Az FBI, a CISA, az NSA, a Védelmi Minisztérium Kiberbűnözési Központja és dél-koreai kiberbiztonsági ügynökségek közös közleménye megerősítette, hogy a Gunra zsarolóvírus üzemeltetői megkerülték az egyik legmegbízhatóbb vállalati biztonsági eszközt: a többtényezős hitelesítést. Ahelyett, hogy egyszeri kódot loptak volna vagy bejelentkezési munkamenetet adathalásztak volna, a Gunra partnerhálózata közvetlenül átírta a hitelesítési fájlokat az áldozat szerverein, ezzel belülről hatástalanítva az MFA-védelmet, mielőtt titkosítást telepítettek volna és adatokat loptak volna.

A hónap elején kiadott közlemény az egyik legvilágosabb nyilvános megerősítése annak, hogy a zsarolóvírus-szolgáltatásként (RaaS) működő csoportok már nem úgy tekintenek az MFA-ra, mint egy akadályra, amit trükközéssel kell megkerülniük. Infrastruktúraként kezelik, amelyet egyszerűen átkonfigurálhatnak, ha már bejutottak a rendszerbe.

Hogyan kerülte meg a Gunra a szerver-szintű MFA-t

A közlemény szerint a Gunra partnerei ismert sérülékenységeket használtak ki Fortinet tűzfalakban és VPN-berendezésekben, valamint Schneider Electric rendszerek hibáit, hogy kezdeti hozzáférést szerezzenek kormányzati, kritikus infrastruktúrához tartozó és vállalati hálózatokhoz. Miután bejutottak, ahelyett, hogy a bejelentkezési felületnél próbálták volna megkerülni az MFA-t, a támadók a szerveren tárolt hitelesítési konfigurációs fájlokat vették célba.

A fájlok forrásnál történő módosításával a Gunra üzemeltetői képesek voltak letiltani vagy megkerülni azokat az MFA-ellenőrzéseket, amelyek normál esetben megakadályoznák az illetéktelen bejelentkezéseket – mindezt anélkül, hogy szükségük lett volna az áldozat második hitelesítési tényezőjére. Ez lényeges különbség a tipikus MFA-megkerülési technikákhoz, például a SIM-cseréhez vagy a push-értesítéses fárasztásos támadásokhoz képest, amelyek a felhasználót célozzák. A Gunra megközelítése azt az infrastruktúrát támadja, amely magát a szabályzatot érvényesíti, ami azt jelenti, hogy a hiba architekturális, nem pedig viselkedési jellegű. Az ismert sérülékenységek javítása az olyan peremeszközökön, mint a tűzfalak és VPN-berendezések – amelyek belépési pontokra a közlemény szerint a Gunra támaszkodik – továbbra is a legközvetlenebb módja annak, hogy a szervezetek becsukják ezt az ajtót, mielőtt az kinyílna.

A Gunra zsarolóvírus-szolgáltatásként működik, ami azt jelenti, hogy az alap malware-t egy csoport fejleszti és tartja karban, míg a partnerek egyéni támadásokat hajtanak végre, gyakran korábbi zsarolóvírus-családokból kiszivárgott kódot újrahasznosítva. Ez a struktúra segítette a művelet gyors terjedését ágazatok és földrajzi régiók között, mivel a közlemény megjegyzi, hogy már több országban is célba vett kormányzati, egészségügyi és kritikus infrastruktúrához tartozó célpontokat.

A Linux-változat ezüst bélése

A közlemény a Gunra Linux-alapú titkosítójának egy figyelemre méltó gyengeségére is rámutat. A kutatók azt találták, hogy a titkosítási folyamat fájl-időbélyeg-nyomokat hagy hátra, amelyek bizonyos esetekben felhasználhatók a visszafejtési kulcsok rekonstruálására anélkül, hogy bármit fizetnének a támadóknak. Azoknak a szervezeteknek, amelyek Linux szervereket futtatnak, és ezt a specifikus változatot kapták el, ez lehetőséget nyit a titkosított adatok helyreállítására kriminalisztikai elemzéssel, ahelyett, hogy bűnözői csoporttal tárgyalnának.

