Kyberturvallisuus- ja infrastruktuuriturvavirasto (CISA), FBI ja niiden valtiolliset kumppanit ovat julkaisseet lisää teknisiä yksityiskohtia siitä, miten Gunra-kiristysohjelman toimijat murtautuvat uhrien verkkoihin. Tuoreimman yhteisen tiedotteen mukaan Gunra-yhteistyökumppanit saavat ensimmäisen jalansijansa kahden tunnetun haavoittuvuuden kautta internetiin päin olevissa laitteissa – sellaisissa reunalaitteissa, VPN-yhdyskäytävissä, palomuureissa ja etäkäyttölaitteissa, jotka sijaitsevat lähes jokaisen organisaation verkon rajalla.
Tämä on jatkoa aiemmille varoituksille kyseisestä ransomware-as-a-service-toiminnasta, jonka virastot ovat aiemmin yhdistäneet terveydenhuoltoalan kohdentamiseen ja aggressiiviseen kaksinkertaiseen kiristykseen, jossa yhdistyvät tietovarkaus ja tiedostojen salaus. Uusi ohjeistus keskittyy itse murron mekaniikkaan ja antaa puolustajille selkeämmän kuvan siitä, mihin huomio kannattaa tarkalleen kohdistaa.
Haavoittuvuudet, joita Gunra-toimijat hyödyntävät
Tiedotteen mukaan Gunra-toimijat eivät tukeudu uusiin nollapäivähyökkäyksiin. Sen sijaan he hyödyntävät kahta jo tunnettua haavoittuvuutta internetiin päin olevissa laitteissa eli ohjelmistoissa ja laitteissa, joita organisaatiot altistavat julkiselle internetille mahdollistaakseen etätyön, toimipaikkojen väliset yhteydet tai ulkoiset palvelut. Tämä malli vastaa useimpien ransomware-as-a-service-kumppaneiden toimintatapaa: kalliiden hyväksikäyttökoodien kehittämisen sijaan he skannaavat internetistä päivittämättömiä järjestelmiä ja kävelevät sisään ovista, jotka olisi pitänyt jo sulkea. Puolustajille opetus on selvä: tunnetut haavoittuvuudet pysyvät vaarallisina pitkään julkistamisen jälkeen, koska päivityssyklit todellisissa organisaatioissa ovat usein hitaampia kuin tahti, jolla hyökkääjät aseistavat julkista hyväksikäyttökoodia.
Miten Gunra saa jalansijan sisään päästyään
Kun Gunra-yhteistyökumppanit ovat hyödyntäneet jotakin näistä sisäänpääsykohdista, he käyttävät pääsyä liikkuakseen syvemmälle verkkoon. Internetiin päin olevat laitteet, kuten VPN-keskittimet ja palomuurit, ovat houkuttelevia kohteita juuri siksi, että niiden haltuunotto antaa usein luottamustason, jota sisäiset järjestelmät pitävät laillisena. Sieltä käsin hyökkääjät voivat luoda pysyvän pääsyn, kerätä käyttäjätunnuksia ja alkaa kartoittaa verkkoa valmistautuakseen tietovarkaus- ja salaamisvaiheisiin, jotka määrittävät Gunran kaksinkertaisen kiristyksen mallin. Koska ensimmäinen murto tapahtuu verkon reunalla, organisaatiot, jotka kohtelevat reunalaitteita "aseta ja unohda" -infrastruktuurina, ovat erityisen alttiita. Nämä laitteet otetaan usein käyttöön kerran, määritetään käytettävyyden eikä turvallisuuden ehdoilla ja jätetään vuosiksi ajoon ilman laiteohjelmisto- tai päivityskatselmointia.
