Što se promijenilo: Gunra prelazi na RaaS model

FBI je izdao novo upozorenje o Gunra ransomwareu, prijetnji koja je brzo evoluirala iz operacije jedne skupine u punopravni posao ransomwarea kao usluge (RaaS). U praktičnom smislu, to znači da izvorni razvojni programeri koji stoje iza Gunra ransomwarea više nisu jedini koji pokreću napade. Sada licenciraju ili iznajmljuju svoj zlonamjerni softver i infrastrukturu suradnicima, kriminalnim partnerima koji izvode stvarne upade i dijele dobit s temeljnom skupinom.

Ovaj je pomak važan jer RaaS modeli obično ubrzavaju opseg i doseg napada. Umjesto da jedna ekipa polako cilja žrtve, deseci neovisnih suradnika sada mogu istodobno koristiti isti ransomware u različitim industrijama i regijama, a svaki donosi vlastite tehnike proboja u mreže. FBI-jevo upozorenje potvrđuje da se Gunra i dalje oslanja na pristup dvostruke iznude: šifrira podatke žrtve i istodobno krade njihove kopije, zatim prijeti objavom ukradenih datoteka na namjenskoj stranici za curenje podataka ako se ne plati otkupnina.

Za pozadinu o tome kako je Gunra izgradila svoju reputaciju prije ovog širenja, naše ranije izvješće o napadima dvostruke iznude skupine Gunra opisalo je kako je skupina prvi put privukla pozornost istraživača brzim širenjem u više sektora.

Zašto dvostruka iznuda ruši obranu 'samo vrati iz sigurnosne kopije'

Godinama je standardni savjet za preživljavanje ransomware napada bio jednostavan: čuvajte dobre sigurnosne kopije i, ako vas pogodi, obrišite zaražene sustave i vratite podatke iz čiste kopije. Taj savjet i dalje vrijedi, ali više ne rješava cijeli problem. Dvostruka iznuda Gunra ransomwarea osmišljena je upravo kako bi to porazila.

Evo zašto. Čak i ako organizacija žrtva može u potpunosti vratiti svoje sustave iz sigurnosne kopije i nikada ne plati za otključavanje vlastitih datoteka, napadači su već iznijeli kopiju tih osjetljivih podataka prije nego što su išta šifrirali. Sigurnosne kopije štite od gubitka podataka, ali ne čine ništa kako bi spriječile da ukradene datoteke budu objavljene ili prodane. Gunrina stranica za objavu ukradenih podataka postoji upravo zato da stvori taj drugi sloj pritiska: platite ili će vaši podaci o klijentima, financijski dokumenti ili interna komunikacija postati javni.

To je temeljni razlog zašto sigurnosni timovi danas o ransomwareu govore u smislu krađe podataka i izloženosti, a ne samo zastoja sustava. Brza obnova rada i dalje je vrijedna, ali ne uklanja polugu koju napadači drže nakon što dođu u posjed kopije vaših podataka.

Tko je ugrožen dok se suradnici Gunra ransomwarea šire

Budući da Gunra sada djeluje u RaaS strukturi, bazen potencijalnih žrtava vjerojatno će se proširiti. Suradnici u RaaS-u obično su oportunistički, ne ciljaju uvijek određenu industriju, nego napadaju organizacije koje pokazuju iskoristive slabosti, poput izloženih točaka za udaljeni pristup, nezakrpanog softvera ili slabe higijene vjerodajnica. To znači da organizacije različitih veličina i sektora, a ne samo velika poduzeća, mogu završiti na nišanu jednostavno zato što predstavljaju lakši put unutra.

FBI-jevo upozorenje signal je da bi se obrambeni timovi u državnom, zdravstvenom, financijskom i drugim sektorima prema Gunri trebali odnositi kao prema aktivnoj prijetnji koja se razvija, a ne kao prema nišnoj brizi. Kako sve više suradnika prihvaća alate te skupine, obujam i raznolikost napada koji se pripisuju Gunri vjerojatno će rasti.

Izgradnja strategije obrane po dubini

Nijedan alat sam ne zaustavlja ransomware, a to uključuje i VPN. VPN može pomoći u zaštiti podataka u prijenosu i smanjiti izloženost internih mrežnih resursa otvorenom internetu, ali neće spriječiti napadača da ukrade datoteke nakon što se već nađe unutar kompromitiranog sustava. Pravi je odgovor slojevita obrana.

Nekoliko praktičnih slojeva koje vrijedi prioritizirati:

  • Pouzdane, izvanmrežne sigurnosne kopije: Držite sigurnosne kopije izolirane od glavne mreže kako ih ransomware ne bi mogao dosegnuti i također šifrirati.
  • Minimizacija podataka: Pohranjujte samo osjetljive podatke koji su vam zaista potrebni, a ostalo izbrišite ili arhivirajte. Napadači ne mogu objaviti ono što nemate.
  • Mrežna segmentacija i kontrola pristupa: Ograničite lateralno kretanje tako da jedan kompromitirani račun ne može dosegnuti cijelu mrežu.
  • Alati za privatnost na mrežnoj razini: VPN-ovi i sigurna rješenja za udaljeni pristup smanjuju napadnu površinu izloženu internetu, čime suradnicima otežavaju pronalazak lakog ulaza.
  • Upravljanje zakrpama: Mnogi RaaS suradnici iskorištavaju poznate, nezakrpane ranjivosti umjesto novih tehnika, pa redovito ažuriranje zatvara laka vrata.

Što to znači za vas

Bez obzira na to vodite li IT za malu tvrtku ili jednostavno upravljate vlastitim uređajima, model dvostruke iznude Gunra ransomwarea podsjetnik je da je zaštita podataka više od oporavka. Riječ je o tome da ograničite što napadači uopće mogu ukrasti i koliko su vaši sustavi izloženi oportunističkom skeniranju i iskorištavanju, a upravo to aktivnost rastuće mreže suradnika obično proizvodi.

Ključni zaključci

  • Gunra ransomware prešao je na RaaS model, što znači da sada više suradnika može pokretati napade pomoću njegovih alata.
  • Dvostruka iznuda znači da plaćanje dešifriranja ne sprječava objavu ukradenih podataka.
  • Sigurnosne kopije ostaju ključne, ali moraju biti uparene s minimizacijom podataka i kontrolom pristupa.
  • Alati za mrežnu privatnost poput VPN-a jedan su sloj obrane, a ne cjelovito rješenje.
  • Redovito zakrpavanje i ograničavanje usluga izloženih internetu smanjuje šanse da postanete laka meta za sve brojnije suradnike.