Badan Keamanan Siber dan Infrastruktur (CISA), FBI, dan para mitra pemerintah mereka telah merilis perincian teknis tambahan tentang bagaimana aktor ransomware Gunra membobol jaringan korban. Menurut advisory bersama terbaru, afiliasi Gunra mendapatkan pijakan awal melalui dua kerentanan yang sudah diketahui pada perangkat yang terpapar internet, seperti perangkat edge, gateway VPN, firewall, dan perangkat akses jarak jauh yang berada di perimeter jaringan hampir setiap organisasi.
Ini merupakan tindak lanjut dari peringatan sebelumnya tentang operasi ransomware-as-a-service, yang sebelumnya ditandai oleh lembaga-lembaga karena menargetkan sektor layanan kesehatan dan menjalankan skema pemerasan ganda yang agresif, yang menggabungkan pencurian data dengan enkripsi berkas. Panduan baru ini berfokus pada mekanisme intrusi itu sendiri, memberikan gambaran yang lebih jelas kepada tim pertahanan mengenai ke mana harus memusatkan perhatian.
Kerentanan yang Dieksploitasi Aktor Gunra
Menurut advisory tersebut, aktor Gunra tidak mengandalkan eksploitasi zero-day yang baru. Sebaliknya, mereka mengeksploitasi dua kerentanan yang sudah diketahui pada perangkat yang terpapar internet, yaitu perangkat lunak dan peralatan yang diekspos organisasi ke internet publik untuk memungkinkan kerja jarak jauh, konektivitas antar-lokasi, atau layanan eksternal. Pola ini konsisten dengan cara sebagian besar afiliasi ransomware-as-a-service beroperasi: alih-alih berinvestasi dalam pengembangan exploit yang mahal, mereka memindai internet untuk mencari sistem yang tidak ditambal dan masuk melalui pintu-pintu yang seharusnya sudah ditutup. Pelajaran bagi tim pertahanan sangat jelas. Kerentanan yang sudah diketahui tetap berbahaya lama setelah diungkapkan, karena siklus penambalan di dalam organisasi nyata sering kali lebih lambat daripada kecepatan aktor mempersenjatai kode exploit publik.
Cara Gunra Mendapatkan Pijakan Setelah Berada di Dalam
Setelah afiliasi Gunra mengeksploitasi salah satu titik masuk tersebut, mereka menggunakan akses itu untuk bergerak lebih jauh ke dalam jaringan. Perangkat yang terpapar internet seperti konsentrator VPN dan firewall merupakan target yang menarik justru karena menyusupi perangkat semacam itu sering kali memberikan tingkat kepercayaan yang dianggap sah oleh sistem internal. Dari sana, aktor dapat membangun persistensi, mengumpulkan kredensial, dan mulai memetakan jaringan sebagai persiapan untuk tahap pencurian data dan enkripsi yang menjadi ciri model pemerasan ganda Gunra. Karena kompromi awal terjadi di tepi jaringan, organisasi yang memperlakukan perangkat perimeter sebagai infrastruktur "pasang dan lupakan" sangat rentan. Perangkat-perangkat ini sering kali dipasang sekali, dikonfigurasi untuk ketersediaan alih-alih keamanan, dan dibiarkan berjalan bertahun-tahun tanpa peninjauan firmware atau patch.
Langkah Patch dan Konfigurasi untuk Menutup Celah
Rekomendasi inti advisory ini berlaku luas di berbagai kampanye ransomware, bukan hanya Gunra: segera tambal perangkat yang terpapar internet dan prioritaskan kerentanan yang diketahui serta dieksploitasi secara aktif di atas pembaruan rutin. Tim TI dan keamanan harus memelihara inventaris terkini untuk setiap perangkat yang terpapar ke internet, termasuk gateway VPN, firewall, dan alat akses jarak jauh, serta memastikan setiap perangkat menjalankan versi yang didukung dan diperbarui. Jika penambalan tidak dapat segera dilakukan, organisasi sebaiknya mempertimbangkan untuk menonaktifkan layanan yang terdampak atau membatasi akses hingga perbaikan diterapkan. Autentikasi multi-faktor pada semua titik akses jarak jauh, dikombinasikan dengan pencatatan dan pemberian peringatan atas aktivitas login yang tidak biasa, menambah lapisan perlindungan lain bahkan jika perangkat memiliki celah yang belum ditambal.
Mengapa Kontrol Akses VPN dan Segmentasi Jaringan Membatasi Penyebaran Ransomware
Bahkan dengan penambalan yang disiplin, tidak ada organisasi yang dapat menjamin nol paparan setiap saat. Karena itulah kontrol akses dan segmentasi sama pentingnya dengan perbaikan awal. Akses VPN harus dibatasi secara ketat, dengan pengguna hanya diberikan segmen jaringan yang benar-benar mereka butuhkan, bukan akses luas ke seluruh lingkungan. Mensegmentasi jaringan agar perangkat edge yang tersusupi tidak dapat langsung mencapai sistem sensitif, server cadangan, atau pengendali domain dapat menjadi pembeda antara insiden yang dapat ditangani dan peristiwa ransomware skala penuh. Kontrol ini tidak mencegah setiap intrusi, tetapi memperlambat penyerang dan memberi waktu kepada tim pertahanan untuk mendeteksi serta merespons sebelum enkripsi dan eksfiltrasi data terjadi.
Apa Artinya bagi Anda
Bagi administrator TI dan tim keamanan, advisory ini adalah pengingat bahwa kelompok ransomware seperti Gunra terus berhasil dengan mengeksploitasi hal-hal mendasar: sistem yang tidak ditambal dan akses jaringan yang terlalu permisif, bukan serangan canggih yang baru. Perlindungan ransomware Gunra yang efektif dimulai dengan audit jujur terhadap setiap perangkat yang diekspos organisasi Anda ke internet. Jika Anda beroperasi di layanan kesehatan atau sektor lain yang sebelumnya disebut dalam advisory Gunra, urgensinya bahkan lebih tinggi, karena kelompok ini telah menunjukkan kesediaan untuk menargetkan lingkungan-lingkungan tersebut secara spesifik.
Langkah yang Dapat Diambil
Organisasi harus menginventarisasi semua perangkat yang terpapar internet, termasuk gateway VPN dan firewall, serta memastikan status patch terhadap kerentanan yang diketahui. Batasi akses jarak jauh dengan autentikasi multi-faktor dan izin VPN dengan hak paling rendah. Segmentasikan jaringan sehingga satu perangkat yang tersusupi tidak dapat mengekspos cadangan atau sistem penting. Tinjau advisory CISA, FBI, dan NSA sebelumnya tentang penargetan layanan kesehatan dan taktik pemerasan ganda Gunra untuk mendapatkan indikator teknis lengkap serta panduan spesifik sektor yang diperlukan untuk membangun rencana pertahanan yang menyeluruh.
