Το Ransomware Gunra Παρακάμπτει το MFA· Σφάλμα στο Linux Επιτρέπει Δωρεάν Ανάκτηση

Μια κοινή σύσταση από το FBI, τη CISA, την NSA, το Κέντρο Κυβερνοεγκλήματος του Υπουργείου Άμυνας και τις κορεατικές υπηρεσίες κυβερνοασφάλειας επιβεβαίωσε ότι οι χειριστές του ransomware Gunra βρήκαν τρόπο να παρακάμψουν ένα από τα πιο αξιόπιστα εργαλεία εταιρικής ασφάλειας: τον πολυπαραγοντικό έλεγχο ταυτότητας. Αντί να κλέψουν έναν κωδικό μιας χρήσης ή να εξαπατήσουν με phishing μια συνεδρία σύνδεσης, οι συνεργάτες του Gunra επανέγραψαν απευθείας τα αρχεία ελέγχου ταυτότητας στους διακομιστές των θυμάτων, απενεργοποιώντας ουσιαστικά τις προστασίες MFA από μέσα πριν αναπτύξουν κρυπτογράφηση και κλέψουν δεδομένα.

Η σύσταση, που εκδόθηκε αυτό τον μήνα, αποτελεί μία από τις σαφέστερες δημόσιες επιβεβαιώσεις ότι οι ομάδες ransomware-as-a-service δεν αντιμετωπίζουν πλέον το MFA ως εμπόδιο που πρέπει να εξαπατήσουν. Το αντιμετωπίζουν ως υποδομή που μπορούν απλώς να αναδιαμορφώσουν μόλις αποκτήσουν πρόσβαση.

Πώς Το Gunra Παρέκαμψε Το MFA Σε Επίπεδο Διακομιστή

Σύμφωνα με τη σύσταση, οι συνεργάτες του Gunra έχουν εκμεταλλευτεί γνωστά τρωτά σημεία σε συσκευές τείχους προστασίας και VPN της Fortinet, καθώς και ελαττώματα σε συστήματα της Schneider Electric, για να αποκτήσουν αρχική πρόσβαση σε κυβερνητικά δίκτυα, δίκτυα κρίσιμων υποδομών και επιχειρήσεων. Μόλις εισέλθουν, αντί να επιχειρήσουν να νικήσουν το MFA στην οθόνη σύνδεσης, οι επιτιθέμενοι στόχευσαν τα αρχεία διαμόρφωσης ελέγχου ταυτότητας που είναι αποθηκευμένα στον ίδιο τον διακομιστή.

Τροποποιώντας αυτά τα αρχεία στην πηγή τους, οι χειριστές του Gunra μπόρεσαν να απενεργοποιήσουν ή να παρακάμψουν τους ελέγχους MFA που κανονικά θα εμπόδιζαν μη εξουσιοδοτημένες συνδέσεις, χωρίς ποτέ να χρειαστούν τον δεύτερο παράγοντα ταυτοποίησης του θύματος. Αυτή είναι μια σημαντική διαφορά από τις τυπικές τεχνικές παράκαμψης MFA όπως το SIM swapping ή οι επιθέσεις κόπωσης από ειδοποιήσεις push, οι οποίες στοχεύουν τον χρήστη. Η προσέγγιση του Gunra στοχεύει την υποδομή που επιβάλλει την πολιτική εξαρχής, πράγμα που σημαίνει ότι το ελάττωμα είναι αρχιτεκτονικό και όχι συμπεριφορικό. Η επιδιόρθωση γνωστών τρωτών σημείων σε περιφερειακές συσκευές όπως τείχη προστασίας και συσκευές VPN, τα σημεία εισόδου που σύμφωνα με τη σύσταση χρησιμοποιεί το Gunra, παραμένει ο πιο άμεσος τρόπος για τους οργανισμούς να κλείσουν αυτή την πόρτα προτού ανοίξει.

Το Gunra λειτουργεί ως ransomware-as-a-service, που σημαίνει ότι το βασικό κακόβουλο λογισμικό δημιουργείται και συντηρείται από μία ομάδα ενώ οι συνεργάτες εκτελούν μεμονωμένες επιθέσεις, συχνά επαναχρησιμοποιώντας διερρευσμένο κώδικα από παλαιότερες οικογένειες ransomware. Αυτή η δομή βοήθησε την επιχείρηση να επεκταθεί γρήγορα σε τομείς και γεωγραφικές περιοχές, καθώς η σύσταση σημειώνει ότι έχει ήδη πλήξει κυβερνητικούς στόχους, υγειονομικής περίθαλψης και κρίσιμων υποδομών σε πολλές χώρες.

Μια Ασημένια Ελπίδα Στην Παραλλαγή Linux

Η σύσταση επισημαίνει επίσης μια αξιοσημείωτη αδυναμία στον κρυπτογραφητή του Gunra που βασίζεται σε Linux. Οι ερευνητές διαπίστωσαν ότι η διαδικασία κρυπτογράφησης αφήνει πίσω μεταδεδομένα χρονοσήμανσης αρχείων που μπορούν, σε ορισμένες περιπτώσεις, να χρησιμοποιηθούν για την ανακατασκευή των κλειδιών αποκρυπτογράφησης χωρίς να πληρωθούν καθόλου οι επιτιθέμενοι. Για οργανισμούς που εκτελούν διακομιστές Linux και επλήγησαν από αυτή τη συγκεκριμένη παραλλαγή, αυτό ανοίγει έναν δρόμο για την ανάκτηση κρυπτογραφημένων δεδομένων μέσω εγκληματολογικής ανάλυσης αντί διαπραγμάτευσης με εγκληματική ομάδα.

