Ce qui a changé : le passage de Gunra à un modèle RaaS

Le FBI a émis un nouvel avertissement concernant le ransomware Gunra, une menace qui a rapidement évolué d’une opération menée par un seul groupe en une véritable activité de ransomware-as-a-service (RaaS). Concrètement, cela signifie que les développeurs initiaux de Gunra ne sont plus les seuls à lancer des attaques. Ils accordent désormais des licences ou louent leur logiciel malveillant et leur infrastructure à des affiliés, des partenaires criminels qui réalisent les intrusions et partagent les bénéfices avec le groupe principal.

Ce changement est important car les modèles RaaS ont tendance à accélérer l’ampleur et la portée d’une attaque. Au lieu d’une seule équipe ciblant lentement des victimes, des dizaines d’affiliés indépendants peuvent désormais déployer le même ransomware simultanément dans différents secteurs et régions, chacun apportant ses propres techniques d’intrusion dans les réseaux. L’avis du FBI confirme que Gunra continue de s’appuyer sur une approche de double extorsion : chiffrer les données de la victime tout en en dérobant des copies, puis menacer de publier les fichiers volés sur un site de fuite dédié si aucune rançon n’est payée.

Pour en savoir plus sur la manière dont Gunra a bâti sa réputation avant cette expansion, notre précédent article sur les attaques de double extorsion de Gunra expliquait comment le groupe a d’abord attiré l’attention des chercheurs en se propageant rapidement dans de nombreux secteurs.

Pourquoi la double extorsion neutralise la défense du « il suffit de restaurer les sauvegardes »

Pendant des années, le conseil standard pour survivre à une attaque par ransomware était simple : conservez de bonnes sauvegardes et, si vous êtes touché, effacez les systèmes infectés et restaurez à partir d’une copie saine. Ce conseil reste important, mais il ne résout plus tout le problème. La double extorsion du ransomware Gunra est précisément conçue pour le contourner.

Voici pourquoi. Même si une organisation victime peut entièrement restaurer ses systèmes à partir d’une sauvegarde et ne jamais payer pour déverrouiller ses propres fichiers, les attaquants ont déjà exfiltré une copie de ces données sensibles avant de chiffrer quoi que ce soit. Les sauvegardes protègent contre la perte de données, mais elles n’empêchent pas les fichiers volés d’être divulgués ou vendus. Le site de fuite de Gunra existe précisément pour exercer cette seconde pression : payez, sinon vos dossiers clients, documents financiers ou communications internes seront rendus publics.

C’est la raison principale pour laquelle les équipes de sécurité parlent désormais de ransomware en termes de vol et d’exposition de données, et pas seulement d’indisponibilité des systèmes. Rétablir rapidement les opérations reste précieux, mais cela ne supprime pas le levier dont disposent les attaquants une fois qu’ils possèdent une copie de vos données.

Qui est menacé à mesure que les affiliés de Gunra gagnent en envergure

Comme Gunra fonctionne désormais selon une structure RaaS, son réservoir de victimes potentielles va probablement s’élargir. Les affiliés RaaS sont généralement opportunistes : ils ne ciblent pas toujours un secteur précis, mais s’en prennent aux organisations qui présentent des faiblesses exploitables, comme des points d’accès distants exposés, des logiciels non corrigés ou une mauvaise hygiène des identifiants. Cela signifie que des organisations de tailles et de secteurs variés, et pas seulement les grandes entreprises, peuvent se retrouver dans le collimateur simplement parce qu’elles offrent une voie d’entrée plus facile.

L’avertissement du FBI indique que les défenseurs des secteurs public, de la santé, de la finance et d’autres domaines doivent considérer Gunra comme une menace active et évolutive plutôt qu’une préoccupation marginale. À mesure que de nouveaux affiliés adopteront les outils du groupe, le volume et la diversité des attaques attribuées à Gunra devraient augmenter.

Bâtir une stratégie de défense en profondeur

Aucun outil ne stoppe à lui seul un ransomware, et cela vaut aussi pour un VPN. Un VPN peut aider à protéger les données en transit et à réduire l’exposition des ressources internes du réseau à l’internet ouvert, mais il n’empêchera pas un attaquant de voler des fichiers une fois qu’il est déjà à l’intérieur d’un système compromis. La véritable réponse réside dans une défense en couches.

Quelques couches pratiques à privilégier :

  • Sauvegardes fiables et hors ligne : isolez les sauvegardes du réseau principal afin que le ransomware ne puisse pas non plus les atteindre et les chiffrer.
  • Minimisation des données : ne stockez que les données sensibles dont vous avez réellement besoin, et supprimez ou archivez le reste. Les attaquants ne peuvent pas divulguer ce que vous ne détenez pas.
  • Segmentation du réseau et contrôles d’accès : limitez les déplacements latéraux pour qu’un seul compte compromis ne puisse pas atteindre l’ensemble de votre réseau.
  • Outils de confidentialité au niveau du réseau : les VPN et les solutions d’accès à distance sécurisées réduisent la surface d’attaque exposée à internet, ce qui complique la recherche d’un point d’entrée facile pour les affiliés.
  • Gestion des correctifs : de nombreux affiliés RaaS exploitent des vulnérabilités connues et non corrigées plutôt que des techniques inédites ; rester à jour sur les mises à jour ferme donc une porte facile.

Ce que cela signifie pour vous

Que vous gériez l’informatique d’une petite entreprise ou simplement vos propres appareils, le modèle de double extorsion du ransomware Gunra rappelle que la protection des données ne se limite pas à la récupération. Il s’agit aussi de limiter ce que les attaquants peuvent voler en premier lieu et de réduire l’exposition de vos systèmes au balayage et à l’exploitation opportunistes, exactement le type d’activité qu’un réseau d’affiliés en expansion a tendance à produire.

Points clés à retenir

  • Le ransomware Gunra est passé à un modèle RaaS, ce qui signifie que davantage d’affiliés peuvent désormais lancer des attaques à l’aide de ses outils.
  • La double extorsion signifie que payer pour la clé de déchiffrement n’empêche pas la fuite des données volées.
  • Les sauvegardes restent essentielles, mais doivent être associées à la minimisation des données et à des contrôles d’accès.
  • Les outils de confidentialité réseau comme les VPN constituent une couche de défense, pas une solution complète.
  • Maintenir les correctifs à jour et limiter les services exposés sur internet réduit les chances de devenir une cible facile pour des affiliés qui montent en puissance.