Az FBI és a Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökség (CISA) közös figyelmeztetése megerősítette, hogy a Gunra zsarolóvírus-csoport legalább 51 kórházat, kormányzati szervet és pénzügyi intézményt tört fel, elsősorban javítatlan Fortinet tűzfalak kihasználásával. A figyelmeztetés emellett feltárta a Gunra Linux-alapú kártevőjének egy jelentős gyengeségét: egy hibás véletlenszám-generátort, amely lehetővé teszi az áldozatok számára, hogy váltságdíj fizetése nélkül állítsák helyre a titkosított fájlokat.

Az eredmények a Gunra eddigi egyik legrészletesebb nyilvános elemzését jelentik, amely az infrastruktúra-célpontok mintázatait egy technikai védelmi útmutatóval ötvözi. Azon szervezetek számára, amelyek továbbra is kitett vagy elavult hálózati eszközöket üzemeltetnek, a figyelmeztetés egyértelmű jelzés, hogy az ismert sebezhetőség és a teljes körű zsarolóvírus-incidens közötti távolság tovább zsugorodik.

Hogyan tört be a Gunra zsarolóvírus 51 kórházba és kormányzati hálózatba

A figyelmeztetés szerint a Gunra áldozatainak listáján egészségügyi szolgáltatók, kormányzati hivatalok és pénzügyi intézmények szerepelnek – olyan ágazatok, amelyek érzékeny adatokat kezelnek, és gyakran nem engedhetik meg maguknak a hosszabb leállást. Ez a kombináció vonzó célponttá teszi őket a zsarolóvírus-üzemeltetők számára, akik arra törekednek, hogy az áldozatokat gyors fizetésre kényszerítsék.

A csoport annyira aktív volt, hogy a nemzetközi bűnüldöző szervek folyamatos figyelmét kivívta. Az év elején a dél-koreai és az amerikai hatóságok közös vizsgálatot jelentettek be a banda tevékenységével kapcsolatban, amely a pénzügyi, egészségügyi és gyártási szektorokra is kiterjedt. A legfrissebb, 51 áldozatot számláló adat azt sugallja, hogy a fokozott figyelem ellenére a Gunra továbbra is működik, és új belépési pontokat talál vállalati és intézményi hálózatokba.

A kihasznált javítatlan Fortinet tűzfal sebezhetőség

A figyelmeztetés a javítatlan Fortinet tűzfalakat jelöli meg a Gunra behatolásainak elsődleges belépési pontjaként. A tűzfalak a hálózat peremén helyezkednek el, így nagy értékű célpontot jelentenek: ha egyszer feltörik őket, a támadók gyakran viszonylag kis ellenállással képesek oldalirányban továbbmozogni a belső rendszerekbe, hozzáférni a hitelesítő adatokhoz, és előkészíteni a zsarolóvírus-payloadokat.

Ez a minta általánosságban is ismerős a zsarolóvírus-kampányokban. A támadók gyakran előnyben részesítik a peremhálózati eszközök ismert, javítatlan sebezhetőségeit a munkaigényesebb social engineeringgel szemben, egyszerűen azért, mert a nyitott, elavult tűzfalak internetes szkennelése gyorsabb és olcsóbb, mint adathalász csalik készítése. A CISA és az FBI közös figyelmeztetése a Gunra kettős zsarolási taktikájáról bemutatja, hogyan párosítja a csoport ezt a hozzáférési módszert az adatlopással, és a fájlok titkosítása mellett az ellopott adatok kiszivárogtatásával is fenyeget – ez a mára szokványossá vált kettős zsarolási módszer növeli az áldozatokra nehezedő fizetési nyomást.

Miért engedi a Gunra Linux titkosítási hibája az áldozatoknak a váltságdíj kihagyását?

A figyelmeztetés leginkább hasznosítható részlete a Gunra Linux-variánsához kapcsolódik. A kutatók megállapították, hogy a kártevő egy gyenge véletlenszám-generátorra támaszkodik az áldozati fájlok zárolásához használt titkosítási kulcsok létrehozásához. Mivel ez a generátor kiszámítható, és a fertőzött rendszeren maradt adatokból rekonstruálható, a biztonsági kutatók képesek voltak annyira visszafejteni a titkosítási folyamatot, hogy a fájlokat a támadók fizetése nélkül vissza lehessen állítani.

