A Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökség (CISA), az FBI és kormányzati partnereik további technikai részleteket tettek közzé arról, hogyan törnek be a Gunra zsarolóvírus szereplői az áldozatok hálózataiba. A legutóbbi közös tanácsadó szerint a Gunra leányvállalatai két ismert sérülékenységet használnak ki az internet felé néző eszközökben – olyan peremhálózati hardverekben, VPN-átjárókban, tűzfalakban és távoli hozzáférési eszközökben, amelyek szinte minden szervezet hálózatának határán helyezkednek el.

Ez egy nyomon követése a zsarolóvírus-szolgáltatásként működő műveletre vonatkozó korábbi figyelmeztetéseknek, amelyeket az ügynökségek korábban az egészségügyi szektor célbavétele és egy agresszív kettős zsarolási séma miatt jelöltek meg, amely az adatlopást fájltitkosítással kombinálja. Az új útmutatás magára a behatolás mechanikájára összpontosít, így a védelmi szakemberek világosabb képet kapnak arról, pontosan hová irányítsák a figyelmüket.

A Gunra szereplők által kihasznált sérülékenységek

A tanácsadó szerint a Gunra szereplői nem új, nulladik napi (zero-day) exploitokra támaszkodnak. Ehelyett két már ismert sérülékenységet használnak ki az internet felé néző eszközökben – azokban a szoftverekben és készülékekben, amelyeket a szervezetek azért tesznek ki a nyilvános internetre, hogy lehetővé tegyék a távmunkát, a telephelyek közötti kapcsolatot vagy a külső szolgáltatásokat. Ez a minta összhangban van azzal, ahogyan a legtöbb zsarolóvírus-szolgáltatásként működő leányvállalat működik: ahelyett, hogy drága exploit-fejlesztésbe fektetnének, az internetet pásztázzák a javítatlan rendszerek után, és olyan ajtókon mennek be, amelyeket már régen be kellett volna zárni. A védelmi szakemberek számára a tanulság egyértelmű. Az ismert sérülékenységek a nyilvánosságra hozataluk után még sokáig veszélyesek maradnak, mert a valódi szervezeteknél a javítási ciklusok gyakran lassabbak, mint ahogy a támadók a nyilvános exploitkódot fegyverré alakítják.

Hogyan szerzi meg a Gunra a hozzáférést, ha már bejutott

Miután a Gunra leányvállalatai kihasználják valamelyik belépési pontot, ezt a hozzáférést arra használják, hogy mélyebbre hatoljanak a hálózatba. Az internet felé néző eszközök, például a VPN-koncentrátorok és a tűzfalak éppen azért vonzó célpontok, mert kompromittálásuk gyakran olyan bizalmi szintet biztosít, amelyet a belső rendszerek legitimnek feltételeznek. Innentől a szereplők tartós hozzáférést építhetnek ki, hitelesítő adatokat gyűjthetnek, és elkezdhetik feltérképezni a hálózatot, felkészülve az adatlopásra és a titkosításra, amelyek a Gunra kettős zsarolási modelljét meghatározzák. Mivel a kezdeti kompromittálódás a hálózat szélén történik, azok a szervezetek, amelyek a peremhálózati eszközöket „beállítva és elfelejtve” infrastruktúraként kezelik, különösen kitettek. Ezeket az eszközöket gyakran egyszer telepítik, az üzemidőre optimalizálják a biztonság helyett, és évekig úgy futnak, hogy közben nem ellenőrzik a firmware- vagy javítási állapotukat.

Javítási és konfigurációs lépések a rések bezárásához

A tanácsadó alapvető ajánlása olyan, amely a zsarolóvírus-kampányok széles körére érvényes, nem csak a Gunra esetében: az internet felé néző eszközöket haladéktalanul javítsuk, és az ismert, aktívan kihasznált sérülékenységeket részesítsük előnyben a rutinfrissítésekkel szemben. Az informatikai és biztonsági csapatoknak naprakész leltárt kell vezetniük minden olyan eszközről, amely ki van téve az internetnek, beleértve a VPN-átjárókat, tűzfalakat és távoli hozzáférési eszközöket, és meg kell győződniük arról, hogy mindegyik támogatott, frissített verziót futtat. Ha a javítás nem hajtható végre azonnal, a szervezeteknek fontolóra kell venniük az érintett szolgáltatás leállítását vagy a hozzáférés korlátozását a javítás alkalmazásáig. A többtényezős hitelesítés minden távoli hozzáférési ponton, kombinálva a szokatlan bejelentkezési tevékenységek naplózásával és riasztásával, további ellenállási réteget ad még akkor is, ha egy eszköz javítatlan hibával rendelkezik.

Miért korlátozzák a VPN-hozzáférés-szabályozás és a hálózati szegmentáció a zsarolóvírus terjedését?

Még fegyelmezett javítással sem garantálhatja egyetlen szervezet sem, hogy mindig nulla kitettséggel rendelkezik. Ezért a hozzáférés-szabályozás és a szegmentáció ugyanolyan fontos, mint a kezdeti javítás. A VPN-hozzáférést szorosan kell szabályozni: a felhasználók csak azokat a hálózati szegmenseket érhessék el, amelyekre ténylegesen szükségük van, ne pedig széles körű hozzáférést az egész környezethez. A hálózatok szegmentálása, hogy egy kompromittált peremhálózati eszköz ne érhesse el közvetlenül az érzékeny rendszereket, a biztonsági mentési szervereket vagy a tartományvezérlőket, az lehet a különbség egy izolált incidens és egy teljes körű zsarolóvírus-támadás között. Ezek az ellenőrzések nem akadályozzák meg az összes behatolást, de lelassítják a támadókat, és időt adnak a védőknek az észlelésre és a reagálásra, mielőtt a titkosítás és az adatkiszivárgás bekövetkezne.

Mit jelent ez Önnek?

Az informatikai rendszergazdák és biztonsági csapatok számára ez a tanácsadó emlékeztető arra, hogy a Gunra-hoz hasonló zsarolóvírus-csoportok továbbra is az alapok kihasználásával érnek el sikert: javítatlan rendszerek és túlzottan engedékeny hálózati hozzáférés, nem pedig kifinomult, új támadások révén. A hatékony Gunra zsarolóvírus-védelem azzal kezdődik, hogy őszintén felmérjük, mely eszközöket teszi ki a szervezet az internetre. Ha az egészségügyben vagy más, a korábbi Gunra tanácsadókban megnevezett ágazatban működik, a sürgősség még nagyobb, mivel a csoport már bizonyította, hogy kifejezetten hajlandó ezeket a környezeteket célba venni.

Gyakorlati teendők

A szervezeteknek leltárt kell készíteniük minden internet felé néző eszközről, beleértve a VPN-átjárókat és tűzfalakat, és ellenőrizniük kell a javítási állapotot az ismert sérülékenységek tekintetében. Korlátozniuk kell a távoli hozzáférést többtényezős hitelesítéssel és a legkisebb jogosultságú VPN-engedélyekkel. Szegmentálniuk kell a hálózatokat, hogy egyetlen kompromittált eszköz se tehesse ki a biztonsági mentéseket vagy a kritikus rendszereket. Tekintsék át a korábbi CISA, FBI és NSA tanácsadókat a Gunra egészségügyi célbavételéről és kettős zsarolási taktikáiról a teljes technikai indikátorokért és az ágazatspecifikus útmutatásért, amelyek a teljes védelmi terv kidolgozásához szükségesek.