FBI:n, CISA:n, NSA:n, puolustusministeriön kyberrikostorjuntakeskuksen ja eteläkorealaisten kyberturvallisuusvirastojen yhteinen tiedote on vahvistanut, että Gunra-kiristysohjelman toimijat ovat löytäneet keinon yhden luotetuimman yritysturvallisuustyökalun, monivaiheisen todennuksen (MFA), ohi. Sen sijaan, että he varastaisivat kertakäyttökoodin tai kalastelisivat kirjautumisistunnon, Gunran kumppanit kirjoittivat todennustiedostot uudelleen suoraan uhrin palvelimilla, käytännössä poistaen MFA-suojaukset sisältä käsin ennen salauksen käyttöönottoa ja tiedon varastamista.

Tässä kuussa julkaistu tiedote on yksi selkeimmistä julkisista vahvistuksista siitä, että kiristysohjelma-palveluna (ransomware-as-a-service) -ryhmät eivät enää käsittele MFA:ta esteenä, joka täytyy huijata. He käsittelevät sitä infrastruktuurina, jonka he voivat yksinkertaisesti konfiguroida uudelleen, kun he ovat päässeet jalansijaan.

Kuinka Gunra kiersi palvelintason MFA:n

Tiedotteen mukaan Gunran kumppanit ovat hyödyntäneet tunnettuja haavoittuvuuksia Fortinetin palomuuri- ja VPN-laitteissa sekä Schneider Electricin järjestelmien puutteita saadakseen ensisijaisen pääsyn hallinnon, kriittisen infrastruktuurin ja yritysten verkkoihin. Päästyään sisään, sen sijaan että he yrittäisivät kukistaa MFA:n kirjautumiskehotteessa, hyökkääjät kävivät palvelimella tallennettujen todennuskonfiguraatiotiedostojen kimppuun.

Muokkaamalla näitä tiedostoja lähteessä Gunran toimijat pystyivät poistamaan käytöstä tai kiertämään MFA-tarkistukset, jotka normaalisti estäisivät luvattomat kirjautumiset, ilman että he tarvitsisivat uhrin toista todennustekijää. Tämä on merkittävä ero tyypillisiin MFA-kiertotekniikoihin, kuten SIM-vaihtoon tai push-ilmoitusväsytyshyökkäyksiin, jotka kohdistuvat käyttäjään. Gunran lähestymistapa kohdistuu infrastruktuuriin, joka toimeenpanee käytännön, mikä tarkoittaa, että vika on rakenteellinen eikä käyttäytymiseen liittyvä. Tunnettujen haavoittuvuuksien paikkaaminen reunalaitteissa, kuten palomuureissa ja VPN-laitteissa, jotka ovat tiedotteen mukaan Gunran käyttämiä sisäänpääsykanavia, on edelleen suorin tapa, jolla organisaatiot voivat sulkea tämän oven ennen kuin se aukeaa.

Gunra toimii kiristysohjelma-palveluna, mikä tarkoittaa, että ydinhaitakoodin rakentaa ja ylläpitää yksi ryhmä, kun taas kumppanit toteuttavat yksittäisiä hyökkäyksiä, usein kierrättäen vuotanutta koodia aiemmista kiristysohjelmaperheistä. Tämä rakenne on auttanut toimintaa laajenemaan nopeasti toimialoilla ja maantieteellisillä alueilla, sillä tiedote toteaa, että se on jo iskenyt hallinnon, terveydenhuollon ja kriittisen infrastruktuurin kohteisiin useissa maissa.

Hopeareunus Linux-muunnoksessa

Tiedote nostaa esiin myös huomattavan heikkouden Gunran Linux-pohjaisessa salaajassa. Tutkijat havaitsivat, että salausprosessi jättää jälkeensä tiedostojen aikaleima-artefakteja, joita voidaan joissakin tapauksissa käyttää salausavaimien rekonstruoimiseen ilman, että hyökkääjille maksetaan mitään. Organisaatioille, jotka pyörittävät Linux-palvelimia ja joihin tämä tietty muunnos on iskenyt, tämä avaa polun salatun tiedon palauttamiseen rikosteknisen analyysin avulla sen sijaan, että ne neuvottelisivat rikollisryhmän kanssa.

