Zajedničko upozorenje FBI-a, CISA-e, NSA-e, Centra za kibernetički kriminal Ministarstva obrane i južnokorejskih agencija za kibernetičku sigurnost potvrdilo je da su operateri Gunra ransomwarea pronašli način da zaobiđu jedan od najpouzdanijih sigurnosnih alata za poduzeća: višefaktorsku autentifikaciju. Umjesto krađe jednokratnog koda ili phishinga sesije prijave, Gunrini suradnici izravno su prepisivali datoteke za autentifikaciju na poslužiteljima žrtava, učinkovito onemogućavajući MFA zaštitu iznutra prije nego što su pokrenuli enkripciju i ukrali podatke.
Upozorenje, objavljeno ovog mjeseca, jedno je od jasnijih javnih potvrda da se grupe ransomware-kao-usluga više ne odnose prema MFA-u kao prema prepreci koju moraju nadmudriti. Odnose se prema njemu kao prema infrastrukturi koju jednostavno mogu rekonfigurirati nakon što steknu uporište.
Kako je Gunra zaobišao MFA na razini poslužitelja
Prema upozorenju, Gunrini suradnici iskorištavali su poznate ranjivosti u Fortinet firewall i VPN uređajima, zajedno s greškama u Schneider Electric sustavima, kako bi dobili početni pristup vladinim mrežama, mrežama kritične infrastrukture i poduzeća. Nakon što bi ušli, umjesto pokušaja da pobijede MFA na zaslonu za prijavu, napadači su ciljali konfiguracijske datoteke za autentifikaciju pohranjene na samom poslužitelju.
Izmjenom tih datoteka na izvoru, operateri Gunra uspjeli su onemogućiti ili zaobići MFA provjere koje bi inače zaustavile neovlaštene prijave, a sve to bez da su ikada trebali drugi faktor žrtve. Ovo je značajna razlika u odnosu na tipične tehnike zaobilaženja MFA-a poput SIM swappinga ili napada umorom putem push obavijesti, koji ciljaju korisnika. Gunrin pristup cilja infrastrukturu koja uopće provodi politiku, što znači da je greška arhitektonska, a ne bihevioralna. Zakrpanje poznatih ranjivosti na rubnim uređajima poput firewallova i VPN uređaja, ulaznim točkama na koje se Gunra oslanja prema upozorenju, ostaje najizravniji način na koji organizacije mogu zatvoriti ta vrata prije nego što se otvore.
Gunra djeluje kao ransomware-kao-usluga, što znači da temeljni zlonamjerni softver izrađuje i održava jedna grupa dok suradnici provode pojedinačne napade, često ponovno koristeći procurjeli kod iz ranijih obitelji ransomwarea. Ta struktura pomogla je operaciji da se brzo proširi po sektorima i geografskim područjima, budući da upozorenje navodi kako je već pogodila vladine, zdravstvene i ciljeve kritične infrastrukture u više zemalja.
Srebrna podloga u Linux varijanti
Upozorenje također ukazuje na značajnu slabost u Gunrinom Linux enkriptoru. Istraživači su otkrili da proces enkripcije ostavlja artefakte u vremenskim oznakama datoteka koji se u nekim slučajevima mogu koristiti za rekonstrukciju ključeva za dešifriranje bez plaćanja napadačima. Za organizacije koje pokreću Linux poslužitelje pogođene ovom specifičnom varijantom, to otvara put za oporavak šifriranih podataka putem forenzičke analize umjesto pregovaranja s kriminalnom grupom.
Ova vrsta greške u implementaciji nije neuobičajena u obiteljima ransomwarea koje ponovno koriste ili prilagođavaju procurjeli kod, i ne znači da se svaka Gunra žrtva može besplatno oporaviti. Čini se da enkriptor na Windows strani ne dijeli istu slabost, a organizacije bi svaki pokušaj oporavka trebale tretirati kao posao za iskusne timove za odgovor na incidente, a ne kao vlastiti popravak. Ipak, to je rijedak komadić dobrih vijesti u pejzažu ransomwarea gdje žrtve obično ostaju između plaćanja i ponovne izgradnje iz sigurnosnih kopija.
Taj izbor je važan jer dokazi sve više pokazuju da plaćanje ne rješava problem pouzdano. Proofpoint anketa otkrila je da plaćanje ransomware grupama često ima kontraefekt, pri čemu mnoge organizacije izvještavaju da su i dalje izgubile podatke, suočile se s ponovnim napadima ili nikada nisu dobile upotrebljive alate za dešifriranje čak ni nakon plaćanja. Upozorenje o Gunri pojačava taj obrazac: najsigurnija oklada je prevencija i mogućnost oporavka, a ne pregovaranje.
Što to znači za vas
Većina čitatelja ovog upozorenja neće biti izravna meta Gunre, ali osnovna lekcija primjenjuje se široko. MFA je kritičan sloj obrane, ali nije nepogrešiv, posebno kada napadači mogu doći do poslužiteljske konfiguracije koja ga provodi. Ako upravljate IT sustavima za poduzeće, bolnicu, školu ili lokalnu vladinu agenciju, ovo upozorenje je signal da provjerite jesu li firmveri vaših firewall i VPN uređaja ažurni, budući da se Gunrin početni pristup uvelike oslanja na poznate, zakrpljive ranjivosti.
Za obične korisnike, pouka je manje o ovoj specifičnoj obitelji ransomwarea, a više o tome kako upravljate vlastitim podacima. Redovito čuvanje izvanmrežnih sigurnosnih kopija važnih datoteka ostaje jedna od rijetkih obrana koja djeluje bez obzira na to kako napadač uđe. Koliko dugo čuvate kopije osjetljivih datoteka, i gdje, također utječe na vašu izloženost ako usluga koju koristite ikada bude probijena; razumijevanje vlastitih navika čuvanja podataka, i onih platformi na koje se oslanjate, praktičan je korak prema ograničavanju onoga što pojedinačno probijanje može izložiti.
Ključne poruke
Organizacije koje pokreću izloženu Fortinet ili Schneider Electric opremu trebale bi prioritetno zakrpiti sustave odmah, jer je to dokumentirana ulazna točka za Gunra provale. IT timovi trebali bi revidirati poslužiteljske konfiguracije za autentifikaciju radi neovlaštenih izmjena umjesto pretpostavke da MFA radi jednostavno zato što je omogućen. Linux administratori pogođeni Gunrom trebali bi konzultirati stručnjake za odgovor na incidente prije nego što pretpostave da su datoteke trajno izgubljene, s obzirom na grešku oporavka temeljenu na vremenskim oznakama opisanu u upozorenju. A za sve ostale, ovo upozorenje je još jedan podsjetnik da Gunra ransomware i grupe poput njega najčešće uspijevaju protiv zastarjele infrastrukture, čineći disciplinu upravljanja zakrpama i sigurnosnih kopija vrijednijom od bilo kojeg pojedinačnog sigurnosnog alata.
