Een gezamenlijk advies van de FBI, CISA, NSA, het Cyber Crime Center van het Amerikaanse ministerie van Defensie en Zuid-Koreaanse cyberbeveiligingsinstanties heeft bevestigd dat beheerders van Gunra-ransomware een manier hebben gevonden om een van de meest vertrouwde beveiligingstools voor bedrijven te omzeilen: multifactorauthenticatie. In plaats van een eenmalige code te stelen of een loginsessie te phishen, herschreven de aangesloten groepen van Gunra authenticatiebestanden rechtstreeks op de servers van slachtoffers, waardoor MFA-beveiliging van binnenuit effectief werd uitgeschakeld voordat ze encryptie inzetten en gegevens stalen.

Het deze maand uitgegeven advies is een van de duidelijkere publieke bevestigingen dat ransomware-as-a-servicegroepen MFA niet langer behandelen als een obstakel dat ze moeten omzeilen. Ze behandelen het als infrastructuur die ze eenvoudigweg opnieuw kunnen configureren zodra ze een voet aan de grond hebben gekregen.

Hoe Gunra MFA op serverniveau omzeilde

Volgens het advies hebben aan Gunra gelieerde aanvallers misbruik gemaakt van bekende kwetsbaarheden in Fortinet-firewall- en VPN-apparaten, samen met fouten in Schneider Electric-systemen, om initiële toegang te krijgen tot netwerken van overheden, kritieke infrastructuur en bedrijven. Eenmaal binnen richtten de aanvallers zich, in plaats van MFA bij de loginprompt te verslaan, op de authenticatieconfiguratiebestanden die op de server zelf zijn opgeslagen.

Door die bestanden bij de bron aan te passen, konden Gunra-beheerders de MFA-controles uitschakelen of omzeilen die normaal gesproken onbevoegde logins zouden stoppen, en dat alles zonder ooit de tweede factor van een slachtoffer nodig te hebben. Dit is een wezenlijk verschil met typische MFA-bypasstechnieken zoals sim-swapping of pushmoeheid-aanvallen, die zich op de gebruiker richten. De aanpak van Gunra richt zich op de infrastructuur die het beleid in de eerste plaats handhaaft, wat betekent dat de fout eerder architectonisch dan gedragsmatig is. Het patchen van bekende kwetsbaarheden in edge-apparaten zoals firewalls en VPN-apparaten – de toegangspunten waar Gunra volgens het advies op vertrouwt – blijft de meest directe manier waarop organisaties deze deur kunnen sluiten voordat die opengaat.

Gunra opereert als ransomware-as-a-service, wat betekent dat de kernmalware door één groep wordt gebouwd en onderhouden terwijl aangesloten groepen individuele aanvallen uitvoeren, vaak met hergebruik van uitgelekte code van eerdere ransomwarefamilies. Die structuur heeft de operatie geholpen snel uit te breiden over sectoren en regio's, aangezien in het advies wordt opgemerkt dat al doelwitten bij de overheid, de gezondheidszorg en kritieke infrastructuur in meerdere landen zijn getroffen.

Een lichtpuntje in de Linux-variant

Het advies wijst ook op een opmerkelijke zwakte in de op Linux gebaseerde encryptor van Gunra. Onderzoekers ontdekten dat het versleutelingsproces tijdsstempelartefacten van bestanden achterlaat die in sommige gevallen kunnen worden gebruikt om de ontsleutelingssleutels te reconstrueren zonder de aanvallers ook maar iets te betalen. Voor organisaties die Linux-servers draaien die door deze specifieke variant zijn getroffen, opent dat een pad naar het herstellen van versleutelde gegevens via forensisch onderzoek in plaats van onderhandeling met een criminele groep.

Dit soort implementatiefouten is niet ongebruikelijk bij ransomwarefamilies die uitgelekte code hergebruiken of aanpassen, en het betekent niet dat elk slachtoffer van Gunra gratis kan herstellen. De encryptor aan de Windows-kant lijkt dezelfde zwakte niet te hebben, en organisaties moeten elke herstelpoging behandelen als een taak voor ervaren incident responders in plaats van als een doe-het-zelfoplossing. Toch is het zeldzaam goed nieuws in een ransomwarelandschap waarin slachtoffers gewoonlijk moeten kiezen tussen betalen of herbouwen vanuit back-ups.

Die keuze is belangrijk omdat het bewijs steeds vaker aantoont dat betalen het probleem niet betrouwbaar oplost. Een onderzoek van Proofpoint wees uit dat betalen aan ransomwarebendes vaak averechts werkt; veel organisaties meldden dat ze nog steeds gegevens verloren, opnieuw werden aangevallen of zelfs na betaling nooit bruikbare ontsleutelingstools ontvingen. Het Gunra-advies bevestigt dat patroon: de veiligste keuze is preventie en herstelbaarheid, niet onderhandelen.

Wat dit voor u betekent

De meeste lezers van dit advies zullen niet rechtstreeks doelwit van Gunra zijn, maar de onderliggende les is breed toepasbaar. MFA is een cruciale verdedigingslaag, maar is niet onfeilbaar, vooral niet wanneer aanvallers de server-side configuratie kunnen bereiken die deze handhaaft. Als u IT-systemen beheert voor een bedrijf, ziekenhuis, school of lokale overheidsinstantie, is dit advies een signaal om te controleren of de firmware van uw firewall- en VPN-apparaten up-to-date is, aangezien de initiële toegang van Gunra sterk afhankelijk is van bekende, patchbare kwetsbaarheden.

Voor gewone gebruikers gaat de les minder over deze specifieke ransomwarefamilie en meer over hoe u met uw eigen gegevens omgaat. Regelmatige offline back-ups van belangrijke bestanden blijven een van de weinige verdedigingen die werken, ongeacht hoe een aanvaller binnenkomt. Hoe lang u kopieën van gevoelige bestanden bewaart, en waar, heeft ook invloed op uw blootstelling als een dienst die u gebruikt ooit wordt getroffen; inzicht in uw eigen gewoonten rond gegevensbewaring, en die van de platforms waarop u vertrouwt, is een praktische stap om te beperken wat een enkel datalek kan blootleggen.

Belangrijkste conclusies

Organisaties die blootgestelde Fortinet- of Schneider Electric-apparatuur gebruiken, moeten onmiddellijk prioriteit geven aan patchen, aangezien dat het gedocumenteerde toegangspunt is voor Gunra-inbraken. IT-teams moeten server-side authenticatieconfiguraties controleren op ongeoorloofde wijzigingen in plaats van aan te nemen dat MFA werkt simpelweg omdat het is ingeschakeld. Linux-beheerders die door Gunra zijn getroffen, moeten professionals op het gebied van incident response raadplegen voordat ze aannemen dat bestanden permanent verloren zijn, gezien de op tijdstempels gebaseerde fout die in het advies wordt beschreven en herstel mogelijk maakt. En voor alle anderen is dit advies opnieuw een herinnering dat Gunra-ransomware en soortgelijke groepen het vaakst succesvol zijn tegen verouderde infrastructuur, waardoor patchbeheer en back-updiscipline waardevoller zijn dan welk afzonderlijk beveiligingstool ook.