Αυτό το είδος ελαττώματος υλοποίησης δεν είναι ασυνήθιστο σε οικογένειες ransomware που επαναχρησιμοποιούν ή προσαρμόζουν διερρευσμένο κώδικα, και δεν σημαίνει ότι κάθε θύμα του Gunra μπορεί να ανακτήσει τα δεδομένα του δωρεάν. Ο κρυπτογραφητής για Windows δεν φαίνεται να μοιράζεται την ίδια αδυναμία, και οι οργανισμοί θα πρέπει να αντιμετωπίζουν οποιαδήποτε προσπάθεια ανάκτησης ως δουλειά για έμπειρους ανταποκριτές περιστατικών και όχι ως λύση αποκατάστασης μόνοι τους. Ακόμα, είναι ένα σπάνιο καλό νέο στο τοπίο του ransomware όπου τα θύματα συνήθως μένουν με την επιλογή μεταξύ πληρωμής ή ανακατασκευής από αντίγραφα ασφαλείας.

Αυτή η επιλογή έχει σημασία γιατί τα στοιχεία δείχνουν ολοένα και περισσότερο ότι η πληρωμή δεν λύνει αξιόπιστα το πρόβλημα. Μια έρευνα της Proofpoint διαπίστωσε ότι η πληρωμή σε συμμορίες ransomware συχνά αποβαίνει μοιραία, με πολλούς οργανισμούς να αναφέρουν ότι εξακολουθούσαν να χάνουν δεδομένα, αντιμετώπιζαν επαναλαμβανόμενες επιθέσεις ή δεν λάμβαναν ποτέ λειτουργικά εργαλεία αποκρυπτογράφησης ακόμη και μετά την πληρωμή. Η σύσταση για το Gunra ενισχύει αυτό το μοτίβο: το ασφαλέστερο στοίχημα είναι η πρόληψη και η δυνατότητα ανάκτησης, όχι η διαπραγμάτευση.

Τι Σημαίνει Αυτό Για Εσάς

Οι περισσότεροι αναγνώστες αυτής της σύστασης δεν θα στοχοποιηθούν άμεσα από το Gunra, αλλά το υποκείμενο μάθημα ισχύει ευρέως. Το MFA είναι ένα κρίσιμο επίπεδο άμυνας, αλλά δεν είναι αλάνθαστο, ειδικά όταν οι επιτιθέμενοι μπορούν να φτάσουν στη διαμόρφωση από την πλευρά του διακομιστή που το επιβάλλει. Αν διαχειρίζεστε συστήματα πληροφορικής για επιχείρηση, νοσοκομείο, σχολείο ή τοπική κυβερνητική υπηρεσία, αυτή η σύσταση είναι ένα σήμα να ελέγξετε αν το υλικολογισμικό του τείχους προστασίας και της συσκευής VPN σας είναι ενημερωμένο, καθώς η αρχική πρόσβαση του Gunra βασίζεται σε μεγάλο βαθμό σε γνωστά, επιδιορθώσιμα τρωτά σημεία.

Για τους απλούς χρήστες, το συμπέρασμα αφορά λιγότερο αυτή τη συγκεκριμένη οικογένεια ransomware και περισσότερο το πώς διαχειρίζεστε τα δικά σας δεδομένα. Η διατήρηση τακτικών, εκτός σύνδεσης αντιγράφων ασφαλείας σημαντικών αρχείων παραμένει μία από τις λίγες άμυνες που λειτουργούν ανεξάρτητα από το πώς εισέρχεται ένας επιτιθέμενος. Το πόσο καιρό διατηρείτε αντίγραφα ευαίσθητων αρχείων και πού, επηρεάζει επίσης την έκθεσή σας αν μια υπηρεσία που χρησιμοποιείτε παραβιαστεί ποτέ· η κατανόηση των δικών σας συνηθειών διατήρησης δεδομένων και εκείνων των πλατφορμών στις οποίες βασίζεστε, είναι ένα πρακτικό βήμα προς τον περιορισμό του τι μπορεί να εκθέσει οποιαδήποτε μεμονωμένη παραβίαση.

Βασικά Συμπεράσματα

Οι οργανισμοί που εκτελούν εκτεθειμένο εξοπλισμό Fortinet ή Schneider Electric θα πρέπει να δώσουν προτεραιότητα στην άμεση επιδιόρθωση, καθώς αυτό είναι το τεκμηριωμένο σημείο εισόδου για τις διεισδύσεις του Gunra. Οι ομάδες πληροφορικής θα πρέπει να ελέγχουν τις διαμορφώσεις ελέγχου ταυτότητας από την πλευρά του διακομιστή για μη εξουσιοδοτημένες αλλαγές αντί να υποθέτουν ότι το MFA λειτουργεί απλώς επειδή είναι ενεργοποιημένο. Οι διαχειριστές Linux που επλήγησαν από το Gunra θα πρέπει να συμβουλευτούν επαγγελματίες ανταπόκρισης περιστατικών προτού υποθέσουν ότι τα αρχεία χάθηκαν οριστικά, δεδομένου του ελαττώματος ανάκτησης βάσει χρονοσήμανσης που περιγράφεται στη σύσταση. Και για όλους τους άλλους, αυτή η σύσταση είναι μια ακόμη υπενθύμιση ότι το ransomware Gunra και οι όμοιες ομάδες επιτυγχάνουν συχνότερα εναντίον ξεπερασμένης υποδομής, καθιστώντας τη διαχείριση επιδιορθώσεων και την πειθαρχία στα αντίγραφα ασφαλείας πιο πολύτιμες από οποιοδήποτε μεμονωμένο εργαλείο ασφάλειας.