Ez a fajta implementációs hiba nem ritka azokban a zsarolóvírus-családokban, amelyek kiszivárgott kódot használnak újra vagy adaptálnak, és ez nem jelenti azt, hogy minden Gunra-áldozat ingyen helyreállíthatja adatait. A Windows oldali titkosító nem tűnik úgy, hogy ugyanaz a gyengeség jellemezné, és a szervezeteknek minden helyreállítási kísérletet tapasztalt incidenskezelőkre kell bízniuk, nem pedig barkács-megoldásként kezelniük. Ennek ellenére ritka jó hír a zsarolóvírusok világában, ahol az áldozatoknak általában választaniuk kell a fizetés és a biztonsági mentésekből történő újraépítés között.

Ez a választás azért számít, mert az egyre több bizonyíték azt mutatja, hogy a fizetés nem oldja meg megbízhatóan a problémát. Egy Proofpoint-felmérés megállapította, hogy a zsarolóvírus-bandáknak fizetés gyakran visszafelé sül el, sok szervezet arról számolt be, hogy még fizetés után is elveszített adatokat, ismételt támadásokkal szembesült, vagy soha nem kapott használható visszafejtő eszközöket. A Gunra-közlemény megerősíti ezt a mintát: a legbiztonságosabb tét a megelőzés és a helyreállíthatóság, nem pedig a tárgyalás.

Mit jelent ez az Ön számára

A közlemény legtöbb olvasója nem lesz közvetlen célpontja a Gunrának, de a mögöttes tanulság széles körben alkalmazható. Az MFA kritikus védelmi réteg, de nem tévedhetetlen, különösen akkor, ha a támadók elérik az azt érvényesítő szerveroldali konfigurációt. Ha vállalkozás, kórház, iskola vagy helyi önkormányzati ügynökség informatikai rendszereit kezeli, ez a közlemény jelzés arra, hogy ellenőrizze, hogy tűzfal- és VPN-berendezéseinek firmware-e naprakész-e, mivel a Gunra kezdeti hozzáférése nagymértékben ismert, javítható sérülékenységekre támaszkodik.

A hétköznapi felhasználók számára a tanulság kevésbé szól erről a konkrét zsarolóvírus-családról, és inkább arról, hogyan kezelik saját adataikat. A fontos fájlok rendszeres, offline biztonsági mentése továbbra is az egyik kevés védekezési mód, amely függetlenül attól működik, hogy a támadó hogyan jut be. Az érzékeny fájlok másolatainak megőrzési ideje és helye szintén befolyásolja kitettségét, ha egy Ön által használt szolgáltatást valaha is feltörnek; az Ön saját adatmegőrzési szokásainak és az Ön által használt platformok adatmegőrzési gyakorlatának megértése gyakorlati lépés annak korlátozására, hogy egyetlen adatszivárgás mit fedhet fel.

Főbb tanulságok

A kitett Fortinet vagy Schneider Electric berendezéseket futtató szervezeteknek elsőbbséget kell adniuk a javítások azonnali telepítésének, mivel ez a dokumentált belépési pont a Gunra-betöréseknél. Az informatikai csapatoknak ellenőrizniük kell a szerveroldali hitelesítési konfigurációkat illetéktelen módosításokra, ahelyett hogy feltételeznék, hogy az MFA működik, pusztán azért, mert engedélyezve van. A Gunra által érintett Linux-rendszergazdáknak incidenskezelő szakemberekkel kell konzultálniuk, mielőtt feltételeznék, hogy a fájlok véglegesen elvesztek, tekintettel a közleményben leírt időbélyeg-alapú helyreállítási hibára. És mindenki más számára ez a közlemény újabb emlékeztető, hogy a Gunra zsarolóvírus és a hozzá hasonló csoportok leggyakrabban az elavult infrastruktúra ellen érnek el sikereket, ami miatt a javításkezelés és a biztonsági mentési fegyelem értékesebb, mint bármely egyetlen biztonsági eszköz.