Tällainen toteutusvirhe ei ole harvinaista kiristysohjelmaperheissä, jotka kierrättävät tai mukauttavat vuotanutta koodia, eikä se tarkoita, että jokainen Gunran uhri voi palauttaa tiedot ilmaiseksi. Windows-puolen salaaja ei näytä jakavan samaa heikkoutta, ja organisaatioiden tulisi kohdella jokaista palautusyritystä kokeneiden tietoturvaloukkausten jälkihoitoon erikoistuneiden asiantuntijoiden tehtävänä eikä tee-se-itse-korjauksena. Silti tämä on harvinainen hyvä uutinen kiristysohjelmamaisemassa, jossa uhrit joutuvat yleensä valitsemaan maksamisen tai varmuuskopioista palauttamisen välillä.

Tämä valinta on merkittävä, koska todisteet osoittavat yhä useammin, että maksaminen ei luotettavasti ratkaise ongelmaa. Proofpointin tutkimus osoitti, että kiristysohjelmajengeille maksaminen kostautuu usein, ja monet organisaatiot raportoivat menettäneensä silti tietoja, joutuneensa toistuvien hyökkäysten kohteeksi tai saaneensa käyttökelvottomia salauksenpurkuvälineitä maksun jälkeenkin. Gunra-tiedote vahvistaa tämän kaavan: turvallisin vaihtoehto on ennaltaehkäisy ja palautettavuus, ei neuvottelu.

Mitä tämä tarkoittaa sinulle

Useimmat tämän tiedotteen lukijat eivät ole suoraan Gunran kohteina, mutta taustalla oleva opetus soveltuu laajalti. MFA on kriittinen puolustuskerros, mutta se ei ole erehtymätön, etenkin kun hyökkääjät pääsevät käsiksi palvelinpuolen konfiguraatioon, joka toimeenpanee sen. Jos hallinnoit IT-järjestelmiä yritykselle, sairaalalle, koululle tai paikallishallinnon virastolle, tämä tiedote on signaali tarkistaa, ovatko palomuurisi ja VPN-laitteesi laiteohjelmistot ajan tasalla, koska Gunran ensisijainen sisäänpääsy perustuu vahvasti tunnettuihin, paikattavissa oleviin haavoittuvuuksiin.

Tavallisille käyttäjille opetus liittyy vähemmän tähän tiettyyn kiristysohjelmaperheeseen ja enemmän siihen, miten käsittelet omaa dataasi. Säännöllisten, offline-varmuuskopioiden pitäminen tärkeistä tiedostoista on edelleen yksi harvoista puolustuskeinoista, joka toimii riippumatta siitä, miten hyökkääjä pääsee sisään. Kuinka kauan säilytät kopioita arkaluonteisista tiedostoista ja missä, vaikuttaa myös altistumiseesi, jos käyttämäsi palvelu joskus murretaan; oman datan säilytyskäytäntöjen ja luottamiesi alustojen käytäntöjen ymmärtäminen on käytännön askel rajoittaaksesi sitä, mitä yksittäinen tietomurto voi paljastaa.

Keskeiset opetukset

Organisaatioiden, jotka pyörittävät altistuneita Fortinet- tai Schneider Electric -laitteita, tulisi priorisoida päivitysten asentaminen välittömästi, koska se on dokumentoitu Gunran tunkeutumisten sisäänpääsykanava. IT-tiimien tulisi tarkastaa palvelinpuolen todennuskonfiguraatiot luvattomien muutosten varalta sen sijaan, että ne olettaisivat MFA:n toimivan pelkästään siksi, että se on käytössä. Gunran kohteeksi joutuneiden Linux-järjestelmänvalvojien tulisi konsultoida tietoturvaloukkausten jälkihoidon ammattilaisia ennen kuin he olettavat tiedostojen olevan pysyvästi menetettyjä, ottaen huomioon tiedotteessa kuvattu aikaleimoihin perustuva palautusvirhe. Ja kaikille muille tämä tiedote on jälleen yksi muistutus siitä, että Gunra-kiristysohjelma ja sen kaltaiset ryhmät menestyvät useimmiten vanhentunutta infrastruktuuria vastaan, mikä tekee päivitystenhallinnasta ja varmuuskopiokurista arvokkaampaa kuin mikään yksittäinen turvallisuustyökalu.