Mit árul el a CISA/FBI tanácsadás a Gunra zsarolóvírusról

Az Egyesült Államok Kiberbiztonsági és Infrastruktúra-biztonsági Ügynöksége (CISA) és az FBI, az amerikai kormányzati és nemzetközi partnerekkel együttműködve, közös Kiberbiztonsági Tanácsadást adott ki #StopRansomware: Gunra Ransomware címmel. A tanácsadás egy olyan zsarolóvírus-csoportot követ nyomon, amely 2025 áprilisában tűnt fel először, és azóta csendben építi hírnevét agresszív, nagynyomású zsarolási kampányaival.

A tanácsadás szerint a Gunra kettős zsarolási modell alapján működik. Ez azt jelenti, hogy a csoport nem csupán titkosítással zárolja az áldozatok fájljait, hanem a titkosítás előtt érzékeny adatokat is ellop, azaz kiszivárogtat. Ez a támadóknak két külön nyomási pontot biztosít célpontjaikkal szemben: egyrészt a visszafejtő kulcsért követelnek váltságdíjat, másrészt azért, hogy megakadályozzák az ellopott adatok kiszivárgását vagy eladását. A tanácsadás megjegyzi, hogy a váltságdíj-követelések strukturált fizetési csatornákon keresztül történnek, ami a szervezett, üzletszerű zsarolás felé mozduló zsarolóvírus-műveletek jellemzője.

Az a tény, hogy a szövetségi ügynökségek szükségesnek látták egy külön tanácsadás kiadását egy olyan csoportról, amely mindössze 2025 tavasza óta aktív, jól mutatja, milyen gyorsan eszkalálódott a Gunra. Az ilyen közös tanácsadásokat általában olyan fenyegetéseknek tartják fenn, amelyekről az ügynökségek úgy vélik, hogy aktívan vesznek célba szervezetek széles körét, nem csupán elszigetelt eseteket.

Hogyan fegyverzik fel a kettős zsarolásos támadások az ellopott adatokat

A kettős zsarolás alapvető veszélye, hogy megváltoztatja a helyzetértékelést az áldozatok számára. A régebbi zsarolóvírus-támadásoknál egy megbízható biztonsági mentésekkel rendelkező szervezet gyakran visszautasíthatta a fizetést, és egyszerűen visszaállíthatta rendszereit. A kettős zsarolás ezt a biztonsági hálót iktatja ki. Még ha egy vállalat a visszafejtő kulcs kifizetése nélkül is képes helyreállítani hálózatát a mentésekből, a támadók továbbra is túszként tartják az ellopott adatokat, és azzal fenyegetőzhetnek, hogy nyilvánosságra hozzák vagy eladják azokat.

Ennek a taktikának szélesebb körű következményei vannak, mint azt a legtöbben gondolnák. Az ellopott adatok ritkán korlátozódnak csupán belső vállalati nyilvántartásokra. Gyakran tartalmaznak ügyfélneveket, elérhetőségeket, fizetési információkat és egyéb személyes adatokat, amelyeket a kiszivárogtatás után több irányból is fel lehet használni egy vállalkozás nyomásgyakorlására. Amint azt egy korábbi cikkünkben bemutattuk, amely arról szólt, hogyan fenyegetőznek a zsarolóvírus-bűnözők az ügyfelek közvetlen megkeresésével, egyes csoportok továbbléptek, és közvetlenül felveszik a kapcsolatot az áldozatszervezet ügyfeleivel, figyelmeztetve őket, hogy személyes adataikat ellopták, és arra sürgetve őket, hogy gyakoroljanak nyomást a cégre a fizetés érdekében. A Gunra kettős zsarolási taktikája szervesen illeszkedik ebbe a mintába, amely az ellopott adatokat fegyverré változtatja mind a feltört szervezet, mind pedig az érintett ügyfelek ellen.

A kis- és középvállalkozások számára ez azt jelenti, hogy egy zsarolóvírusos incidens már nem pusztán IT-probléma. Gyorsan válhat ügyfélbizalmi és hírnévproblémává, függetlenül attól, hogy a váltságdíjat végül kifizetik-e.

