Un avis conjoint du FBI, de la CISA, de la NSA, du Cyber Crime Center du département de la Défense et d’agences sud-coréennes de cybersécurité a confirmé que les opérateurs du ransomware Gunra ont trouvé un moyen de contourner l’un des outils de sécurité d’entreprise les plus fiables : l’authentification multifacteur. Plutôt que de voler un code à usage unique ou d’hameçonner une session de connexion, les affiliés de Gunra ont réécrit les fichiers d’authentification directement sur les serveurs des victimes, désactivant ainsi les protections MFA de l’intérieur avant de déployer le chiffrement et de voler des données.
L’avis, publié ce mois-ci, constitue l’une des confirmations publiques les plus claires que les groupes de ransomware-as-a-service ne considèrent plus l’authentification multifacteur comme un obstacle à déjouer. Ils la traitent comme une infrastructure qu’ils peuvent simplement reconfigurer une fois qu’ils ont pris pied.
Comment Gunra a contourné l’authentification multifacteur au niveau du serveur
Selon l’avis, les affiliés de Gunra ont exploité des vulnérabilités connues dans les pare-feu et appliances VPN Fortinet, ainsi que des failles dans les systèmes Schneider Electric, pour obtenir un accès initial aux réseaux gouvernementaux, aux infrastructures critiques et aux réseaux d’entreprise. Une fois à l’intérieur, plutôt que de tenter de neutraliser l’authentification multifacteur au moment de la connexion, les attaquants s’en sont pris aux fichiers de configuration d’authentification stockés sur le serveur lui-même.
En modifiant ces fichiers à la source, les opérateurs de Gunra ont pu désactiver ou contourner les vérifications d’authentification multifacteur qui bloqueraient normalement les connexions non autorisées, sans jamais avoir besoin du second facteur de la victime. C’est une distinction importante par rapport aux techniques classiques de contournement de la MFA comme l’échange de carte SIM ou les attaques par fatigue de notifications push, qui ciblent l’utilisateur. L’approche de Gunra cible l’infrastructure qui applique la politique en premier lieu, ce qui signifie que la faille est architecturale plutôt que comportementale. Corriger les vulnérabilités connues dans les équipements de périphérie comme les pare-feu et les appliances VPN, les points d’entrée sur lesquels Gunra s’appuie selon l’avis, reste le moyen le plus direct pour les organisations de fermer cette porte avant qu’elle ne s’ouvre.
Gunra fonctionne selon le modèle du ransomware-as-a-service, ce qui signifie que le malware principal est construit et maintenu par un groupe tandis que les affiliés mènent les attaques individuelles, en réutilisant souvent du code divulgué issu de familles de ransomwares antérieures. Cette structure a aidé l’opération à s’étendre rapidement à travers les secteurs et les zones géographiques, l’avis notant qu’elle a déjà touché des cibles gouvernementales, des établissements de santé et des infrastructures critiques dans plusieurs pays.
Une lueur d’espoir dans la variante Linux
L’avis souligne également une faiblesse notable dans le logiciel de chiffrement Linux de Gunra. Les chercheurs ont constaté que le processus de chiffrement laisse derrière lui des artefacts d’horodatage de fichiers qui peuvent, dans certains cas, être utilisés pour reconstruire les clés de déchiffrement sans rien payer aux attaquants. Pour les organisations qui exploitent des serveurs Linux touchés par cette variante spécifique, cela ouvre une voie vers la récupération des données chiffrées par analyse forensique plutôt que par négociation avec un groupe criminel.
Ce type de défaut d’implémentation n’est pas rare dans les familles de ransomwares qui réutilisent ou adaptent du code divulgué, et cela ne signifie pas que toutes les victimes de Gunra peuvent récupérer leurs données gratuitement. Le chiffreur côté Windows ne semble pas présenter la même faiblesse, et les organisations doivent considérer toute tentative de récupération comme un travail confié à des intervenants expérimentés en réponse aux incidents plutôt que comme une réparation à faire soi-même. Il n’en reste pas moins une rare bonne nouvelle dans un paysage des ransomwares où les victimes n’ont généralement d’autre choix que de payer ou de reconstruire à partir des sauvegardes.
Ce choix est important car les preuves montrent de plus en plus que payer ne résout pas le problème de manière fiable. Une enquête Proofpoint a révélé que payer les groupes de ransomwares se retourne souvent contre les victimes, de nombreuses organisations rapportant qu’elles ont quand même perdu des données, subi des attaques répétées ou n’ont jamais reçu d’outils de déchiffrement utilisables même après le paiement. L’avis sur Gunra renforce ce schéma : le pari le plus sûr est la prévention et la capacité de récupération, pas la négociation.
Ce que cela signifie pour vous
La plupart des lecteurs de cet avis ne seront pas directement ciblés par Gunra, mais la leçon sous-jacente s’applique largement. L’authentification multifacteur est une couche de défense essentielle, mais elle n’est pas infaillible, surtout lorsque les attaquants peuvent atteindre la configuration côté serveur qui l’applique. Si vous gérez des systèmes informatiques pour une entreprise, un hôpital, une école ou une collectivité locale, cet avis vous invite à vérifier que le micrologiciel de vos pare-feu et appliances VPN est à jour, car l’accès initial de Gunra repose fortement sur des vulnérabilités connues et corrigeables.
Pour les utilisateurs quotidiens, ce qu’il faut retenir concerne moins cette famille de ransomwares en particulier que la manière dont vous gérez vos propres données. Conserver des sauvegardes régulières et hors ligne des fichiers importants reste l’une des rares défenses qui fonctionne quelle que soit la façon dont un attaquant s’introduit. La durée pendant laquelle vous conservez des copies de fichiers sensibles, et l’endroit où vous le faites, a aussi une incidence sur votre exposition si un service que vous utilisez est un jour compromis ; comprendre vos propres habitudes de conservation des données, ainsi que celles des plateformes sur lesquelles vous vous appuyez, est une mesure concrète pour limiter ce qu’une seule violation peut exposer.
Points clés à retenir
Les organisations qui exploitent des équipements Fortinet ou Schneider Electric exposés doivent donner la priorité à l’application immédiate de correctifs, car c’est le point d’entrée documenté des intrusions de Gunra. Les équipes informatiques doivent auditer les configurations d’authentification côté serveur pour détecter les modifications non autorisées plutôt que de supposer que la MFA fonctionne simplement parce qu’elle est activée. Les administrateurs Linux touchés par Gunra doivent consulter des professionnels de la réponse aux incidents avant de supposer que les fichiers sont définitivement perdus, étant donné la faille de récupération basée sur les horodatages décrite dans l’avis. Et pour tous les autres, cet avis est un nouveau rappel que le ransomware Gunra et les groupes similaires réussissent le plus souvent contre des infrastructures obsolètes, ce qui rend la gestion des correctifs et la discipline de sauvegarde plus précieuses que n’importe quel outil de sécurité unique.
