Yhdysvallat ja Etelä-Korea varoittavat kasvavasta Gunra-kiristyshaittaohjelmauhasta

Mitä uusi Yhdysvaltain ja Etelä-Korean varoitus paljastaa Gunran kasvusta

Yhdysvaltain ja Etelä-Korean viranomaiset ovat antaneet uuden yhteisen varoituksen Gunra-kiristyshaittaohjelmasta, ja viesti on suora: toiminta kasvaa sekä tekniseltä hienostuneisuudeltaan että kumppaniverkoston kooltaan. Varoitus seuraa aiempia CISA:n, FBI:n ja NSA:n varoituksia, joissa Gunra nostettiin ensimmäisen kerran esiin vakavana uhkana terveydenhuoltoalalle. Tämä uusin tiedote viestii, ettei Gunra ole hidastunut sen jälkeen. Sen sijaan se näyttää laajentavan toimintaansa, rekrytoivan lisää kumppaneita ja heittävän leveämmän verkon eri toimialojen ja maantieteellisten alueiden yli.

Lukijoille, jotka seuraavat kiristyshaittaohjelmatrendejä, tämä on tuttu ja huolestuttava kaava. Kiristyshaittaohjelmaperhe nostetaan esiin yhden toimialan, tässä tapauksessa terveydenhuollon, uhkana, ja sen sijaan että se hiipuisi viranomaisten huomion jälkeen, se ammattimaistuu. Useammat kumppanit tarkoittavat useampia hyökkäysyrityksiä, enemmän taktiikoiden vaihtelua ja puolustajille vaikeammin paikannettavaa kohdetta. Yhteinen Yhdysvaltain ja Etelä-Korean varoitus viittaa juuri tällaiseen laajentumiseen, ja kansainvälinen yhteistyö kuvastaa, kuinka vakavasti viranomaiset Tyynenmeren molemmin puolin ottavat uhan.

Miten Gunran kumppanimalli laajentaa sen hyökkäyspinta-alaa

Nykyaikaiset kiristyshaittaohjelmatoiminnat toimivat harvoin yhtenä keskitettynä ryhmänä. Gunra noudattaa nykyisin yleistä kiristyshaittaohjelma palveluna -mallia, jossa ydintyhmä kehittää ja ylläpitää haittaohjelmaa ja infrastruktuuria ja vuokraa sitten pääsyn kumppaneille, jotka toteuttavat varsinaiset tunkeutumiset. Kukin kumppani tuo mukanaan omat suosimansa keinot päästä sisään, olipa kyse tietojenkalastelusta, paljaana olevien etäpalveluiden hyödyntämisestä tai varastettujen kirjautumistietojen ostamisesta muilta rikollisilta markkinapaikoilta.

Juuri tämä rakenne on syy siihen, miksi viranomaiset varoittavat kumppaniverkoston kasvusta eikä pelkästään itse haittaohjelmasta. Useammat kumppanit tarkoittavat useampia sisäänpääsyreittejä, enemmän vaihtelua siinä, miten organisaatioita murretaan, ja laajempaa mahdollisten uhrien joukkoa aiempien varoitusten terveydenhuoltokohteiden ulkopuolella. Se tekee Gunrasta myös vaikeamman tunnistaa yhdellä tunnistussignatuurilla, koska eri kumppanit voivat käyttää erilaisia toimitustekniikoita, vaikka ne levittäisivätkin samaa ydinkiristyshaittaohjelmaa.

Niiden alojen organisaatioiden, jotka aiemmin tunsivat olevansa suojassa Gunralta, koska eivät ole sairaaloita tai klinikoita, kannattaa ottaa tämä laajentuminen vakavasti. Kiristyshaittaohjelma palveluna -toiminta jahtaa mahdollisuuksia, ei pelkästään toimialauskollisuutta, ja kasvava kumppanijoukko tarkoittaa tyypillisesti kasvavaa kohdelistaa.

Mihin VPN:t sopivat kerrostetussa puolustuksessa kiristyshaittaohjelmia vastaan

Hyvin määritetty VPN on hyödyllinen osa puolustuksen palapeliä, mutta se ei yksinään ole suojakilpi kiristyshaittaohjelmia vastaan. VPN:t suojaavat ensisijaisesti siirrettävää dataa ja voivat rajoittaa etäpääsyä sisäisiin järjestelmiin, millä on merkitystä, koska paljaana olevat etäpääsypisteet ovat yksi yleisimmistä tavoista, joilla kiristyshaittaohjelmakumppanit saavat ensimmäisen jalansijansa. Sen vaatiminen, että sisäisiin verkkoresursseihin pääsee vain VPN:n kautta vahvalla todennuksella, sulkee yhden yleisen sisäänpääsytien, jota opportunistiset kumppanit etsivät.

