Hva som har endret seg: Gunras overgang til RaaS-modell

FBI har sendt ut en ny advarsel om Gunra-ransomwaren, en trussel som raskt har utviklet seg fra én gruppes operasjon til en fullverdig ransomware-as-a-service (RaaS)-virksomhet. I praksis betyr det at de opprinnelige utviklerne bak Gunra ikke lenger er de eneste som gjennomfører angrep. De lisensierer eller leaser nå ut skadevaren og infrastrukturen sin til tilknyttede aktører – kriminelle samarbeidspartnere som utfører selve inntrengningene og deler fortjenesten med kjernegruppen.

Dette skiftet er viktig fordi RaaS-modeller har en tendens til å akselerere omfanget og rekkevidden av et angrep. I stedet for at ett team sakte angriper ofre, kan dusinvis av uavhengige tilknyttede aktører nå utplassere samme ransomware samtidig på tvers av ulike bransjer og regioner, hver med sine egne teknikker for å bryte seg inn i nettverk. FBIs rådgivning bekrefter at Gunra fortsetter å basere seg på en dobbeltutpressingstilnærming: kryptere offerets data samtidig som de stjeler kopier av dem, for deretter å true med å publisere de stjålne filene på et dedikert lekkasjenettsted med mindre løsepenger betales.

For bakgrunn om hvordan Gunra bygde opp omdømmet sitt før denne utvidelsen, gikk vår tidligere dekning av Gunras dobbeltutpressingsangrep gjennom hvordan gruppen først vakte forskeres oppmerksomhet ved å spre seg raskt på tvers av flere sektorer.

Hvorfor dobbeltutpressing knekker «bare gjenopprett fra sikkerhetskopi»-forsvaret

I årevis var standardrådet for å overleve et ransomware-angrep enkelt: ta gode sikkerhetskopier, og hvis du blir rammet, tørk de infiserte systemene og gjenopprett fra en ren kopi. Det rådet er fortsatt viktig, men det løser ikke lenger hele problemet. Gunra-ransomwarens dobbeltutpressing er spesielt utformet for å overvinne det.

Her er hvorfor. Selv om en offerorganisasjon kan gjenopprette systemene sine fullstendig fra sikkerhetskopi og aldri betale for å låse opp egne filer, har angriperne allerede eksfiltrert en kopi av de sensitive dataene før de krypterte noe som helst. Sikkerhetskopier beskytter mot datatap, men de gjør ingenting for å hindre at stjålne filer lekkes eller selges. Gunras lekkasjenettsted finnes nettopp for å legge på det andre presslaget: betal, ellers offentliggjøres kunderegistre, økonomiske dokumenter eller intern kommunikasjon.

Dette er hovedgrunnen til at sikkerhetsteam nå snakker om ransomware i form av datatyveri og eksponering, ikke bare nedetid på systemer. Å gjenopprette driften raskt er fortsatt verdifullt, men det fjerner ikke pressmiddelet angriperne har når de først sitter på en kopi av dataene dine.

Hvem er i risikosonen når Gunra-tilknyttede aktører skalerer opp

Fordi Gunra nå opererer innenfor en RaaS-struktur, vil trolig gruppen av potensielle ofre utvides. RaaS-tilknyttede aktører er vanligvis opportunistiske – de retter seg ikke alltid mot én bestemt bransje, men går heller etter organisasjoner som viser utnyttbare svakheter, som eksponerte eksterne tilgangspunkter, upatchet programvare eller svak legitimasjonshygiene. Det betyr at organisasjoner av ulik størrelse og i ulike sektorer, ikke bare store virksomheter, kan havne i søkelyset rett og slett fordi de gir en enklere vei inn.

FBIs advarsel er et signal om at forsvarere i offentlig sektor, helsevesen, finans og andre sektorer bør behandle Gunra som en aktiv trussel i utvikling snarere enn et nisjeproblem. Etter hvert som flere tilknyttede aktører tar i bruk gruppens verktøy, vil trolig omfanget og variasjonen av angrep som tilskrives Gunra øke.

Bygging av en dybdeforsvarsstrategi

Ingen enkelt verktøy stopper ransomware alene, og det gjelder også VPN. En VPN kan bidra til å beskytte data under overføring og redusere eksponeringen av interne nettverksressurser mot det åpne internett, men den hindrer ikke en angriper i å stjele filer når de først er inne i et kompromittert system. Det virkelige svaret er lagdelt forsvar.

Noen praktiske lag som er verdt å prioritere:

  • Pålitelige, frakoblede sikkerhetskopier: Hold sikkerhetskopier isolert fra hovednettverket slik at ransomware ikke kan nå og kryptere dem også.
  • Dataminimering: Lagre bare de sensitive dataene du faktisk trenger, og slett eller arkiver resten. Angripere kan ikke lekke det du ikke oppbevarer.
  • Nettverkssegmentering og tilgangskontroll: Begrens lateral bevegelse slik at én kompromittert konto ikke kan nå hele nettverket.
  • Personvernverktøy på nettverksnivå: VPN-er og sikre eksterntilgangsløsninger reduserer angrepsoverflaten som er eksponert mot internett, noe som gjør det vanskeligere for tilknyttede aktører å finne et enkelt inngangspunkt.
  • Patchhåndtering: Mange RaaS-tilknyttede aktører utnytter kjente, upatchede sårbarheter i stedet for nye teknikker, så det å holde seg oppdatert lukker en enkel dør.

Hva dette betyr for deg

Enten du drifter IT for en liten bedrift eller bare administrerer dine egne enheter, er Gunra-ransomwarens dobbeltutpressingsmodell en påminnelse om at databeskyttelse handler om mer enn gjenoppretting. Det handler om å begrense hva angripere kan stjele i utgangspunktet, og redusere hvor eksponerte systemene dine er for opportunistisk skanning og utnyttelse – akkurat den typen aktivitet et voksende tilknyttet nettverk gjerne produserer.

Viktige punkter

  • Gunra-ransomwaren har beveget seg til en RaaS-modell, noe som betyr at flere tilknyttede aktører nå kan sette i gang angrep med verktøyene dens.
  • Dobbeltutpressing betyr at det å betale for dekryptering ikke hindrer stjålne data i å bli lekket.
  • Sikkerhetskopier forblir avgjørende, men må kombineres med dataminimering og tilgangskontroll.
  • Personvernverktøy som VPN-er er ett lag i forsvaret, ikke en komplett løsning.
  • Å holde seg oppdatert på patcher og begrense internetteksponerte tjenester reduserer sjansene for å bli et enkelt mål for voksende tilknyttede aktører.