Što novo upozorenje SAD-a i Južne Koreje otkriva o rastu Gunre

Američke i južnokorejske vlasti izdale su novo zajedničko upozorenje o ransomwareu Gunra, a poruka je izravna: ova operacija raste, kako u tehničkoj sofisticiranosti tako i u veličini svoje mreže suradnika. Upozorenje slijedi ranija upozorenja CISA-e, FBI-a i NSA-e koja su prvi put označila Gunru kao ozbiljnu prijetnju zdravstvenom sektoru. Ovaj najnoviji bilten signalizira da Gunra od tada nije usporila. Umjesto toga, čini se da se širi, regrutira više suradnika i baca širu mrežu na različite industrije i geografska područja.

Za čitatelje koji prate trendove ransomwarea, ovo je poznat i zabrinjavajući obrazac. Obitelj ransomwarea biva označena jer cilja jedan sektor, u ovom slučaju zdravstvo, i umjesto da nestane nakon pozornosti tijela za provedbu zakona, profesionalizira se. Više suradnika znači više pokušaja napada, više varijacija u taktikama i težu metu za obranu. Zajedničko upozorenje SAD-a i Južne Koreje upućuje na to da je upravo takva ekspanzija u tijeku, a međunarodna suradnja odražava koliko ozbiljno agencije s obje strane Pacifika shvaćaju prijetnju.

Kako Gunrin model suradnika širi napadnu površinu

Moderne operacije ransomwarea rijetko se vode kao jedna centralizirana skupina. Gunra slijedi sada uobičajeni model ransomwarea kao usluge, gdje jezgra grupa razvija i održava zlonamjerni softver i infrastrukturu, a zatim iznajmljuje pristup suradnicima koji provode stvarne upade. Svaki suradnik donosi vlastite preferirane metode početnog pristupa, bilo da je to phishing, iskorištavanje izloženih udaljenih usluga ili kupnja ukradenih vjerodajnica s drugih kriminalnih tržišta.

Upravo je ta struktura razlog zašto vlasti upozoravaju na rast mreže suradnika, a ne samo na sam zlonamjerni softver. Više suradnika znači više ulaznih točaka, više varijacija u tome kako organizacije bivaju kompromitirane i šire širenje potencijalnih žrtava izvan zdravstvenih ciljeva istaknutih u ranijim upozorenjima. To također otežava identifikaciju Gunre pomoću jednog detekcijskog potpisa, budući da različiti suradnici mogu koristiti različite tehnike isporuke čak i dok postavljaju isti osnovni ransomware teret.

Organizacije u sektorima koje su se dosad osjećale zaštićenima od Gunre jer nisu bolnice ili klinike trebale bi ozbiljno shvatiti ovu ekspanziju. Operacije ransomwarea kao usluge jure priliku, a ne samo odanost sektoru, a rastuća baza suradnika obično znači i rastući popis meta.

Gdje se VPN uklapa u slojevitu obranu od ransomwarea

Dobro konfiguriran VPN legitiman je dio obrambene slagalice, ali sam po sebi nije štit od ransomwarea. VPN-ovi prvenstveno štite podatke u prijenosu i mogu ograničiti udaljeni pristup unutarnjim sustavima, što je važno jer su izložene točke udaljenog pristupa jedan od najčešćih načina na koji suradnici ransomwarea ostvaruju početno uporište. Zahtijevanje VPN pristupa s jakom autentifikacijom prije nego što itko može doći do unutarnjih mrežnih resursa zatvara jedan uobičajeni ulazni put koji oportunistički suradnici traže.

No VPN ne čini ništa kako bi zaustavio ransomware nakon što je napadač već unutar mreže, niti štiti od phishing e-pošte, zlonamjernih privitaka ili kompromitiranih vjerodajnica korištenih za prijavu kroz naizgled legitimnu vezu. Zbog toga je ranije zajedničko upozorenje koje pokriva Gunra ransomware koji pogađa zdravstvo naglasilo kombinaciju kontrola, a ne jedan alat. Tretiranje VPN-a kao potpunog odgovora na rizik od ransomwarea stvara lažan osjećaj sigurnosti koji napadači rado iskorištavaju.

Praktični koraci: segmentacija, sigurnosne kopije i osnove enkripcije

Najučinkovitiji odgovor na rastuću prijetnju ransomwarea poput Gunre je slojevita obrana, gdje kvar jedne kontrole ne vodi izravno u katastrofalan gubitak podataka. Ističe se nekoliko praktičnih prioriteta:

Segmentacija mreže ograničava koliko daleko se napadač može kretati nakon što stekne uporište. Ako suradnici kompromitiraju jednu radnu stanicu ili jedan račun za udaljeni pristup, segmentacija može spriječiti širenje tog pristupa lateralno na kritične poslužitelje, sustave sigurnosnih kopija ili osjetljive baze podataka.

Strategija sigurnosnih kopija ostaje jedna od najvažnijih obrana protiv bilo koje varijante ransomwarea, uključujući Gunru. Sigurnosne kopije moraju biti izvan mreže ili na drugi način izolirane od primarne mreže, redovito testirane za obnovu i pokrivene jasnim planom oporavka. Operateri ransomwarea sve češće izravno ciljaju sustave sigurnosnih kopija, pa kopije koje su dostupne s iste mreže kao produkcijski sustavi nude malo stvarne zaštite.

Osnove enkripcije, što znači šifriranje osjetljivih podataka u mirovanju i nametanje jake autentifikacije svakome tko im pristupa, smanjuje vrijednost ukradenih podataka čak i ako suradnik uspije iznijeti datoteke prije postavljanja ransomwarea, taktika koju grupe za dvostruko iznuđivanje često koriste.

Ponovno pregledavanje smjernica iz izvornog upozorenja o Gunra ransomwareu koji pogađa zdravstvo vrijedno je za svaku organizaciju koja gradi ili ažurira svoj plan obrane, budući da izlaže obrazac eskalacije koji je doveo do ovog novijeg, šireg upozorenja.

Što to znači za vas

Ako se vaša organizacija nalazi izvan zdravstva, nemojte pretpostaviti da vas Gunrina rastuća mreža suradnika čini nižim prioritetom. Grupe ransomwarea kao usluge slijede priliku, a upozorenje koje navodi rastuću bazu suradnika zapravo je upozorenje da je sada više sektora u opsegu. Učinkovita zaštita od Gunra ransomwarea ne sastoji se u pronalaženju jednog čarobnog alata. Radi se o kombiniranju kontrola pristupa, segmentacije mreže, testiranih offline sigurnosnih kopija i šifriranja podataka u strategiju obrane u dubinu koja pretpostavlja da bi bilo koji pojedinačni sloj na kraju mogao zakazati.

Provedive preporuke

  • Pregledajte politike udaljenog pristupa i osigurajte da je korištenje VPN-a upareno s jakom višefaktorskom autentifikacijom, a ne tretirano kao samostalna zaštita.
  • Revidirajte segmentaciju mreže kako biste potvrdili da kompromitiranje jednog sustava ili računa ne daje širok lateralni pristup.
  • Testirajte postupke obnove sigurnosnih kopija sada, prije nego što vas incident prisili da otkrijete nedostatke pod pritiskom.
  • Šifrirajte osjetljive podatke u mirovanju kako biste smanjili utjecaj koji taktike dvostrukog iznuđivanja daju napadačima.
  • Ostanite u tijeku s upozorenjima CISA-e, FBI-a i međunarodnih partnera, budući da se operacije ransomwarea poput Gunre brzo razvijaju, a smjernice se ažuriraju kako se pojavljuju nove taktike.