FBI, CISA i nekoliko partnerskih agencija objavili su zajedničko izvješće o Gunra ransomwareu, grupi koja tiho gradi reputaciju jedne od najagresivnijih operacija dvostruke iznude koje ciljaju vladine agencije i organizacije kritične infrastrukture. Ako niste pomno pratili Gunru, vrijedi razumjeti ovo izvješće, ne zato što bi trebalo izazvati uzbunu, već zato što pojašnjava kako ova grupa djeluje i što organizacije i pojedinci mogu učiniti kako bi smanjili svoju izloženost.
Što FBI-ovo izvješće potvrđuje o Gunri
Gunra ransomware aktivan je od travnja 2025., a njegov kod navodno potječe od procurjelog izvornog koda Contija, veze koja pomaže objasniti zašto se zlonamjerni softver ponaša na način na koji se ponaša. Umjesto da djeluje kao jedinstvena, zatvorena grupa, Gunra je evoluirala u model ransomwarea kao usluge, što znači da glavni programeri licenciraju ili dijele svoje alate s affiliate partnerima koji provode stvarne napade. Ova struktura omogućuje Gunri da brzo proširi svoj doseg jer više affiliate partnera znači više pokušaja provala u više sektora.
Samo izvješće zajednički su izdali FBI, CISA, Centar za kibernetički kriminal Ministarstva obrane, NSA, američka Tajna služba i južnokorejska nacionalna agencija za kibernetičku sigurnost, što je razina međunarodne koordinacije koja signalizira koliko ozbiljno te agencije shvaćaju ovu prijetnju. Za više detalja o opsegu te koordinacije, pogledajte ranije izvješće o CISA-inom i FBI-ovom kolovoškom izvješću iz 2026. o Gunra ransomwareu.
Osam stvari koje vrijedi znati
- Gunra je aktivna od travnja 2025. i dijeli kodnu lozu s ozloglašenom obitelji ransomwarea Conti.
- Sada djeluje kao platforma ransomwarea kao usluge, što znači da više affiliateskih grupa može pokretati napade koristeći iste temeljne alate.
- Affiliate partneri navodno uključuju pojedince s iskustvom u testiranju penetracije i etičkom hakiranju, što zamagljuje granicu između legitimnih sigurnosnih vještina i kriminalne upotrebe.
- Grupa koristi model dvostruke iznude, šifrirajući podatke žrtve dok također krade njihove kopije, a zatim prijeti objavom ukradenih datoteka ako se otkupnina ne plati.
- Vladine agencije i organizacije kritične infrastrukture izričito su navedene kao mete, ne samo privatna poduzeća.
- Affiliate partneri Gunre iskorištavali su ranjivosti izložene internetu kako bi dobili početni pristup mrežama žrtava, taktika detaljnije obrađena u izvješćima o dvjema greškama za koje CISA i FBI kažu da potiču Gunra napade.
- U nekim slučajevima, operateri Gunre pronašli su načine kako zaobići zaštitu višefaktorske autentifikacije, što je razvoj događaja obrađen u izvješću o tome kako Gunra zaobilazi MFA i povezana Linux greška koja omogućuje besplatan oporavak.
- Pristup dvostruke iznude intenzivirao se tijekom vremena, a grupa se sve više oslanja na prijetnju javnom objavom podataka kao sredstvo pritiska, trend dokumentiran u izvješćima o pojačanim napadima dvostruke iznude grupe Gunra.
Rizici za privatnost i izloženost podataka
Model dvostruke iznude ono je što Gunru čini posebno relevantnom sa stajališta privatnosti, odvojeno od operativnog poremećaja koji ransomware obično uzrokuje. Kada napadači ukradu podatke prije šifriranja, rizik se proteže daleko izvan neposredne organizacije žrtve. Vladine agencije i operateri kritične infrastrukture često posjeduju osjetljive zapise povezane sa zaposlenicima, izvođačima i članovima javnosti. Ako se ti podaci izvuku i kasnije objave ili prodaju jer zahtjev za otkupninom ostane neplaćen, izloženost može utjecati na ljude koji nisu imali izravan odnos s pogođenom organizacijom i nisu to mogli sami spriječiti.
Zato izvješća o ransomwareu sve više naglašavaju prevenciju i brzo otkrivanje umjesto oslanjanja isključivo na nadu da će plaćanje otkupnine, ako do njega dođe, zapravo spriječiti curenje podataka. Ne postoji jamstvo da plaćanje otkupnine sprječava objavu, a agencije općenito odvraćaju od plaćanja upravo iz tog razloga.
Što to znači za vas
Većina čitatelja neće izravno braniti vladinu mrežu od Gunre, ali izvješće i dalje ima praktičnu važnost. Ako komunicirate s vladinim uslugama, radite za pružatelja kritične infrastrukture ili jednostavno dijelite osobne podatke s organizacijama u sektorima koje je Gunra ciljala, vaši bi podaci teoretski mogli biti zahvaćeni u budućem incidentu povezanom s ovom grupom ili sličnim operaterima koji koriste isti priručnik ransomwarea kao usluge. Razumijevanje kako Gunra dobiva pristup, kroz ranjivosti izložene internetu i, u nekim slučajevima, zaobilaženje višefaktorske autentifikacije, pomaže objasniti zašto snažna sigurnost računa i pravovremeno zakrpljivanje softvera ostaju najučinkovitija obrana dostupna i organizacijama i pojedincima.
Za IT i sigurnosne timove, detalji iz izvješća o regrutaciji affiliate partnera i tehnikama početnog pristupa podsjetnik su da se grupe ransomwarea kao usluge brzo šire jer je prepreka za postajanje affiliate partnerom niska. Obrana od Gunre znači obranu od širokog raspona aktera koji koriste isti osnovni komplet alata, a ne samo od jedne grupe.
Praktični zaključci
Organizacije bi trebale dati prednost pravovremenom zakrpljivanju sustava izloženih internetu jer su se affiliate partneri Gunre oslanjali na poznate ranjivosti kako bi ušli na vrata. Višefaktorsku autentifikaciju trebalo bi i dalje omogućiti gdje god je to moguće, ali je ne treba tretirati kao neprobojnu zaštitu samu po sebi. Redovito testiranje procesa sigurnosnih kopija i oporavka važnije je nego ikad jer dvostruka iznuda znači da dobra sigurnosna kopija ne eliminira u potpunosti rizik od izloženosti podataka. Pojedinci bi trebali ostati budni na obavijesti o povredama podataka od vladinih agencija ili pružatelja usluga koje koriste te razmotriti praćenje znakova da su se njihovi osobni podaci pojavili u curenju podataka. Izvješće o Gunra ransomwareu korisna je kontrolna točka za preispitivanje tih osnova, a ne razlog za paniku, a organizacije koje sada postupe prema njegovim nalazima bit će u boljoj poziciji ako Gunra ili sličan operater pokuca na vrata.
