CISA julkaisee yhteisen varoituksen Gunra-kiristysohjelmasta
CISA ja kansainväliset lainvalvontakumppanit ovat julkaisseet yhteisen #StopRansomware-varoituksen, joka kehottaa organisaatioita varautumaan Gunra-kiristysohjelmaan – uhkaan, joka näyttää hyödyntävän etäkäyttöinfrastruktuurin heikkouksia päästäkseen jalansijaan uhrien verkoissa. Varoituksen keskeinen ohje on yksinkertainen mutta kiireellinen: korjaa altistuneet VPN-yhteydet ja segmentoi sisäiset verkot ennen kuin hyökkääjät voivat käyttää niitä sisääntulopisteenä.
#StopRansomware-aloite, joka on CISA:n, FBI:n ja kansainvälisten kumppaneiden yhteistyö, on olemassa erityisesti siksi, että se antaa organisaatioille teknisiä yksityiskohtia ja toimivia puolustusohjeita uusien kiristysohjelmavarianttien ilmaantuessa. Gunran sisällyttäminen tähän käynnissä olevaan sarjaan osoittaa, että liittovaltion viranomaiset pitävät sitä merkittävänä uhkana, joka oikeuttaa koordinoidun julkisen varoituksen – ei asiana, jota hoidettaisiin hiljaa yksityisten uhkatietojakelukanavien kautta.
Miksi altistuneet VPN-yhteydet toistuvat kiristysohjelmavaroituksissa
VPN-yhteydet on tarkoitettu yritysverkon turvalliseksi etuoveksi, mutta sama toiminto tekee niistä ensisijaisen kohteen, kun ne jätetään korjaamatta tai ne on määritetty virheellisesti. VPN-laite, jossa on tunnettu haavoittuvuus, heikko todennus tai ei monivaiheista todennusta, toimii käytännössä avoimena ovena lukitun sijaan. Hyökkääjät, jotka skannaavat internetiä näiden virhekonfiguraatioiden varalta, eivät tarvitse luovaa tapaa murtautua palomuurin läpi; he yksinkertaisesti kävelevät sisään yhdyskäytävästä, jonka organisaatiot rakensivat laillisia etätyöntekijöitä varten.
Siksi CISA:n ohjeet palaavat toistuvasti samoihin perusasioihin: pidä VPN-ohjelmistot ajan tasalla, pakota vahva todennus ja rajaa, mihin vaarantunut VPN-istunto voi lopulta päästä sisällä. Verkon segmentoinnilla on kriittinen rooli tässä. Vaikka hyökkääjä onnistuisi vaarantamaan VPN-päätepisteen, hyvin segmentoitu verkko rajoittaa, kuinka pitkälle he voivat liikkua lateraalisesti kohti arkaluonteisia järjestelmiä, varmuuskopioita tai toimialueen ohjaimia. Ilman segmentointia yksittäinen altistunut VPN-tunnus voi muuttua portiksi koko organisaation infrastruktuuriin.
Yksityisyyden panokset teknisen varoituksen takana
Kiristysohjelmatapaukset eivät ole vain toiminnallisia häiriöitä; ne ovat usein myös tietovuototapahtumia. Nykyajan kiristysohjelmaryhmät poistavat usein arkaluonteisia tietoja ennen järjestelmien salaamista ja käyttävät sitten julkistamisen uhkaa lisävipuna. Tämä tarkoittaa, että onnistunut Gunra-murtautuminen voi asettaa asiakastietueet, työntekijöiden tiedot tai muut arkaluonteiset tiedot riskiin jo ennen kuin kiristysviesti ilmestyy.
Tämä dynamiikka on osa syytä siihen, miksi liittovaltion virastot yhä useammin kannustavat läpinäkyvyyteen ja tiedonjakoon eri sektoreiden välillä. Samanlaista painetta on rakentunut terveydenhuollossa, jossa FBI on kehottanut terveydenhuoltoalaa jakamaan kiristysohjelmauhkatietoja avoimemmin, perustellen, että organisaatiot, jotka vaikenevat tapahtumista, vaikeuttavat muiden puolustautumista samoja taktiikoita vastaan. Sama logiikka pätee laajasti tässä: mitä enemmän organisaatiot ymmärtävät, miten Gunra-toimijat saavat alkuperäisen pääsyn, sitä nopeammin laajempi yhteisö voi sulkea nuo ovet.
Mitä tämä tarkoittaa sinulle
Jos hallinnoit IT-infrastruktuuria, etäkäytön turvallisuuden pitäisi siirtyä korjaushallintalistasi kärkeen. Varmista, että VPN-ohjelmistot ja -laiteohjelmistot ovat uusimpia versioita, tarkista, kenellä on etäkäyttöoikeus ja miksi, ja varmista, että monivaiheinen todennus on pakotettu poikkeuksetta. Verkon segmentointi ansaitsee yhtä suuren huomion: arkaluonteiset järjestelmät, varmuuskopiot ja hallintatyökalut eivät saa sijaita samassa tasaisessa verkossa kuin yleinen käyttäjäliikenne.
Yksittäisille käyttäjille ja etätyöntekijöille varoitus on muistutus siitä, että myös henkilökohtaisen laitteen hygienia on tärkeää. Pidä VPN-asiakasohjelmistot päivitettyinä, käytä vahvoja yksilöllisiä tunnuksia ja ilmoita epäilyttävistä kirjautumiskehotuksista tai odottamattomista todennuspyynnöistä IT-osastolle sen sijaan, että ohittaisit ne.
Organisaatioille, joilla ei ole omaa tietoturvatiimiä, tämä varoitus on myös signaali päivittää tapausten hallintasuunnitelma nyt, ennen kuin hyökkäys tapahtuu. Sen tietäminen, keneen ottaa yhteyttä, miten varmuuskopiot on eristetty ja kuinka nopeasti järjestelmät voidaan palauttaa, tekee mitattavan eron siinä, kuinka paljon vahinkoa kiristysohjelmatapaus lopulta aiheuttaa.
Keskeiset huomiot
Gunra-kiristysohjelmavaroitus on jälleen yksi esimerkki kaavasta, joka on toistunut kiristysohjelmakentällä vuosia: hyökkääjät suuntaavat helpoimpaan saatavilla olevaan sisääntulopisteeseen, ja altistunut tai vanhentunut VPN-infrastruktuuri on edelleen yleinen heikko lenkki. Organisaatiot, jotka korjaavat haavoittuvuudet nopeasti, pakottavat vahvan todennuksen ja segmentoivat verkkojaan, vähentävät merkittävästi paitsi onnistuneen murtautumisen todennäköisyyttä myös vahinkojen laajuutta, jos sellainen tapahtuu.
Käsittele tätä varoitusta kehotuksena tarkastaa etäkäyttöasetuksesi tällä viikolla, älä taustakohinana. Korjattu VPN ja segmentoitu verkko eivät takaa täydellistä suojaa Gunra-kiristysohjelmalta tai miltään muultakaan uhalta, mutta ne sulkevat pois juuri sen reitin, jota tämä varoitus sanoo hyökkääjien aktiivisesti etsivän.
