Sebuah imbauan bersama dari FBI, CISA, NSA, Pusat Kejahatan Siber Departemen Pertahanan, dan badan-badan keamanan siber Korea Selatan telah mengonfirmasi bahwa operator ransomware Gunra menemukan cara untuk melewati salah satu alat keamanan perusahaan yang paling dipercaya: autentikasi multifaktor. Alih-alih mencuri kode sekali pakai atau mem-phishing sesi login, afiliasi Gunra menulis ulang file autentikasi langsung di server korban, yang secara efektif menonaktifkan perlindungan MFA dari dalam sebelum menyebarkan enkripsi dan mencuri data.

Imbauan yang diterbitkan bulan ini merupakan salah satu konfirmasi publik yang lebih jelas bahwa kelompok ransomware-as-a-service tidak lagi memperlakukan MFA sebagai hambatan yang perlu mereka tipu. Mereka memperlakukannya sebagai infrastruktur yang dapat mereka konfigurasi ulang begitu mereka mendapatkan pijakan.

Bagaimana Gunra Mengakali MFA di Tingkat Server

Menurut imbauan tersebut, afiliasi Gunra telah mengeksploitasi kerentanan yang diketahui pada perangkat firewall dan VPN Fortinet, serta kelemahan pada sistem Schneider Electric, untuk mendapatkan akses awal ke jaringan pemerintah, infrastruktur penting, dan perusahaan. Setelah berada di dalam, alih-alih mencoba mengalahkan MFA pada saat login, penyerang menargetkan file konfigurasi autentikasi yang tersimpan di server itu sendiri.

Dengan memodifikasi file-file tersebut pada sumbernya, operator Gunra dapat menonaktifkan atau melewati pemeriksaan MFA yang biasanya menghentikan login tidak sah, tanpa pernah memerlukan faktor kedua korban. Ini adalah perbedaan yang berarti dari teknik-teknik pemintas MFA umum seperti SIM swapping atau serangan kelelahan notifikasi push, yang menargetkan pengguna. Pendekatan Gunra menargetkan infrastruktur yang menerapkan kebijakan tersebut sejak awal, yang berarti kelemahannya bersifat arsitektural, bukan perilaku. Menambal kerentanan yang diketahui pada perangkat edge seperti firewall dan perangkat VPN, titik masuk yang menurut imbauan tersebut diandalkan Gunra, tetap menjadi cara paling langsung bagi organisasi untuk menutup pintu ini sebelum terbuka.

Gunra beroperasi sebagai ransomware-as-a-service, artinya malware inti dibangun dan dipelihara oleh satu kelompok sementara para afiliasinya melancarkan serangan individual, sering kali menggunakan kembali kode yang bocor dari keluarga ransomware sebelumnya. Struktur tersebut membantu operasi ini meluas dengan cepat lintas sektor dan wilayah, karena imbauan tersebut mencatat bahwa mereka telah menyerang target pemerintah, layanan kesehatan, dan infrastruktur penting di beberapa negara.

Sisi Positif pada Varian Linux

Imbauan tersebut juga menunjukkan kelemahan penting pada enkriptor berbasis Linux milik Gunra. Para peneliti menemukan bahwa proses enkripsi meninggalkan artefak timestamp file yang dalam beberapa kasus dapat digunakan untuk merekonstruksi kunci dekripsi tanpa membayar apa pun kepada penyerang. Bagi organisasi yang menjalankan server Linux yang terdampak varian khusus ini, hal itu membuka jalan untuk memulihkan data terenkripsi melalui analisis forensik, bukan negosiasi dengan kelompok kriminal.

Kekurangan implementasi semacam ini tidak jarang terjadi pada keluarga ransomware yang menggunakan kembali atau mengadaptasi kode yang bocor, dan itu tidak berarti setiap korban Gunra dapat memulihkan data secara gratis. Enkriptor di sisi Windows tampaknya tidak memiliki kelemahan yang sama, dan organisasi harus memperlakukan setiap upaya pemulihan sebagai tugas bagi penanggap insiden berpengalaman, bukan perbaikan yang dilakukan sendiri. Meski demikian, ini adalah kabar baik yang langka di tengah lanskap ransomware di mana korban biasanya harus memilih antara membayar atau membangun ulang dari cadangan.

Pilihan itu penting karena bukti semakin menunjukkan bahwa membayar tidak selalu menyelesaikan masalah secara andal. Sebuah survei Proofpoint menemukan bahwa membayar geng ransomware sering menjadi bumerang, dengan banyak organisasi melaporkan bahwa mereka tetap kehilangan data, menghadapi serangan berulang, atau tidak pernah menerima alat dekripsi yang dapat digunakan bahkan setelah membayar. Imbauan Gunra memperkuat pola tersebut: langkah paling aman adalah pencegahan dan kemampuan memulihkan, bukan negosiasi.

Apa Artinya bagi Anda

Sebagian besar pembaca imbauan ini tidak akan menjadi target langsung Gunra, tetapi pelajaran mendasarnya berlaku luas. MFA adalah lapisan pertahanan yang penting, tetapi tidak sepenuhnya kebal, terutama ketika penyerang dapat menjangkau konfigurasi sisi server yang menerapkannya. Jika Anda mengelola sistem TI untuk bisnis, rumah sakit, sekolah, atau instansi pemerintah daerah, imbauan ini adalah sinyal untuk memeriksa apakah firmware firewall dan perangkat VPN Anda sudah mutakhir, karena akses awal Gunra sangat bergantung pada kerentanan yang diketahui dan dapat ditambal.

Bagi pengguna sehari-hari, pelajaran yang bisa diambil bukanlah tentang keluarga ransomware spesifik ini, melainkan tentang cara Anda mengelola data sendiri. Menjaga cadangan offline rutin untuk file-file penting tetap menjadi salah satu dari sedikit pertahanan yang berfungsi terlepas dari bagaimana penyerang masuk. Berapa lama Anda menyimpan salinan file sensitif, dan di mana, juga memengaruhi paparan Anda jika layanan yang Anda gunakan suatu saat diretas; memahami kebiasaan retensi data Anda sendiri, dan kebiasaan platform yang Anda andalkan, adalah langkah praktis untuk membatasi apa yang dapat diungkap oleh satu pelanggaran saja.

Poin-Poin Utama

Organisasi yang menjalankan perangkat Fortinet atau Schneider Electric yang terekspos harus memprioritaskan penambalan segera, karena itulah titik masuk yang terdokumentasi untuk intrusi Gunra. Tim TI harus mengaudit konfigurasi autentikasi sisi server untuk mendeteksi perubahan yang tidak sah, alih-alih berasumsi bahwa MFA berfungsi hanya karena diaktifkan. Administrator Linux yang terdampak Gunra harus berkonsultasi dengan profesional respons insiden sebelum menganggap file hilang permanen, mengingat kelemahan pemulihan berbasis timestamp yang dijelaskan dalam imbauan tersebut. Dan bagi semua orang, imbauan ini menjadi pengingat lain bahwa ransomware Gunra dan kelompok sejenis paling sering berhasil terhadap infrastruktur yang ketinggalan zaman, sehingga manajemen patch dan disiplin pencadangan menjadi lebih berharga daripada satu alat keamanan apa pun.