Un avviso congiunto di FBI, CISA, NSA, del Department of Defense Cyber Crime Center e delle agenzie di cybersicurezza sudcoreane ha confermato che gli operatori del ransomware Gunra hanno trovato il modo di aggirare uno degli strumenti di sicurezza aziendale più affidabili: l’autenticazione a più fattori (MFA). Invece di rubare un codice monouso o di sottrarre una sessione di accesso tramite phishing, gli affiliati di Gunra hanno riscritto direttamente i file di autenticazione sui server delle vittime, disattivando di fatto le protezioni MFA dall’interno prima di distribuire la crittografia e rubare i dati.

L’avviso, pubblicato questo mese, rappresenta una delle conferme pubbliche più chiare del fatto che i gruppi di ransomware-as-a-service non trattano più l’MFA come un ostacolo da aggirare con l’inganno. La trattano come un’infrastruttura che possono semplicemente riconfigurare una volta ottenuto un punto d’appoggio.

Come Gunra ha aggirato l’MFA a livello di server

Secondo l’avviso, gli affiliati di Gunra hanno sfruttato vulnerabilità note negli appliance firewall e VPN di Fortinet, insieme a difetti nei sistemi Schneider Electric, per ottenere l’accesso iniziale a reti governative, infrastrutture critiche e aziendali. Una volta all’interno, invece di tentare di superare l’MFA al momento dell’accesso, gli aggressori hanno preso di mira i file di configurazione dell’autenticazione archiviati sul server stesso.

Modificando quei file alla fonte, gli operatori di Gunra sono riusciti a disattivare o aggirare i controlli MFA che normalmente bloccherebbero gli accessi non autorizzati, senza mai aver bisogno del secondo fattore della vittima. Si tratta di una differenza significativa rispetto alle tipiche tecniche di elusione dell’MFA come lo scambio di SIM o gli attacchi di affaticamento da notifiche push, che prendono di mira l’utente. L’approccio di Gunra colpisce l’infrastruttura che applica la policy in primo luogo, il che significa che la falla è architetturale piuttosto che comportamentale. Correggere le vulnerabilità note nei dispositivi edge come firewall e appliance VPN, i punti di ingresso su cui secondo l’avviso Gunra fa affidamento, resta il modo più diretto con cui le organizzazioni possono chiudere questa porta prima che si apra.

Gunra opera come ransomware-as-a-service, il che significa che il malware principale viene sviluppato e mantenuto da un gruppo mentre gli affiliati eseguono i singoli attacchi, spesso riutilizzando codice trapelato da precedenti famiglie di ransomware. Questa struttura ha aiutato l’operazione a espandersi rapidamente in settori e aree geografiche diverse, dal momento che l’avviso segnala che ha già colpito obiettivi governativi, sanitari e di infrastrutture critiche in più Paesi.

Un lato positivo nella variante Linux

L’avviso segnala anche una debolezza notevole nel cifratore di Gunra basato su Linux. I ricercatori hanno scoperto che il processo di crittografia lascia dietro di sé artefatti nei timestamp dei file che, in alcuni casi, possono essere usati per ricostruire le chiavi di decrittazione senza pagare nulla agli aggressori. Per le organizzazioni che gestiscono server Linux colpiti da questa specifica variante, ciò apre una strada per recuperare i dati cifrati tramite analisi forense anziché tramite trattative con un gruppo criminale.

Questo tipo di difetto di implementazione non è raro nelle famiglie di ransomware che riutilizzano o adattano codice trapelato e non significa che ogni vittima di Gunra possa recuperare gratuitamente. Il cifratore lato Windows non sembra condividere la stessa debolezza e le organizzazioni dovrebbero considerare qualsiasi tentativo di recupero come un lavoro per responder di incidenti esperti piuttosto che come una soluzione fai-da-te. Resta comunque una rara buona notizia in un panorama ransomware in cui le vittime di solito sono costrette a scegliere tra pagare o ricostruire dai backup.

Questa scelta è importante perché le prove mostrano sempre più che pagare non risolve il problema in modo affidabile. Un sondaggio di Proofpoint ha rilevato che pagare le bande ransomware spesso si ritorce contro, e molte organizzazioni riferiscono di aver comunque perso dati, subito attacchi ripetuti o di non aver mai ricevuto strumenti di decrittazione utilizzabili anche dopo il pagamento. L’avviso su Gunra rafforza questo schema: la scommessa più sicura è la prevenzione e la capacità di recupero, non la trattativa.

Cosa significa per te

La maggior parte dei lettori di questo avviso non sarà presa di mira direttamente da Gunra, ma la lezione di fondo si applica in senso ampio. L’MFA è un livello di difesa critico, ma non è infallibile, soprattutto quando gli aggressori riescono a raggiungere la configurazione lato server che la impone. Se gestisci i sistemi IT di un’azienda, un ospedale, una scuola o un ente del governo locale, questo avviso è un segnale per verificare che il firmware di firewall e appliance VPN sia aggiornato, poiché l’accesso iniziale di Gunra dipende in larga misura da vulnerabilità note e correggibili.

Per gli utenti comuni, il punto non riguarda tanto questa specifica famiglia di ransomware, quanto il modo in cui gestisci i tuoi dati. Mantenere backup offline regolari dei file importanti resta una delle poche difese che funziona indipendentemente da come entra un aggressore. Per quanto tempo conservi le copie dei file sensibili, e dove, influisce anche sulla tua esposizione se un servizio che usi viene violato; comprendere le tue abitudini di conservazione dei dati e quelle delle piattaforme su cui fai affidamento è un passo pratico per limitare ciò che una singola violazione può esporre.

Punti chiave

Le organizzazioni che gestiscono apparecchiature Fortinet o Schneider Electric esposte dovrebbero dare priorità all’applicazione immediata delle patch, poiché quello è il punto di ingresso documentato per le intrusioni di Gunra. I team IT dovrebbero verificare le configurazioni di autenticazione lato server per individuare modifiche non autorizzate, invece di dare per scontato che l’MFA funzioni semplicemente perché è abilitato. Gli amministratori Linux colpiti da Gunra dovrebbero consultare professionisti della risposta agli incidenti prima di presumere che i file siano persi in modo permanente, data la falla di recupero basata sui timestamp descritta nell’avviso. Per tutti gli altri, questo avviso è un altro promemoria del fatto che il ransomware Gunra e gruppi simili hanno successo più spesso contro infrastrutture obsolete, il che rende la gestione delle patch e la disciplina dei backup più preziose di qualsiasi singolo strumento di sicurezza.