Agencija za kibersigurnost i infrastrukturnu sigurnost (CISA), FBI i njihovi vladini partneri objavili su dodatne tehničke pojedinosti o tome kako akteri ransomwarea Gunra provaljuju u mreže žrtava. Prema najnovijem zajedničkom savjetodavnom upozorenju, suradnici Gunre ostvaruju početni pristup kroz dvije poznate ranjivosti u uređajima okrenutim internetu – rubni hardver, VPN pristupnici, vatrozidovi i uređaji za udaljeni pristup koji se nalaze na perimetru mreže gotovo svake organizacije.
Ovo je nastavak ranijih upozorenja o operaciji ransomwarea kao usluge, koju su agencije prethodno označile zbog ciljanja zdravstvenog sektora i zbog vođenja agresivne sheme dvostruke iznude koja kombinira krađu podataka sa šifriranjem datoteka. Nove smjernice usredotočuju se na mehaniku samog upada, dajući braniteljima jasniju sliku o tome gdje točno usmjeriti pozornost.
Ranjivosti koje iskorištavaju akteri Gunre
Prema upozorenju, akteri Gunre ne oslanjaju se na nove zero-day eksploatacije. Umjesto toga, iskorištavaju dvije već poznate ranjivosti u uređajima okrenutim internetu, softveru i uređajima koje organizacije izlažu javnom internetu kako bi omogućile rad na daljinu, povezivost između lokacija ili vanjske usluge. Taj je obrazac u skladu s načinom rada većine suradnika ransomwarea kao usluge: umjesto ulaganja u skup razvoj eksploatacija, skeniraju internet u potrazi za nezakrpanim sustavima i ulaze kroz vrata koja su već trebala biti zatvorena. Pouka za branitelje jasna je. Poznate ranjivosti ostaju opasne dugo nakon što su objavljene jer su ciklusi zakrpa unutar stvarnih organizacija često sporiji od tempa kojim napadači pretvaraju javni kôd eksploatacije u oružje.
Kako Gunra ostvaruje uporište nakon ulaska
Nakon što suradnici Gunre iskoriste jednu od tih ulaznih točaka, taj pristup koriste za dublje kretanje mrežom. Uređaji okrenuti internetu poput VPN koncentratora i vatrozida privlačne su mete upravo zato što njihova kompromitacija često donosi razinu povjerenja koju unutarnji sustavi smatraju legitimnom. Odatle akteri mogu uspostaviti trajnost, prikupiti vjerodajnice i početi mapirati mrežu pripremajući se za faze krađe podataka i šifriranja koje definiraju Gunrin model dvostruke iznude. Budući da se početna kompromitacija događa na rubu mreže, organizacije koje perimetarske uređaje tretiraju kao infrastrukturu koju "postavi i zaboravi" posebno su izložene. Ti se uređaji često postavljaju jednom, konfiguriraju radi dostupnosti umjesto sigurnosti i ostavljaju godinama bez pregleda firmvera ili zakrpa.
Koraci zakrpa i konfiguracije za zatvaranje praznine
Ključna preporuka upozorenja primjenjiva je široko na kampanje ransomwarea, ne samo na Gunru: odmah zakrpajte uređaje okrenute internetu i dajte prednost poznatim, aktivno iskorištavanim ranjivostima u odnosu na rutinska ažuriranja. IT i sigurnosni timovi trebali bi održavati aktualan popis svih uređaja izloženih internetu, uključujući VPN pristupnike, vatrozidove i alate za udaljeni pristup, te potvrditi da svaki od njih radi na podržanoj, ažuriranoj verziji. Ako se zakrpe ne mogu odmah primijeniti, organizacije bi trebale razmotriti isključivanje pogođene usluge ili ograničavanje pristupa dok se popravak ne primijeni. Višefaktorska autentifikacija na svim točkama udaljenog pristupa, u kombinaciji s bilježenjem i upozoravanjem na neuobičajene aktivnosti prijave, dodaje još jedan sloj otpornosti čak i ako uređaj ima nezakrpanu manu.
Zašto kontrola VPN pristupa i segmentacija mreže ograničavaju širenje ransomwarea
Čak i uz disciplinirano zakrpavanje, nijedna organizacija ne može jamčiti nultu izloženost u svakom trenutku. Zato su kontrola pristupa i segmentacija jednako važne kao i početni popravak. VPN pristup trebao bi biti usko ograničen, tako da korisnici dobiju pristup samo onim mrežnim segmentima koji su im stvarno potrebni, a ne širok pristup cijelom okruženju. Segmentiranje mreža tako da kompromitirani rubni uređaj ne može izravno dosegnuti osjetljive sustave, poslužitelje sigurnosnih kopija ili kontrolere domene može biti razlika između ograničenog incidenta i ransomware događaja punog opsega. Te kontrole ne sprječavaju svaki upad, ali usporavaju napadače i daju braniteljima vrijeme za otkrivanje i odgovor prije nego što dođe do šifriranja i izvlačenja podataka.
Što to znači za vas
Za IT administratore i sigurnosne timove ovo je upozorenje podsjetnik da ransomware skupine poput Gunre i dalje uspijevaju iskorištavanjem osnova: nezakrpanih sustava i pretjerano dopuštajućeg mrežnog pristupa, a ne sofisticiranih novih napada. Učinkovita zaštita od ransomwarea Gunra počinje iskrenom revizijom svakog uređaja koji vaša organizacija izlaže internetu. Ako djelujete u zdravstvu ili nekom drugom sektoru prethodno navedenom u upozorenjima o Gunri, hitnost je još veća jer je skupina već pokazala spremnost da cilja upravo ta okruženja.
Provedivi zaključci
Organizacije bi trebale popisati sve uređaje okrenute internetu, uključujući VPN pristupnike i vatrozidove, te potvrditi status zakrpa u odnosu na poznate ranjivosti. Ograničite udaljeni pristup višefaktorskom autentifikacijom i dozvolama VPN-a prema načelu najmanje povlastice. Segmentirajte mreže tako da jedan kompromitirani uređaj ne može izložiti sigurnosne kopije ili kritične sustave. Pregledajte ranija upozorenja CISA-e, FBI-a i NSA-e o Gunrinom ciljanju zdravstva i taktikama dvostruke iznude za potpune tehničke indikatore i sektorski specifične smjernice potrebne za izgradnju cjelovitog obrambenog plana.
