

Ποιοι Κινδυνεύουν Καθώς Οι Συνεργάτες του Gunra Κλιμακώνονται

Επειδή το Gunra λειτουργεί πλέον υπό δομή RaaS, η δεξαμενή πιθανών θυμάτων του είναι πιθανό να διευρυνθεί. Οι συνεργάτες RaaS είναι συνήθως ευκαιριακοί· δεν στοχεύουν πάντα συγκεκριμένο κλάδο, αλλά επιτίθενται σε οργανισμούς που παρουσιάζουν εκμεταλλεύσιμες αδυναμίες, όπως εκτεθειμένα σημεία απομακρυσμένης πρόσβασης, μη ενημερωμένο λογισμικό ή αδύναμη διαχείριση διαπιστευτηρίων. Αυτό σημαίνει ότι οργανισμοί διαφορετικών μεγεθών και τομέων, όχι μόνο μεγάλες επιχειρήσεις, μπορούν να βρεθούν στο στόχαστρο απλώς επειδή παρουσιάζουν ευκολότερη οδό εισόδου.

Η προειδοποίηση του FBI είναι ένα σήμα ότι οι υπερασπιστές σε κυβέρνηση, υγεία, χρηματοοικονομικό τομέα και άλλους κλάδους θα πρέπει να αντιμετωπίζουν το Gunra ως ενεργή, εξελισσόμενη απειλή και όχι ως εξειδικευμένη ανησυχία. Καθώς περισσότεροι συνεργάτες υιοθετούν τα εργαλεία της ομάδας, ο όγκος και η ποικιλία επιθέσεων που αποδίδονται στο Gunra είναι πιθανό να αυξηθούν.

Χτίζοντας Στρατηγική Άμυνας σε Βάθος

Κανένα μεμονωμένο εργαλείο δεν σταματά από μόνο του το ransomware, και αυτό περιλαμβάνει και ένα VPN. Ένα VPN μπορεί να βοηθήσει στην προστασία των δεδομένων κατά τη μεταφορά και να μειώσει την έκθεση εσωτερικών πόρων του δικτύου στο ανοιχτό διαδίκτυο, αλλά δεν θα αποτρέψει έναν επιτιθέμενο από το να κλέψει αρχεία όταν βρίσκεται ήδη μέσα σε ένα παραβιασμένο σύστημα. Η πραγματική απάντηση είναι η πολυεπίπεδη άμυνα.

Μερικά πρακτικά επίπεδα που αξίζει να έχουν προτεραιότητα:

• Αξιόπιστα, εκτός σύνδεσης αντίγραφα ασφαλείας: Διατηρήστε τα αντίγραφα απομονωμένα από το κύριο δίκτυο ώστε το ransomware να μην μπορεί να τα φτάσει και να τα κρυπτογραφήσει επίσης.
• Ελαχιστοποίηση δεδομένων: Αποθηκεύστε μόνο τα ευαίσθητα δεδομένα που πραγματικά χρειάζεστε και διαγράψτε ή αρχειοθετήστε τα υπόλοιπα. Οι επιτιθέμενοι δεν μπορούν να διαρρεύσουν ό,τι δεν κατέχετε.
• Τμηματοποίηση δικτύου και έλεγχοι πρόσβασης: Περιορίστε την πλευρική μετακίνηση ώστε ένας παραβιασμένος λογαριασμός να μην μπορεί να φτάσει σε ολόκληρο το δίκτυό σας.
• Εργαλεία απορρήτου σε επίπεδο δικτύου: Τα VPN και οι ασφαλείς λύσεις απομακρυσμένης πρόσβασης μειώνουν την επιφάνεια επίθεσης που εκτίθεται στο διαδίκτυο, καθιστώντας δυσκολότερο για τους συνεργάτες να βρουν εύκολο σημείο εισόδου.
• Διαχείριση ενημερώσεων: Πολλοί συνεργάτες RaaS εκμεταλλεύονται γνωστά, μη ενημερωμένα τρωτά σημεία αντί για νέες τεχνικές, οπότε η έγκαιρη ενημέρωση κλείνει μια εύκολη πόρτα.

Τι Σημαίνει Αυτό για Εσάς

Είτε διαχειρίζεστε την πληροφορική μιας μικρής επιχείρησης είτε απλώς διαχειρίζεστε τις δικές σας συσκευές, το μοντέλο διπλού εκβιασμού του ransomware Gunra είναι μια υπενθύμιση ότι η προστασία δεδομένων αφορά κάτι περισσότερο από την αποκατάσταση. Αφορά τον περιορισμό του τι μπορούν να κλέψουν οι επιτιθέμενοι εξ αρχής και τη μείωση του πόσο εκτεθειμένα είναι τα συστήματά σας σε ευκαιριακή σάρωση και εκμετάλλευση, που είναι ακριβώς το είδος δραστηριότητας που τείνει να παράγει ένα αναπτυσσόμενο δίκτυο συνεργατών.

Βασικά Συμπεράσματα

• Το ransomware Gunra μετακινήθηκε σε μοντέλο RaaS, που σημαίνει ότι περισσότεροι συνεργάτες μπορούν πλέον να εξαπολύουν επιθέσεις χρησιμοποιώντας τα εργαλεία του.
• Ο διπλός εκβιασμός σημαίνει ότι η πληρωμή για αποκρυπτογράφηση δεν αποτρέπει τη διαρροή κλεμμένων δεδομένων.
• Τα αντίγραφα ασφαλείας παραμένουν απαραίτητα αλλά πρέπει να συνδυάζονται με ελαχιστοποίηση δεδομένων και ελέγχους πρόσβασης.
• Τα εργαλεία απορρήτου δικτύου όπως τα VPN είναι ένα επίπεδο άμυνας, όχι πλήρης λύση.
• Η έγκαιρη ενημέρωση ευπαθειών και ο περιορισμός υπηρεσιών εκτεθειμένων στο διαδίκτυο μειώνουν τις πιθανότητες να γίνετε εύκολος στόχος για κλιμακούμενους συνεργάτες.