Korjaus- ja asetustoimet aukon sulkemiseksi
Tiedotteen keskeinen suositus pätee laajasti eri kiristysohjelmakampanjoihin, ei vain Gunraan: päivitä internetiin päin olevat laitteet viipymättä ja aseta etusijalle tunnetut, aktiivisesti hyväksikäytetyt haavoittuvuudet tavallisten päivitysten sijaan. IT- ja tietoturvatiimien tulisi ylläpitää ajantasaista luetteloa kaikista internetiin altistetuista laitteista, mukaan lukien VPN-yhdyskäytävät, palomuurit ja etäkäyttötyökalut, ja varmistaa, että jokaisessa on tuettu ja päivitetty versio. Jos päivittäminen ei onnistu heti, organisaatioiden tulisi harkita kyseisen palvelun ottamista offline-tilaan tai pääsyn rajoittamista, kunnes korjaus on tehty. Monivaiheinen tunnistautuminen kaikissa etäkäyttöpisteissä yhdistettynä kirjaukseen ja hälytyksiin epätavallisesta kirjautumisesta tuo lisäsuojaa silloinkin, kun laitteessa on päivittämätön haavoittuvuus.
Miksi VPN-käyttöoikeuksien hallinta ja verkon segmentointi rajoittavat kiristysohjelman leviämistä
Kurinalaisestakaan päivittämisestä huolimatta mikään organisaatio ei voi taata, ettei altistumista tapahdu koskaan. Siksi käyttöoikeuksien hallinta ja segmentointi ovat yhtä tärkeitä kuin ensimmäinen korjaus. VPN-käyttö tulisi rajata tiukasti, ja käyttäjille tulisi myöntää vain ne verkkosegmentit, joita he todella tarvitsevat, ei laajaa pääsyä koko ympäristöön. Verkkojen segmentointi siten, että vaarantunut reunalaite ei pääse suoraan arkaluontoisiin järjestelmiin, varmuuskopiopalvelimiin tai toimialueen ohjauskoneisiin, voi olla ero rajatun häiriön ja täysimittaisen kiristysohjelmatapahtuman välillä. Nämä hallintatoimet eivät estä kaikkia murtoja, mutta ne hidastavat hyökkääjiä ja antavat puolustajille aikaa havaita ja vastata ennen kuin salaus ja tietovarkaus ehtivät tapahtua.
Mitä tämä tarkoittaa sinulle
IT-järjestelmänvalvojille ja tietoturvatiimeille tämä tiedote on muistutus siitä, että Gunran kaltaiset kiristysohjelmaryhmät menestyvät edelleen hyödyntämällä perusasioita: päivittämättömiä järjestelmiä ja liian avoimia verkkokäyttöoikeuksia, eivät hienostuneita uusia hyökkäyksiä. Tehokas suoja Gunra-kiristysohjelmaa vastaan alkaa rehellisestä tarkastuksesta, jossa käydään läpi jokainen laite, jonka organisaatiosi altistaa internetille. Jos toimit terveydenhuollossa tai muulla alalla, joka on aiemmin mainittu Gunra-tiedotteissa, kiire on vielä suurempi, koska ryhmä on jo osoittanut halukkuutta kohdentaa hyökkäyksiä erityisesti näihin ympäristöihin.
Käytännön toimenpiteet
Organisaatioiden tulisi inventoida kaikki internetiin päin olevat laitteet, mukaan lukien VPN-yhdyskäytävät ja palomuurit, ja varmistaa päivitystilanne tunnettujen haavoittuvuuksien osalta. Rajoita etäkäyttöä monivaiheisella tunnistautumisella ja vähimpien oikeuksien VPN-oikeuksilla. Segmentoi verkot siten, että yksittäinen vaarantunut laite ei voi altistaa varmuuskopioita tai kriittisiä järjestelmiä. Käy läpi aiemmat CISA:n, FBI:n ja NSA:n tiedotteet Gunran terveydenhuoltoon kohdistamisesta ja kaksinkertaisen kiristyksen taktiikoista saadaksesi täydet tekniset indikaattorit ja toimialakohtaiset ohjeet, joita tarvitaan kattavan puolustussuunnitelman rakentamiseen.
