La Cybersecurity and Infrastructure Security Agency (CISA), l’FBI e i loro partner governativi hanno diffuso ulteriori dettagli tecnici su come gli operatori del ransomware Gunra penetrano nelle reti delle vittime. Secondo l’ultimo avviso congiunto, gli affiliati di Gunra ottengono il loro accesso iniziale attraverso due vulnerabilità note in dispositivi esposti a Internet, quel tipo di hardware perimetrale, gateway VPN, firewall e appliance di accesso remoto che si trovano al confine della rete di quasi ogni organizzazione.
Si tratta di un aggiornamento dei precedenti allarmi sull’operazione ransomware-as-a-service, che le agenzie avevano già segnalato per aver preso di mira il settore sanitario e per aver condotto un aggressivo schema di doppia estorsione che combina il furto di dati con la cifratura dei file. La nuova guida si concentra sulla meccanica dell’intrusione stessa, offrendo ai difensori un quadro più chiaro di dove concentrare esattamente l’attenzione.
Le vulnerabilità che gli operatori di Gunra stanno sfruttando
Secondo l’avviso, gli operatori di Gunra non fanno affidamento su nuovi exploit zero-day. Sfruttano invece due vulnerabilità già note nei dispositivi esposti a Internet, il software e le appliance che le organizzazioni espongono alla rete pubblica per consentire il lavoro remoto, la connettività tra sedi o i servizi esterni. Questo schema è coerente con il modo in cui opera la maggior parte degli affiliati ransomware-as-a-service: invece di investire in costosi sviluppo di exploit, scansionano Internet alla ricerca di sistemi non aggiornati e varcano porte che avrebbero già dovuto essere chiuse. La lezione per i difensori è semplice. Le vulnerabilità note restano pericolose a lungo dopo essere state divulgate, perché i cicli di applicazione delle patch all’interno delle organizzazioni reali sono spesso più lenti del ritmo con cui gli attaccanti trasformano il codice exploit pubblico in un’arma.
Come Gunra consolida la propria presenza una volta all’interno
Una volta che gli affiliati di Gunra sfruttano uno di questi punti di ingresso, utilizzano quell’accesso per spostarsi più in profondità nella rete. I dispositivi esposti a Internet, come i concentratori VPN e i firewall, sono obiettivi interessanti proprio perché comprometterli spesso garantisce un livello di fiducia che i sistemi interni considerano legittimo. Da lì, gli operatori possono stabilire la persistenza, raccogliere credenziali e iniziare a mappare la rete in preparazione delle fasi di furto dei dati e cifratura che definiscono il modello di doppia estorsione di Gunra. Poiché la compromissione iniziale avviene al perimetro della rete, le organizzazioni che trattano i dispositivi perimetrali come infrastrutture da "configura e dimentica" sono particolarmente esposte. Questi dispositivi vengono spesso installati una sola volta, configurati per la continuità operativa piuttosto che per la sicurezza e lasciati funzionare per anni senza una revisione di firmware o patch.
Passaggi di patch e configurazione per colmare il divario
La raccomandazione centrale dell’avviso è applicabile in generale alle campagne ransomware, non solo a Gunra: applicare tempestivamente le patch ai dispositivi esposti a Internet e dare priorità alle vulnerabilità note e attivamente sfruttate rispetto agli aggiornamenti di routine. I team IT e di sicurezza dovrebbero mantenere un inventario aggiornato di ogni dispositivo esposto a Internet, inclusi gateway VPN, firewall e strumenti di accesso remoto, e verificare che ciascuno esegua una versione supportata e aggiornata. Quando l’applicazione della patch non può avvenire immediatamente, le organizzazioni dovrebbero valutare di portare offline il servizio interessato o di limitarne l’accesso fino all’applicazione della correzione. L’autenticazione a più fattori su tutti i punti di accesso remoto, insieme alla registrazione e agli avvisi su attività di accesso insolite, aggiunge un ulteriore livello di resistenza anche se un dispositivo presenta una falla non corretta.
Perché il controllo degli accessi VPN e la segmentazione della rete limitano la diffusione del ransomware
Anche con una gestione disciplinata delle patch, nessuna organizzazione può garantire un’esposizione pari a zero in ogni momento. Ecco perché il controllo degli accessi e la segmentazione contano quanto la correzione iniziale. L’accesso VPN dovrebbe essere limitato in modo rigoroso, concedendo agli utenti solo i segmenti di rete di cui hanno realmente bisogno, anziché un accesso ampio all’intero ambiente. Segmentare le reti in modo che un dispositivo perimetrale compromesso non possa raggiungere direttamente sistemi sensibili, server di backup o controller di dominio può fare la differenza tra un incidente contenuto e un evento ransomware su vasta scala. Questi controlli non impediscono ogni intrusione, ma rallentano gli attaccanti e danno ai difensori il tempo di rilevare e rispondere prima che avvengano la cifratura e l’esfiltrazione dei dati.
Che cosa significa per te
Per gli amministratori IT e i team di sicurezza, questo avviso ricorda che gruppi ransomware come Gunra continuano ad avere successo sfruttando le basi: sistemi non aggiornati e accessi di rete eccessivamente permissivi, non attacchi nuovi e sofisticati. Una protezione efficace contro il ransomware Gunra inizia con un audit onesto di ogni dispositivo che la propria organizzazione espone a Internet. Se operate nel settore sanitario o in un altro settore già citato nei precedenti avvisi su Gunra, l’urgenza è ancora maggiore, poiché il gruppo ha già dimostrato di voler colpire specificamente quegli ambienti.
Azioni concrete da intraprendere
Le organizzazioni dovrebbero inventariare tutti i dispositivi esposti a Internet, inclusi gateway VPN e firewall, e verificare lo stato delle patch rispetto alle vulnerabilità note. Limitare l’accesso remoto con autenticazione a più fattori e autorizzazioni VPN secondo il principio del minimo privilegio. Segmentare le reti in modo che un singolo dispositivo compromesso non possa esporre backup o sistemi critici. Rivedere i precedenti avvisi di CISA, FBI e NSA sulle attività di Gunra contro il settore sanitario e sulle tattiche di doppia estorsione per ottenere gli indicatori tecnici completi e le indicazioni specifiche per settore necessarie a costruire un piano di difesa completo.
