Mikä muuttui: Gunran siirtyminen RaaS-malliin

FBI on antanut uuden varoituksen Gunra-kiristyshaittaohjelmasta, uhasta, joka on nopeasti kehittynyt yhden ryhmän toiminnasta täysimittaiseksi ransomware-as-a-service (RaaS) -liiketoiminnaksi. Käytännössä tämä tarkoittaa, että Gunran alkuperäiset kehittäjät eivät enää ole ainoita, jotka käynnistävät hyökkäyksiä. He lisensoivat tai vuokraavat nyt haittaohjelmansa ja infrastruktuurinsa kumppaneille, rikollisille yhteistyökumppaneille, jotka toteuttavat varsinaiset tunkeutumiset ja jakavat voitot ydinryhmän kanssa.

Tämä muutos on merkittävä, koska RaaS-mallit yleensä kiihdyttävät hyökkäysten laajuutta ja ulottuvuutta. Sen sijaan että yksi tiimi kohdistaisi hitaasti uhreihin, kymmenet itsenäiset kumppanit voivat nyt levittää samaa kiristyshaittaohjelmaa samanaikaisesti eri toimialoilla ja alueilla, kukin tuoden omat tekniikkansa verkkoihin murtautumiseen. FBI:n neuvo vahvistaa, että Gunra jatkaa kaksinkertaiseen kiristykseen perustuvaa lähestymistapaa: se salaa uhrin tiedot ja varastaa samalla niistä kopiot ja uhkaa sitten julkaista varastetut tiedostot omalla vuotosivustollaan, ellei lunnaita makseta.

Taustaksi sille, miten Gunra rakensi maineensa ennen tätä laajentumista, aiempi katsauksemme Gunran kaksinkertaiskiristyshyökkäyksiin kävi läpi, miten ryhmä alun perin herätti tutkijoiden huomion leviämällä nopeasti useille toimialoille.

Miksi kaksinkertainen kiristys murtaa "palauta vain varmuuskopiosta" -puolustuksen

Vuosien ajan vakio-ohje kiristyshaittaohjelmahyökkäyksestä selviämiseen oli yksinkertainen: pidä hyvät varmuuskopiot, ja jos joudut hyökkäyksen kohteeksi, pyyhi tartunnan saaneet järjestelmät ja palauta puhtaasta kopiosta. Tämä ohje on edelleen tärkeä, mutta se ei enää ratkaise koko ongelmaa. Gunra-kiristyshaittaohjelman kaksinkertainen kiristys on suunniteltu nimenomaan kumoamaan se.

Tästä syystä. Vaikka uhriorganisaatio voisi palauttaa järjestelmänsä kokonaan varmuuskopiosta eikä koskaan maksaisi omien tiedostojensa avaamisesta, hyökkääjät ovat jo vieneet kopion arkaluonteisista tiedoista ennen kuin mitään salattiin. Varmuuskopiot suojaavat tietojen katoamiselta, mutta ne eivät estä varastettujen tiedostojen vuotamista tai myymistä. Gunran vuotosivusto on olemassa juuri siksi, että se luo toisen painostuskerroksen: maksa tai asiakastietosi, talousasiakirjasi tai sisäinen viestintäsi julkaistaan.

Tämä on keskeinen syy siihen, miksi tietoturvatiimit puhuvat nykyään kiristyshaittaohjelmista tietovarkauden ja -altistumisen näkökulmasta, ei vain järjestelmien käyttökatkoina. Toiminnan nopea palauttaminen on edelleen arvokasta, mutta se ei poista hyökkääjien vipuvoimaa, kun heillä on hallussaan kopio tiedoistasi.

Kuka on vaarassa, kun Gunran kumppanit laajentavat toimintaansa

Koska Gunra toimii nyt RaaS-rakenteella, sen potentiaalisten uhrien joukko todennäköisesti laajenee. RaaS-kumppanit ovat tyypillisesti opportunistisia, he eivät aina kohdista tiettyyn toimialaan, vaan hyökkäävät niihin organisaatioihin, joissa on hyödynnettäviä heikkouksia, kuten paljastettuja etäyhteyksiä, päivittämättömiä ohjelmistoja tai heikkoa salasanojen hallintaa. Tämä tarkoittaa, että erikokoiset ja eri toimialojen organisaatiot, eivät vain suuret yritykset, voivat päätyä tähtäimeen yksinkertaisesti siksi, että ne tarjoavat helpomman reitin sisään.