Mutta VPN ei tee mitään pysäyttääkseen kiristyshaittaohjelman, kun hyökkääjä on jo verkon sisällä, eikä se suojaa tietojenkalasteluviesteiltä, haitallisilta liitetiedostoilta tai vaarantuneilta kirjautumistiedoilta, joita käytetään kirjautumiseen aidon näköisen yhteyden kautta. Siksi aiempi yhteinen varoitus Gunra-kiristyshaittaohjelmasta, joka iskee terveydenhuoltoon, korosti useiden hallintakeinojen yhdistelmää eikä yhtä työkalua. VPN:n pitäminen täydellisenä vastauksena kiristyshaittaohjelmariskiin luo väärän turvallisuudentunteen, jota hyökkääjät käyttävät mielellään hyväkseen.

Käytännön toimet: segmentointi, varmuuskopiot ja salauksen perusteet

Tehokkain vastaus kasvavaan kiristyshaittaohjelmauhkaan, kuten Gunraan, on kerrostettu puolustus, jossa yhdenkään hallintakeinon pettäminen ei johda suoraan katastrofaaliseen tietojen menetykseen. Muutamia käytännön prioriteetteja nousee esiin:

Verkon segmentointi rajoittaa sitä, kuinka pitkälle hyökkääjä voi edetä saatuaan jalansijan. Jos kumppanit murtautuvat yhteen työasemaan tai yhteen etäkäyttötiliin, segmentointi voi estää pääsyä leviämästä sivuttaissuunnassa kriittisiin palvelimiin, varmuuskopiojärjestelmiin tai arkaluonteisiin tietokantoihin.

Varmuuskopiointistrategia on edelleen yksi tärkeimmistä puolustuksista kaikkia kiristyshaittaohjelmavariantteja, myös Gunraa, vastaan. Varmuuskopioiden on oltava offline-tilassa tai muuten eristettynä ensisijaisesta verkosta, säännöllisesti palautusta varten testattuja ja selkeän palautussuunnitelman kattamia. Kiristyshaittaohjelmien ylläpitäjät kohdistavat yhä useammin hyökkäyksiä suoraan varmuuskopiojärjestelmiin, joten varmuuskopiot, jotka ovat tavoitettavissa samasta verkosta kuin tuotantojärjestelmät, tarjoavat vain vähän todellista suojaa.

Salauksen perusteet eli arkaluonteisten tietojen salaaminen levossa ja vahvan todennuksen vaatiminen kaikilta niitä käyttäviltä vähentää varastettujen tietojen arvoa, vaikka kumppani onnistuisikin siirtämään tiedostoja ulos ennen kiristyshaittaohjelman asentamista. Tätä taktiikkaa käyttävät yleisesti kaksinkertaiseen kiristykseen perustuvat ryhmät.

Alkuperäisen varoituksen ohjeistuksen kertaaminen koskien Gunra-kiristyshaittaohjelmaa, joka iskee terveydenhuoltoon on hyödyllistä kaikille organisaatioille, jotka rakentavat tai päivittävät puolustussuunnitelmaansa, sillä se kuvaa eskalaatiomallin, joka johti tähän uudempaan ja laajempaan varoitukseen.

Mitä tämä tarkoittaa sinulle

Jos organisaatiosi toimii terveydenhuollon ulkopuolella, älä oleta, että Gunran laajentuva kumppaniverkosto tekee sinusta matalamman prioriteetin. Kiristyshaittaohjelma palveluna -ryhmät seuraavat mahdollisuuksia, ja varoitus, jossa mainitaan kasvava kumppanijoukko, on käytännössä varoitus siitä, että yhä useammat toimialat ovat nyt kohteena. Tehokas Gunra-kiristyshaittaohjelmasuojaus ei tarkoita yhden ihmeratkaisun löytämistä. Se tarkoittaa pääsynhallinnan, verkon segmentoinnin, testattujen offline-varmuuskopioiden ja tietojen salauksen yhdistämistä puolustuksen syvyysstrategiaksi, jossa oletetaan, että mikä tahansa yksittäinen kerros voi lopulta pettää.

Käytännön toimenpiteet

• Käy läpi etäkäyttökäytännöt ja varmista, että VPN:n käyttö yhdistetään vahvaan monivaiheiseen tunnistautumiseen eikä sitä kohdella erillisenä suojakeinona.
• Tarkasta verkon segmentointi ja varmista, ettei yhden järjestelmän tai tilin murto anna laajaa sivuttaissuuntaista pääsyä.
• Testaa varmuuskopioiden palautusmenettelyt nyt, ennen kuin tapaus pakottaa sinut huomaamaan aukkoja paineen alla.
• Salaa arkaluonteiset tiedot levossa vähentääksesi kaksinkertaisen kiristyksen taktiikoiden hyökkääjille antamaa vipuvoimaa.
• Pysy ajan tasalla CISA:n, FBI:n ja kansainvälisten kumppaneiden varoituksista, koska Gunran kaltaiset kiristyshaittaohjelmatoiminnat kehittyvät nopeasti ja ohjeistusta päivitetään uusien taktiikoiden ilmaantuessa.