CISA og FBI beskriver to sårbarheter som driver Gunra-ransomware

Cybersecurity and Infrastructure Security Agency (CISA), FBI og deres statlige samarbeidspartnere har publisert ytterligere tekniske detaljer om hvordan Gunra-ransomwareaktører bryter seg inn i ofrenes nettverk. Ifølge den siste felles rådgivningen får Gunra-tilknyttede aktører sitt første fotfeste gjennom to kjente sårbarheter i internetteksponerte enheter – den typen kantenheter, VPN-gatewayer, brannmurer og fjernaksessenheter som står i ytterkanten av nesten alle organisasjoners nettverk.

Dette er en oppfølging av tidligere advarsler om ransomware-as-a-service-operasjonen, som etatene tidligere har flagget for å rette seg mot helsesektoren og for å drive en aggressiv dobbeltutpresningsordning som kombinerer datatyveri med filkryptering. Den nye veiledningen retter søkelyset mot selve inntrengningsmekanikken og gir forsvarere et klarere bilde av nøyaktig hvor de bør rette oppmerksomheten.

Sårbarhetene Gunra-aktører utnytter

Ifølge rådgivningen støtter ikke Gunra-aktørene seg på nye null-dagers-sårbarheter. I stedet utnytter de to allerede kjente sårbarheter i internetteksponerte enheter – programvaren og enhetene som organisasjoner eksponerer mot det offentlige internett for å muliggjøre fjernarbeid, site-to-site-tilkobling eller eksterne tjenester. Dette mønsteret stemmer overens med hvordan de fleste ransomware-as-a-service-tilknyttede aktører opererer: i stedet for å investere i kostbar utvikling av utnyttelser, skanner de internett etter uoppdaterte systemer og går gjennom dører som allerede burde vært lukket.

Lærdommen for forsvarere er enkel. Kjente sårbarheter forblir farlige lenge etter at de er offentliggjort, fordi oppdateringssykluser i reelle organisasjoner ofte er langsommere enn tempoet der angripere bevæpner offentlig utnyttelseskode.

Hvordan Gunra får fotfeste når de først er inne

Når Gunra-tilknyttede aktører har utnyttet ett av disse inngangspunktene, bruker de tilgangen til å bevege seg dypere inn i nettverket. Internetteksponerte enheter som VPN-konsentratorer og brannmurer er attraktive mål nettopp fordi kompromittering av dem ofte gir et tillitsnivå som interne systemer antar er legitimt. Derfra kan aktørene etablere vedvarende tilstedeværelse, høste legitimasjon og begynne å kartlegge nettverket som forberedelse til datatyveri- og krypteringsfasene som kjennetegner Gunras dobbeltutpresningsmodell.

Fordi den første kompromitteringen skjer i nettverkskanten, er organisasjoner som behandler perimeterenheter som «sett og glem»-infrastruktur spesielt utsatt. Disse enhetene utplasseres ofte én gang, konfigureres for oppetid snarere enn sikkerhet og blir stående i årevis uten gjennomgang av fastvare eller oppdateringer.

Oppdaterings- og konfigurasjonstiltak for å tette gapet

Rådgivningens kjernearbefaling gjelder bredt på tvers av ransomware-kampanjer, ikke bare Gunra: oppdater internetteksponerte enheter raskt, og prioriter kjente, aktivt utnyttede sårbarheter fremfor rutineoppdateringer. IT- og sikkerhetsteam bør opprettholde en oppdatert oversikt over hver enhet som er eksponert mot internett, inkludert VPN-gatewayer, brannmurer og fjernaksessverktøy, og bekrefte at hver av dem kjører en støttet, oppdatert versjon. Der oppdatering ikke kan skje umiddelbart, bør organisasjoner vurdere å ta den berørte tjenesten offline eller begrense tilgangen til en rettelse er installert. Flerfaktorautentisering på alle fjernaksesspunkter, kombinert med logging og varsling om uvanlig påloggingsaktivitet, gir enda et motstandslag selv om en enhet har en uoppdatert sårbarhet.

Hvorfor VPN-tilgangskontroll og nettverkssegmentering begrenser spredningen av ransomware

Selv med disiplinert oppdatering kan ingen organisasjon garantere null eksponering til enhver tid. Derfor betyr tilgangskontroll og segmentering like mye som selve utbedringen. VPN-tilgang bør avgrenses strengt, slik at brukere bare får tilgang til de nettverkssegmentene de faktisk trenger, ikke bred tilgang til hele miljøet. Å segmentere nettverk slik at en kompromittert kantenhet ikke kan nå sensitive systemer, sikkerhetskopiservere eller domenekontrollere direkte, kan være forskjellen mellom en avgrenset hendelse og en fullskala ransomware-hendelse. Disse kontrollene forhindrer ikke enhver inntrenging, men de bremser angriperne og gir forsvarerne tid til å oppdage og svare før kryptering og dataeksfiltrering skjer.

Hva dette betyr for deg

For IT-administratorer og sikkerhetsteam er denne rådgivningen en påminnelse om at ransomware-grupper som Gunra fortsetter å lykkes ved å utnytte det grunnleggende: uoppdaterte systemer og altfor åpen nettverkstilgang, ikke sofistikerte, nye angrep. Effektiv beskyttelse mot Gunra-ransomware starter med en ærlig gjennomgang av hver enhet organisasjonen din eksponerer mot internett. Hvis du opererer i helsesektoren eller en annen sektor som tidligere er nevnt i Gunra-rådgivninger, er hastverket enda større, ettersom gruppen allerede har vist vilje til å rette seg spesifikt mot slike miljøer.

Konkrete tiltak

Organisasjoner bør kartlegge alle internetteksponerte enheter, inkludert VPN-gatewayer og brannmurer, og bekrefte oppdateringsstatus mot kjente sårbarheter. Begrens fjernaksess med flerfaktorautentisering og VPN-rettigheter etter minste privilegiums prinsipp. Segmenter nettverk slik at én enkelt kompromittert enhet ikke kan eksponere sikkerhetskopier eller kritiske systemer. Gå gjennom de tidligere rådgivningene fra CISA, FBI og NSA om Gunras målretting mot helsesektoren og dobbeltutpresningstaktikker for å få fullstendige tekniske indikatorer og sektorspesifikk veiledning som trengs for å bygge en komplett forsvarsplan.