En felles kunngjøring fra FBI, CISA, NSA, det amerikanske forsvarsdepartementets Cyber Crime Center og sørkoreanske cybersikkerhetsmyndigheter har bekreftet at operatørene bak Gunra-ransomware fant en vei utenom ett av de mest pålitelige sikkerhetsverktøyene for virksomheter: flerfaktorautentisering. I stedet for å stjele en engangskode eller phishe en påloggingssesjon, skrev Gunra-tilknyttede aktører om autentiseringsfiler direkte på offerserverne, noe som effektivt deaktiverte MFA-beskyttelsen fra innsiden før de distribuerte kryptering og stjal data.
Kunngjøringen, som ble utgitt denne måneden, er en av de tydeligste offentlige bekreftelsene på at ransomware-as-a-service-grupper ikke lenger behandler MFA som et hinder de må lure. De behandler det som infrastruktur de ganske enkelt kan rekonfigurere når de først har fått fotfeste.
Slik omgikk Gunra MFA på servernivå
Ifølge kunngjøringen har Gunra-tilknyttede aktører utnyttet kjente sårbarheter i Fortinet-brannmur- og VPN-apparater, sammen med svakheter i Schneider Electric-systemer, for å få innledende tilgang til offentlige, kritisk infrastruktur- og bedriftsnettverk. Når de først var inne, gikk angriperne etter autentiseringskonfigurasjonsfilene som er lagret på selve serveren, i stedet for å forsøke å slå MFA ved påloggingsvinduet.
Ved å endre disse filene ved kilden klarte Gunra-operatørene å deaktivere eller omgå MFA-kontrollene som normalt ville stanset uautoriserte pålogginger, uten noen gang å trenge offerets andrefaktor. Dette er en meningsfull forskjell fra typiske MFA-omgåelsesteknikker som SIM-bytte eller push-varselutmattelsesangrep, som retter seg mot brukeren. Gunras tilnærming retter seg mot infrastrukturen som håndhever policyen i utgangspunktet, noe som betyr at svakheten er arkitektonisk snarere enn atferdsmessig. Å patche kjente sårbarheter i edge-enheter som brannmurer og VPN-apparater, inngangspunktene som kunngjøringen sier Gunra er avhengig av, er fortsatt den mest direkte måten organisasjoner kan lukke denne døren på før den åpnes.
Gunra opererer som ransomware-as-a-service, noe som betyr at kjernemalvaren bygges og vedlikeholdes av én gruppe, mens tilknyttede aktører utfører enkeltangrep og ofte gjenbruker lekket kode fra tidligere ransomware-familier. Denne strukturen har bidratt til at operasjonen raskt har spredt seg på tvers av sektorer og geografiske områder, ettersom kunngjøringen peker på at den allerede har rammet myndigheter, helsevesen og kritisk infrastruktur i flere land.
En lysning i Linux-varianten
Kunngjøringen peker også på en bemerkelsesverdig svakhet i Gunras Linux-baserte krypteringsprogram. Forskere fant at krypteringsprosessen etterlater seg tidsstempelartefakter i filer som i noen tilfeller kan brukes til å rekonstruere dekrypteringsnøklene uten å betale angriperne noe. For organisasjoner som driver Linux-servere rammet av denne spesifikke varianten, åpner det en vei til å gjenopprette krypterte data gjennom rettsmedisinsk analyse i stedet for forhandlinger med en kriminell gruppe.
Denne typen implementeringsfeil er ikke uvanlig i ransomware-familier som gjenbruker eller tilpasser lekket kode, og det betyr ikke at alle Gunra-ofre kan gjenopprette dataene gratis. Krypteringsprogrammet på Windows-siden ser ikke ut til å ha den samme svakheten, og organisasjoner bør behandle ethvert gjenopprettingsforsøk som en jobb for erfarne hendelsesrespondere snarere enn en gjør-det-selv-løsning. Likevel er det en sjelden god nyhet i et ransomware-landskap der ofre vanligvis må velge mellom å betale eller gjenoppbygge fra sikkerhetskopier.
Dette valget har betydning fordi stadig mer dokumentasjon viser at betaling ikke pålitelig løser problemet. En Proofpoint-undersøkelse fant at det å betale ransomware-bander ofte slår tilbake, og mange organisasjoner rapporterte at de fortsatt mistet data, ble utsatt for gjentatte angrep eller aldri mottok brukbare dekrypteringsverktøy selv etter betaling. Gunra-kunngjøringen forsterker dette mønsteret: Det tryggeste valget er forebygging og gjenopprettbarhet, ikke forhandling.
Hva dette betyr for deg
De fleste som leser denne kunngjøringen, vil ikke bli direkte rammet av Gunra, men den underliggende lærdommen gjelder bredt. MFA er et kritisk forsvarslag, men det er ikke ufeilbarlig, særlig når angripere kan nå den serverbaserte konfigurasjonen som håndhever det. Hvis du administrerer IT-systemer for en bedrift, et sykehus, en skole eller en lokal myndighet, er denne kunngjøringen et signal om å sjekke om fastvaren i brannmur- og VPN-apparatene dine er oppdatert, siden Gunras innledende tilgang i stor grad er avhengig av kjente, patchbare sårbarheter.
For vanlige brukere handler lærdommen mindre om denne spesifikke ransomware-familien og mer om hvordan du håndterer dine egne data. Å ta regelmessige, frakoblede sikkerhetskopier av viktige filer er fortsatt et av de få forsvarene som virker uansett hvordan en angriper kommer seg inn. Hvor lenge du oppbevarer kopier av sensitive filer, og hvor, påvirker også eksponeringen din hvis en tjeneste du bruker noen gang blir kompromittert. Å forstå dine egne dataoppbevaringsvaner og plattformenes vaner er et praktisk skritt mot å begrense hva et enkelt datainnbrudd kan eksponere.
Viktige lærdommer
Organisasjoner som kjører eksponert Fortinet- eller Schneider Electric-utstyr bør prioritere å patche umiddelbart, siden det er det dokumenterte inngangspunktet for Gunra-inntrengninger. IT-team bør revidere serverbaserte autentiseringskonfigurasjoner for uautoriserte endringer i stedet for å anta at MFA fungerer bare fordi det er aktivert. Linux-administratorer som er rammet av Gunra, bør rådføre seg med fagfolk innen hendelseshåndtering før de antar at filene er permanent tapt, gitt den tidsstempelbaserte gjenopprettingssvakheten som er beskrevet i kunngjøringen. Og for alle andre er denne kunngjøringen nok en påminnelse om at Gunra-ransomware og lignende grupper oftest lykkes mot utdatert infrastruktur, noe som gjør patchadministrasjon og sikkerhetskopieringsdisiplin mer verdifullt enn ett enkelt sikkerhetsverktøy.
