Mi változott: a Gunra átállása RaaS modellre
Az FBI friss figyelmeztetést adott ki a Gunra zsarolóvírusról, amely gyorsan átalakult egyetlen csoport működéséből teljes, szolgáltatásként nyújtott zsarolóvírus-üzletté (RaaS). Gyakorlati értelemben ez azt jelenti, hogy a Gunra mögött álló eredeti fejlesztők már nem az egyedüliek, akik támadásokat indítanak. Mostantól licencelik vagy bérbe adják a kártevőjüket és infrastruktúrájukat partnereknek, bűnözői együttműködőknek, akik a tényleges behatolásokat végrehajtják, és megosztják a nyereséget a központi csoporttal.
Ez a váltás azért fontos, mert a RaaS-modellek hajlamosak felgyorsítani a támadások mértékét és elérését. Ahelyett, hogy egyetlen csapat lassan venné célba az áldozatokat, több tucat független partner mostantól egyszerre vetheti be ugyanazt a zsarolóvírust különböző iparágakban és régiókban, mindegyikük a saját hálózatba hatolási technikáival. Az FBI közleménye megerősíti, hogy a Gunra továbbra is kettős zsarolási megközelítést alkalmaz: titkosítja az áldozat adatait, miközben másolatokat is lop belőlük, majd azzal fenyeget, hogy a lopott fájlokat egy erre szolgáló szivárogtató oldalon közzéteszi, ha nem fizetnek váltságdíjat.
Háttérként arról, hogyan építette fel hírnevét a Gunra e bővülés előtt, korábbi tudósításunk a Gunra kettős zsarolásos támadásairól bemutatta, hogy a csoport először azzal vonta magára a kutatók figyelmét, hogy gyorsan terjedt több ágazaton keresztül.
Miért teszi tönkre a kettős zsarolás a „csak állítsd vissza biztonsági mentésből” védelmet
Évekig a zsarolóvírus-támadás túlélésére vonatkozó szokásos tanács egyszerű volt: legyenek jó biztonsági mentéseid, és ha támadás ér, töröld a fertőzött rendszereket, majd állítsd vissza tiszta másolatból. Ez a tanács még mindig fontos, de már nem oldja meg az egész problémát. A Gunra zsarolóvírus kettős zsarolása kifejezetten ennek a kivédésére készült.
Íme, miért. Még ha az áldozat szervezet teljesen vissza is tudja állítani rendszereit biztonsági mentésből, és soha nem fizet a saját fájljai feloldásáért, a támadók már a titkosítás előtt kiszivárogtatták az érzékeny adatok másolatát. A biztonsági mentések az adatvesztés ellen védenek, de semmit sem tesznek az ellen, hogy a lopott fájlokat kiszivárogtassák vagy eladják. A Gunra szivárogtató oldala pontosan azért létezik, hogy ezt a második nyomásgyakorlási réteget alkalmazza: fizess, különben ügyféladataid, pénzügyi dokumentumaid vagy belső levelezésed nyilvánosságra kerül.
Ez az alapvető oka annak, hogy a biztonsági csapatok ma már adatlopásként és adatkiszivárgásként beszélnek a zsarolóvírusokról, nem csupán rendszerleállásról. A működés gyors helyreállítása továbbra is értékes, de nem szünteti meg a támadók befolyását, ha már birtokukban van az adataid másolata.
Ki van veszélyben, ahogy a Gunra partnerei terjeszkednek
Mivel a Gunra mostantól RaaS-struktúrában működik, a potenciális áldozatok köre valószínűleg szélesedik. A RaaS-partnerek jellemzően opportunisták; nem mindig egy adott iparágat céloznak, hanem azokat a szervezeteket veszik célba, amelyek kihasználható gyengeségeket mutatnak, például kitett távoli hozzáférési pontokat, javítatlan szoftvereket vagy gyenge hitelesítési higiéniát. Ez azt jelenti, hogy különböző méretű és ágazatú szervezetek, nem csak nagyvállalatok, kerülhetnek célkeresztbe pusztán azért, mert könnyebb bejutási utat kínálnak.
Az FBI figyelmeztetése annak a jele, hogy a védelemért felelősöknek a kormányzati, egészségügyi, pénzügyi és más ágazatokban a Gunra-t aktív, fejlődő fenyegetésként kell kezelniük, nem pedig szűk körű problémaként. Ahogy egyre több partner veszi át a csoport eszközeit, a Gunra-nak tulajdonított támadások mennyisége és változatossága valószínűleg növekedni fog.
Többrétegű védelmi stratégia kialakítása
Egyetlen eszköz sem állítja meg önmagában a zsarolóvírust, és ez a VPN-re is igaz. A VPN segíthet megvédeni az átvitel közbeni adatokat, és csökkentheti a belső hálózati erőforrások nyílt internetes kitettségét, de nem akadályozza meg a támadót abban, hogy fájlokat lopjon, ha már egyszer bejutott egy feltört rendszerbe. A valódi megoldás a többrétegű védelem.
Néhány gyakorlati réteg, amelyet érdemes előtérbe helyezni:
- Megbízható, offline biztonsági mentések: Tartsa a mentéseket a fő hálózattól elkülönítve, hogy a zsarolóvírus ne érje el és ne titkosítsa azokat sem.
- Adatminimalizálás: Csak a ténylegesen szükséges érzékeny adatokat tárolja, a többit törölje vagy archiválja. A támadók nem szivárogtathatják ki azt, amivel nem rendelkezel.
- Hálózati szegmentálás és hozzáférés-vezérlés: Korlátozza az oldalirányú mozgást, hogy egyetlen feltört fiók ne érhesse el a teljes hálózatot.
- Hálózati szintű adatvédelmi eszközök: A VPN-ek és a biztonságos távoli hozzáférési megoldások csökkentik az internet felé kitett támadási felületet, így a partnerek nehezebben találnak könnyű belépési pontot.
- Javításkezelés: Sok RaaS-partner ismert, javítatlan sérülékenységeket használ ki új technikák helyett, így a frissítések naprakészen tartása bezár egy könnyű ajtót.
Mit jelent ez Önnek?
Akár egy kisvállalkozás informatikai rendszerét üzemelteti, akár egyszerűen a saját eszközeit kezeli, a Gunra zsarolóvírus kettős zsarolási modellje emlékeztet arra, hogy az adatvédelem többről szól, mint a helyreállítás. Arról szól, hogy korlátozza, mit lophatnak el a támadók eleve, és csökkentse, mennyire vannak kitéve rendszerei az opportunista pásztázásnak és kihasználásnak – pontosan annak a tevékenységnek, amelyet egy növekvő partnerhálózat általában termel.
Főbb tanulságok
- A Gunra zsarolóvírus RaaS-modellre váltott, ami azt jelenti, hogy több partner indíthat támadásokat az eszközeivel.
- A kettős zsarolás azt jelenti, hogy a visszafejtésért fizetett váltságdíj nem akadályozza meg a lopott adatok kiszivárgását.
- A biztonsági mentések továbbra is elengedhetetlenek, de adatminimalizálással és hozzáférés-vezérléssel kell párosítani őket.
- A hálózati adatvédelmi eszközök, például a VPN-ek, a védelem egyik rétegét jelentik, nem teljes megoldást.
- A javítások naprakészen tartása és az internet felé kitett szolgáltatások korlátozása csökkenti annak esélyét, hogy a terjeszkedő partnerek könnyű célpontnak tekintsék a szervezetet.