Védelmi lépések, amelyeket a kisvállalkozások már most megtehetnek

A tanácsadás kiadása hasznos ösztönzés arra, hogy minden méretű szervezet felülvizsgálja a zsarolóvírus elleni védelmét, különösen mivel az olyan csoportok, mint a Gunra, úgy tűnik, nem korlátozzák célpontválasztásukat a nagyvállalatokra. Néhány alapvető lépés sokat segíthet:

  • Olyan offline vagy megváltoztathatatlan biztonsági mentések fenntartása, amelyeket a hálózati hozzáférést szerző támadó nem tud módosítani vagy törölni.
  • Hálózatok szegmentálása, hogy egy rendszer – például egy alkalmazotti munkaállomás – kompromittálódása ne terjedhessen át könnyedén az érzékeny ügyféladatokat tároló szerverekre.
  • Többtényezős hitelesítés kikényszerítése távoli hozzáférési eszközökön, e-mailen és rendszergazdai fiókokon, mivel az ellopott hitelesítő adatok továbbra is a zsarolóvírus-üzemeltetők egyik leggyakoribb belépési pontját jelentik.
  • Az internet felé néző rendszerek azonnali javítása, mivel a javítatlan szoftvereket rutinszerűen használják ki a kezdeti hozzáférés megszerzésére.
  • Incidenskezelési terv kidolgozása és tesztelése még a támadás előtt, ne utána.

A vírusirtó szoftvereknek továbbra is megvan a szerepük, de soha nem arra tervezték őket, hogy megállítsanak egy olyan támadót, aki már megvetette a lábát, és hosszabb időn keresztül adatokat szivárogtat ki. A rétegezett védelem fontosabb, mint bármely egyedi eszköz.

Miért fontosabb a mentések titkosítása és az adatminimalizálás, mint valaha

Az önmagukban vett mentések nem elegendőek, ha a cél a kettős zsarolás. A nyugalmi állapotú mentési adatok titkosítása, valamint annak korlátozása, hogy ki férhet hozzá és módosíthatja őket, csökkenti annak esélyét, hogy a támadók a felderítési fázis során beavatkozhassanak a helyreállítási lehetőségekbe. Ugyanilyen fontos az adatminimalizálás: azok a vállalkozások, amelyek csak a valóban szükséges ügyfélinformációkat gyűjtik és őrzik meg, csökkentik annak az adathalmaznak a méretét, amelyet egy Gunra-szerű támadó kiszivárogtathat, és később nyomásgyakorlásra használhat fel. A használaton kívüli adatbázisban heverő régi nyilvántartások kockázati tényezőt jelentenek, nem pedig értéket.

Mit jelent ez Önnek

Ha kisvállalkozást vezet, vagy annak informatikáját kezeli, a Gunra tanácsadás emlékeztet arra, hogy a zsarolóvírusokkal szembeni felkészültségnek ma már az ellopott adatokkal is számolnia kell, nem csupán a zárolt fájlokkal. A Gunra zsarolóvírus kettős zsarolási kampányai azért sikeresek, mert kihasználják mind a titkosítás okozta működési zavart, mind az adatszivárgás hírnévromboló következményeit. Ha csak az egyikre készülünk fel a másik nélkül, az olyan hézagot hagy maga után, amelyet a támadók egyre képzettebben találnak meg.

Megfogadható tanulságok

  • Vizsgálja felül a mentési stratégiáját, hogy biztosítsa, hogy a másolatok offline, megváltoztathatatlanok és titkosítottak legyenek.
  • Mérje fel, hogy milyen ügyféladatokat kell valóban megőriznie, és törölje, amire nincs szükség.
  • Győződjön meg róla, hogy a többtényezős hitelesítés minden távoli és rendszergazdai hozzáférési ponton engedélyezve van.
  • Készítsen incidenskezelési tervet, amely tartalmazza az ügyfelek értesítésére vonatkozó eljárásokat, mivel az ellopott adatokat közvetlenül ellenük is felhasználhatják.
  • Kövesse folyamatosan a CISA és az FBI tanácsadásait, mivel az új zsarolóvírus-csoportok továbbra is ugyanazt a kettős zsarolási mintát alkalmazzák.