CISA et FBI détaillent deux failles qui alimentent le ransomware Gunra

L'Agence de cybersécurité et de sécurité des infrastructures (CISA), le FBI et leurs partenaires gouvernementaux ont publié des détails techniques supplémentaires sur la manière dont les acteurs du ransomware Gunra s'introduisent dans les réseaux des victimes. Selon le dernier avis conjoint, les affiliés de Gunra obtiennent leur premier accès en exploitant deux vulnérabilités connues présentes dans des appareils exposés à Internet, ce type de matériel en périphérie, passerelles VPN, pare-feu et dispositifs d'accès distant, qui se trouve à la frontière du réseau de presque toutes les organisations.

Il s'agit d'un suivi des avertissements précédents concernant l'opération de ransomware-as-a-service, que les agences avaient déjà signalée pour le ciblage du secteur de la santé et pour avoir mené un système de double extorsion agressif qui combine vol de données et chiffrement des fichiers. Le nouveau guide se concentre sur les mécanismes de l'intrusion elle-même, donnant aux défenseurs une image plus claire des points exacts sur lesquels concentrer leur attention.

Les vulnérabilités exploitées par les acteurs de Gunra

Selon l'avis, les acteurs de Gunra ne s'appuient pas sur de nouveaux exploits zero-day. Ils exploitent au contraire deux vulnérabilités déjà connues dans des appareils exposés à Internet, c'est-à-dire les logiciels et équipements que les organisations exposent à l'Internet public pour permettre le travail à distance, la connectivité entre sites ou les services externes. Ce schéma est cohérent avec la manière dont la plupart des affiliés de ransomware-as-a-service opèrent : plutôt que d'investir dans le développement coûteux d'exploits, ils analysent Internet à la recherche de systèmes non corrigés et franchissent des portes qui auraient déjà dû être fermées. La leçon pour les défenseurs est simple. Les vulnérabilités connues restent dangereuses longtemps après leur divulgation, car les cycles d'application des correctifs dans les organisations réelles sont souvent plus lents que la vitesse à laquelle les attaquants transforment le code d'exploitation public en arme.

Comment Gunra prend pied une fois à l'intérieur

Une fois que les affiliés de Gunra exploitent l'un de ces points d'entrée, ils utilisent cet accès pour s'enfoncer plus profondément dans le réseau. Les équipements exposés à Internet, comme les concentrateurs VPN et les pare-feu, sont des cibles attractives précisément parce que leur compromission accorde souvent un niveau de confiance que les systèmes internes considèrent comme légitime. À partir de là, les acteurs peuvent établir leur persistance, récolter des identifiants et commencer à cartographier le réseau en préparation des étapes de vol de données et de chiffrement qui définissent le modèle de double extorsion de Gunra. Comme la compromission initiale se produit à la périphérie du réseau, les organisations qui traitent les équipements de périphérie comme une infrastructure « à configurer puis à oublier » sont particulièrement exposées. Ces équipements sont souvent déployés une seule fois, configurés pour la disponibilité plutôt que pour la sécurité, et laissés en service pendant des années sans revue de micrologiciel ni de correctifs.

Correctifs et mesures de configuration pour combler la brèche

La recommandation centrale de l'avis s'applique largement à toutes les campagnes de ransomware, pas seulement à Gunra : corrigez rapidement les appareils exposés à Internet et donnez la priorité aux vulnérabilités connues et activement exploitées plutôt qu'aux mises à jour de routine. Les équipes informatiques et de sécurité doivent tenir un inventaire à jour de chaque équipement exposé à Internet, y compris les passerelles VPN, les pare-feu et les outils d'accès distant, et vérifier que chacun exécute une version prise en charge et à jour. Lorsque l'application d'un correctif ne peut pas être effectuée immédiatement, les organisations devraient envisager de mettre le service concerné hors ligne ou d'en restreindre l'accès jusqu'à l'application d'un correctif. L'authentification multifacteur sur tous les points d'accès distants, combinée à une journalisation et à des alertes sur les connexions inhabituelles, ajoute une couche de résistance supplémentaire même si un équipement présente une faille non corrigée.

Pourquoi le contrôle d'accès VPN et la segmentation du réseau limitent la propagation du ransomware

Même avec une application rigoureuse des correctifs, aucune organisation ne peut garantir une exposition nulle à tout moment. C'est pourquoi le contrôle d'accès et la segmentation comptent autant que le correctif initial. L'accès VPN doit être défini de manière stricte, les utilisateurs ne recevant que les segments de réseau dont ils ont réellement besoin, plutôt qu'un accès étendu à l'ensemble de l'environnement. Segmenter les réseaux afin qu'un équipement de périphérie compromis ne puisse pas atteindre directement les systèmes sensibles, les serveurs de sauvegarde ou les contrôleurs de domaine peut faire la différence entre un incident contenu et un ransomware à grande échelle. Ces contrôles n'empêchent pas toutes les intrusions, mais ils ralentissent les attaquants et font gagner du temps aux défenseurs pour détecter et réagir avant que le chiffrement et l'exfiltration de données ne se produisent.

Ce que cela signifie pour vous

Pour les administrateurs informatiques et les équipes de sécurité, cet avis est un rappel que les groupes de ransomware comme Gunra continuent de réussir en exploitant les bases : des systèmes non corrigés et des accès réseau trop permissifs, et non des attaques sophistiquées et inédites. Une protection efficace contre le ransomware Gunra commence par un audit honnête de chaque équipement que votre organisation expose à Internet. Si vous opérez dans le secteur de la santé ou dans un autre secteur précédemment cité dans les avis relatifs à Gunra, l'urgence est encore plus grande, car le groupe a déjà montré qu'il était prêt à cibler spécifiquement ces environnements.

Mesures concrètes à appliquer

Les organisations doivent inventorier tous les équipements exposés à Internet, y compris les passerelles VPN et les pare-feu, et vérifier leur état de correction par rapport aux vulnérabilités connues. Limitez l'accès à distance avec une authentification multifacteur et des autorisations VPN selon le principe du moindre privilège. Segmentez les réseaux afin qu'un seul équipement compromis ne puisse pas exposer les sauvegardes ou les systèmes critiques. Consultez les avis précédents de la CISA, du FBI et de la NSA sur le ciblage du secteur de la santé par Gunra et sur ses tactiques de double extorsion pour obtenir les indicateurs techniques complets et les recommandations sectorielles nécessaires à l'élaboration d'un plan de défense complet.