Cosa è cambiato: il passaggio di Gunra a un modello RaaS

L'FBI ha emesso un nuovo avviso sul ransomware Gunra, una minaccia che si è rapidamente evoluta dall'operazione di un singolo gruppo a un vero e proprio business di ransomware-as-a-service (RaaS). In termini pratici, questo significa che gli sviluppatori originali dietro Gunra non sono più gli unici a lanciare attacchi. Ora concedono in licenza o in affitto il loro malware e la loro infrastruttura ad affiliati, partner criminali che eseguono le intrusioni vere e proprie e dividono i profitti con il gruppo principale.

Questo cambiamento è importante perché i modelli RaaS tendono ad accelerare la portata e la diffusione di un attacco. Invece di un solo team che prende di mira lentamente le vittime, decine di affiliati indipendenti possono ora distribuire lo stesso ransomware contemporaneamente in settori e regioni diverse, ognuno con le proprie tecniche per violare le reti. L'avviso dell'FBI conferma che Gunra continua a basarsi su un approccio di doppia estorsione: crittografare i dati della vittima rubandone anche delle copie, per poi minacciare di pubblicare i file rubati su un sito di leak dedicato se non viene pagato un riscatto.

Per un contesto su come Gunra si è costruita la reputazione prima di questa espansione, la nostra precedente copertura degli attacchi di doppia estorsione di Gunra ha spiegato come il gruppo abbia inizialmente attirato l'attenzione dei ricercatori diffondendosi rapidamente in più settori.

Perché la doppia estorsione vanifica la difesa del "basta ripristinare dal backup"

Per anni, il consiglio standard per sopravvivere a un attacco ransomware è stato semplice: mantenere buoni backup e, se si viene colpiti, cancellare i sistemi infetti e ripristinare da una copia pulita. Quel consiglio è ancora importante, ma non risolve più l'intero problema. La doppia estorsione del ransomware Gunra è progettata specificamente per vanificarlo.

Ecco perché. Anche se un'organizzazione vittima può ripristinare completamente i propri sistemi dal backup e non pagare mai per sbloccare i propri file, gli aggressori hanno già esfiltrato una copia di quei dati sensibili prima di crittografare qualsiasi cosa. I backup proteggono dalla perdita di dati, ma non fanno nulla per impedire che i file rubati vengano divulgati o venduti. Il sito di leak di Gunra esiste proprio per applicare quel secondo livello di pressione: pagare, oppure i dati dei clienti, i documenti finanziari o le comunicazioni interne diventano pubblici.

Questo è il motivo principale per cui i team di sicurezza ora parlano di ransomware in termini di furto ed esposizione dei dati, non solo di tempi di inattività dei sistemi. Ripristinare rapidamente le operazioni è ancora prezioso, ma non elimina la leva di cui dispongono gli aggressori una volta in possesso di una copia dei dati.

Chi è a rischio con l'espansione degli affiliati di Gunra

Poiché Gunra opera ora con una struttura RaaS, è probabile che il bacino di potenziali vittime si allarghi. Gli affiliati RaaS sono tipicamente opportunistici: non sempre prendono di mira un settore specifico, ma puntano invece alle organizzazioni che mostrano debolezze sfruttabili, come punti di accesso remoto esposti, software non aggiornati o una gestione debole delle credenziali. Ciò significa che organizzazioni di dimensioni e settori diversi, non solo grandi imprese, possono finire nel mirino semplicemente perché rappresentano una via d'ingresso più facile.

L'avviso dell'FBI è un segnale che i difensori di governo, sanità, finanza e altri settori dovrebbero trattare Gunra come una minaccia attiva e in evoluzione, piuttosto che come un problema di nicchia. Man mano che più affiliati adottano gli strumenti del gruppo, è probabile che il volume e la varietà degli attacchi attribuiti a Gunra aumentino.

Costruire una strategia di difesa in profondità

Nessuno strumento da solo ferma il ransomware, e questo vale anche per una VPN. Una VPN può contribuire a proteggere i dati in transito e a ridurre l'esposizione delle risorse di rete interne a Internet aperto, ma non impedirà a un aggressore di rubare file una volta che è già all'interno di un sistema compromesso. La vera risposta è una difesa a più livelli.

Alcuni livelli pratici che vale la pena considerare prioritari:

  • Backup affidabili e offline: mantenete i backup isolati dalla rete principale, così il ransomware non può raggiungerli e crittografarli a loro volta.
  • Minimizzazione dei dati: conservate solo i dati sensibili di cui avete realmente bisogno ed eliminate o archiviate il resto. Gli aggressori non possono divulgare ciò che non possedete.
  • Segmentazione della rete e controlli degli accessi: limitate il movimento laterale in modo che un singolo account compromesso non possa raggiungere l'intera rete.
  • Strumenti di privacy a livello di rete: le VPN e le soluzioni di accesso remoto sicuro riducono la superficie di attacco esposta a Internet, rendendo più difficile per gli affiliati trovare un punto di ingresso facile.
  • Gestione delle patch: molti affiliati RaaS sfruttano vulnerabilità note e non corrette piuttosto che tecniche nuove, quindi mantenere aggiornati i sistemi chiude una porta facile.

Cosa significa per te

Che tu gestisca l'IT per una piccola impresa o semplicemente amministri i tuoi dispositivi, il modello di doppia estorsione del ransomware Gunra ci ricorda che la protezione dei dati non riguarda solo il ripristino. Si tratta di limitare ciò che gli aggressori possono rubare in primo luogo e di ridurre quanto i tuoi sistemi sono esposti a scansioni e sfruttamento opportunistici, che è esattamente il tipo di attività che una rete di affiliati in crescita tende a produrre.

Punti chiave

  • Il ransomware Gunra è passato a un modello RaaS, il che significa che ora più affiliati possono lanciare attacchi usando i suoi strumenti.
  • La doppia estorsione significa che pagare per la decrittazione non impedisce la diffusione dei dati rubati.
  • I backup restano essenziali ma devono essere abbinati alla minimizzazione dei dati e ai controlli degli accessi.
  • Gli strumenti di privacy di rete come le VPN sono un livello di difesa, non una soluzione completa.
  • Mantenere aggiornate le patch e limitare i servizi esposti a Internet riduce le possibilità di diventare un bersaglio facile per gli affiliati in espansione.