Ez jelentős eredmény minden olyan Linux-szervereket üzemeltető szervezet számára, amelyet a Gunra megtámadott. A zsarolóvírusok visszafejtése ritkán egyszerű, és a legtöbb törzs olyan titkosítási megvalósításokat használ, amelyek – legalábbis elméletben – a támadó privát kulcsa nélkül számításilag feltörhetetlenek. Egy gyenge vagy újrafelhasznált véletlenszám-generátor valós implementációs hiba, nem csupán elméleti gyengeség, és ez valódi alternatívát kínál a védőknek a bűnözőkkel való tárgyalás helyett.

Mindazonáltal ennek a hibának a kihasználása általában technikai szakértelmet, az érintett rendszerhez való törvényszéki hozzáférést és a támadásból származó maradványok gondos kezelését igényli. Azoknak a szervezeteknek, amelyek Gunra-fertőzésre gyanakszanak, az érintett rendszereket a jelenlegi állapotukban kell megőrizniük, ahelyett hogy önállóan próbálkoznának a helyreállítással, mivel a szakszerűtlen kezelés megsemmisítheti azokat a maradványokat, amelyek a titkosítási kulcsok rekonstruálásához szükségesek.

Javítás fizetés helyett: biztonsági tanulságok intézmények és magánszemélyek számára

A figyelmeztetés visszatérő témája, hogy mind a kezdeti behatolás, mind a végül megtalált kerülőút elkerülhető technikai hiányosságokból fakad. A kezdeti hozzáféréshez kihasznált Fortinet tűzfalak javítatlanok voltak, ami azt jelenti, hogy ismert javítás létezett, de nem alkalmazták időben. A Linux zsarolóvírus-variáns pedig csak azért bukott meg, mert a saját titkosítási folyamatában egy kódolási rövidítést alkalmaztak. Egyik esethez sem volt szükség kifinomult nulladik napi (zero-day) támadásra.

Különösen a kórházak, kormányzati szervek és pénzügyi intézmények számára ez megerősíti azt a tanulságot, amelyet a biztonsági szakemberek évek óta hangsúlyoznak: a peremhálózati eszközök, például a tűzfalak és VPN-berendezések javításkezelése nem választható opció. Ezek a rendszerek gyakran az első érintkezési pontot jelentik a zsarolóvírus-üzemeltetők számára, akik az internetet pásztázzák könnyű célpontok után.

Mit jelent ez Önnek?

Ha Ön IT-infrastruktúrát kezel, különösen az egészségügyben, a kormányzati vagy a pénzügyi szolgáltatások területén, a Gunra-figyelmeztetés közvetlen felhívás arra, hogy vizsgálja felül Fortinet-eszközeit, és győződjön meg róla, hogy azok naprakész firmware-rel és minden biztonsági javítással rendelkeznek. Ha már elszenvedett egy Gunra-támadást, és Linux-rendszereket futtat, ne siessen a fizetéssel. Konzultáljon incidenskezelési szakemberekkel az ismert titkosítási gyengeségről, mielőtt váltságdíj fizetését fontolgatná.

A hétköznapi felhasználók és a kisebb szervezetek számára a tágabb tanulság hasonló: a zsarolóvírus-csoportok egyre inkább nem egzotikus technikákkal, hanem az alapok elhanyagolásával érnek el sikereket. A hálózati hardverek frissítése, a szokatlan hozzáférési minták figyelése és az offline biztonsági mentések fenntartása továbbra is a legmegbízhatóbb védekezést jelentik ahhoz, hogy ne kerüljünk be egy ilyen figyelmeztetés következő áldozati listájára.

Végső gondolatok

A Gunra zsarolóvírus Linux-visszafejtési hibája ritka jó hír egy egyébként lehangoló, 51 feltört kórházat, ügynökséget és pénzügyi intézményt felsoroló figyelmeztetésben. Nem teszi jóvá a már bekövetkezett károkat, de kiutat kínál azoknak az áldozatoknak, akik egyébként úgy érezhetik, hogy fizetniük kell. A csoport elleni folyamatos bűnüldözési nyomással párosulva az eset aláhúz egy egyszerű igazságot: az ismert sebezhetőségek javítása, mielőtt a támadók megtalálják őket, mindig olcsóbb, gyorsabb és biztonságosabb, mint utólag tárgyalni.