FBI:n varoitus on merkki siitä, että puolustajien julkishallinnossa, terveydenhuollossa, rahoitusalalla ja muilla toimialoilla tulisi kohdella Gunraa aktiivisena, kehittyvänä uhkana eikä marginaalisena huolena. Kun yhä useammat kumppanit ottavat käyttöön ryhmän työkalut, Gunraan liitettyjen hyökkäysten määrä ja monimuotoisuus todennäköisesti kasvavat.

Syvyyssuuntaisen puolustusstrategian rakentaminen

Mikään yksittäinen työkalu ei pysäytä kiristyshaittaohjelmaa yksin, eikä VPN ole poikkeus. VPN voi auttaa suojaamaan liikkeessä olevaa tietoa ja vähentämään sisäverkon resurssien altistumista avoimelle internetille, mutta se ei estä hyökkääjää varastamasta tiedostoja, kun hän on jo sisällä murretussa järjestelmässä. Todellinen ratkaisu on kerroksellinen puolustus.

Muutamia käytännön kerroksia, joita kannattaa priorisoida:

  • Luotettavat, verkon ulkopuoliset varmuuskopiot: Pidä varmuuskopiot eristettyinä pääverkosta, jotta kiristyshaittaohjelma ei pääse niihin käsiksi ja salaa niitäkin.
  • Tietojen minimointi: Säilytä vain todella tarvitsemasi arkaluonteiset tiedot ja poista tai arkistoi loput. Hyökkääjät eivät voi vuotaa sitä, mitä sinulla ei ole.
  • Verkon segmentointi ja pääsynhallinta: Rajoita liikkumista sivusuunnassa, jotta yksi vaarantunut tili ei pääse koko verkkoosi.
  • Verkkotason yksityisyystyökalut: VPN:t ja turvalliset etäkäyttöratkaisut vähentävät internetille alttiina olevaa hyökkäyspinta-alaa, mikä vaikeuttaa kumppaneiden löytää helppoa sisäänpääsyä.
  • Päivitysten hallinta: Monet RaaS-kumppanit hyödyntävät tunnettuja, päivittämättömiä haavoittuvuuksia eivätkä uusia tekniikoita, joten päivitysten ajan tasalla pitäminen sulkee helpon oven.

Mitä tämä tarkoittaa sinulle

Hallinnoitpa sitten pienen yrityksen IT:tä tai vain omia laitteitasi, Gunra-kiristyshaittaohjelman kaksinkertainen kiristysmalli on muistutus siitä, että tietosuoja on muutakin kuin palautumista. Kyse on sen rajoittamisesta, mitä hyökkääjät voivat varastaa alun perinkin, ja siitä, kuinka alttiina järjestelmäsi ovat opportunistiselle skannaukselle ja hyväksikäytölle – juuri sellaiselle toiminnalle, jota kasvava kumppaniverkosto yleensä tuottaa.

Keskeiset havainnot

  • Gunra-kiristyshaittaohjelma on siirtynyt RaaS-malliin, mikä tarkoittaa, että yhä useammat kumppanit voivat nyt käynnistää hyökkäyksiä sen työkaluilla.
  • Kaksinkertainen kiristys tarkoittaa, että salauksen purkamisesta maksaminen ei estä varastettujen tietojen vuotamista.
  • Varmuuskopiot ovat edelleen välttämättömiä, mutta ne on yhdistettävä tietojen minimointiin ja pääsynhallintaan.
  • Verkkotason yksityisyystyökalut, kuten VPN:t, ovat yksi puolustuskerros, eivät täydellinen ratkaisu.
  • Päivitysten ajan tasalla pitäminen ja internetille altistuvien palveluiden rajoittaminen vähentävät mahdollisuuksia päätyä helpoksi kohteeksi laajentuville kumppaneille.