CISA i FBI szczegółowo opisują dwie luki napędzające ransomware Gunra

Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA), FBI i ich partnerzy rządowi opublikowali dodatkowe szczegóły techniczne na temat tego, w jaki sposób operatorzy ransomware Gunra włamują się do sieci ofiar. Zgodnie z najnowszym wspólnym komunikatem podmioty stowarzyszone z Gunra zdobywają początkowy dostęp do sieci przez dwie znane luki w urządzeniach wystawionych do internetu — tego rodzaju sprzęt brzegowy, bramy VPN, zapory sieciowe i urządzenia dostępu zdalnego, które znajdują się na obrzeżach sieci niemal każdej organizacji.

To kolejny komunikat po wcześniejszych ostrzeżeniach dotyczących operacji ransomware jako usługa, którą agencje wcześniej wskazywały jako atakującą sektor opieki zdrowotnej i prowadzącą agresywny schemat podwójnego wymuszenia, łączący kradzież danych z szyfrowaniem plików. Nowe wytyczne skupiają się na samej mechanice włamania, dając obrońcom jaśniejszy obraz tego, na czym dokładnie powinni skoncentrować uwagę.

Luki wykorzystywane przez operatorów Gunra

Zgodnie z komunikatem operatorzy Gunra nie polegają na nowych exploitach typu zero-day. Zamiast tego wykorzystują dwie już znane luki w urządzeniach wystawionych do internetu — oprogramowaniu i urządzeniach, które organizacje udostępniają w publicznym internecie, aby umożliwić pracę zdalną, łączność między lokalizacjami lub usługi zewnętrzne. Ten schemat jest spójny ze sposobem działania większości podmiotów stowarzyszonych z ransomware jako usługą: zamiast inwestować w kosztowne opracowywanie exploitów, skanują internet w poszukiwaniu niezałatanych systemów i wchodzą drzwiami, które już dawno powinny zostać zamknięte. Wniosek dla obrońców jest prosty. Znane luki pozostają niebezpieczne jeszcze długo po ich ujawnieniu, ponieważ cykle łatania w realnych organizacjach bywają wolniejsze niż tempo, w jakim atakujący przekształcają publiczny kod exploitów w broń.

Jak Gunra zdobywa przyczółek po dostaniu się do środka

Gdy podmioty stowarzyszone z Gunra wykorzystają jeden z tych punktów wejścia, używają uzyskanego dostępu, aby przemieszczać się głębiej w sieci. Urządzenia wystawione do internetu, takie jak koncentratory VPN i zapory sieciowe, są atrakcyjnymi celami właśnie dlatego, że ich przejęcie często zapewnia poziom zaufania, który systemy wewnętrzne uznają za legalny. Stamtąd atakujący mogą utrzymywać obecność w sieci, zbierać poświadczenia i rozpoczynać mapowanie sieci w ramach przygotowań do etapów kradzieży danych i szyfrowania, które definiują model podwójnego wymuszenia Gunra. Ponieważ początkowe przejęcie następuje na brzegu sieci, organizacje, które traktują urządzenia brzegowe jak infrastrukturę „skonfiguruj i zapomnij”, są szczególnie narażone. Takie urządzenia często wdraża się raz, konfiguruje pod kątem ciągłości działania, a nie bezpieczeństwa, i pozostawia działające przez lata bez przeglądu oprogramowania układowego ani poprawek.

Kroki w zakresie poprawek i konfiguracji, które pomogą zamknąć lukę

Główne zalecenie komunikatu ma zastosowanie szeroko do kampanii ransomware, nie tylko do Gunra: należy niezwłocznie łatać urządzenia wystawione do internetu i traktować priorytetowo znane, aktywnie wykorzystywane luki zamiast rutynowych aktualizacji. Zespoły IT i bezpieczeństwa powinny prowadzić aktualną inwentaryzację każdego urządzenia dostępnego z internetu, w tym bram VPN, zapór sieciowych i narzędzi dostępu zdalnego, oraz potwierdzać, że na każdym z nich działa wspierana, zaktualizowana wersja oprogramowania. Jeśli natychmiastowe łatanie nie jest możliwe, organizacje powinny rozważyć odłączenie zagrożonej usługi od sieci lub ograniczenie do niej dostępu do czasu zastosowania poprawki. Uwierzytelnianie wieloskładnikowe we wszystkich punktach dostępu zdalnego w połączeniu z rejestrowaniem i alertami o nietypowej aktywności logowania dodaje kolejną warstwę ochrony, nawet jeśli urządzenie ma niezałataną lukę.

Dlaczego kontrola dostępu VPN i segmentacja sieci ograniczają rozprzestrzenianie się ransomware

Nawet przy zdyscyplinowanym łataniu żadna organizacja nie może zagwarantować zerowej ekspozycji przez cały czas. Dlatego kontrola dostępu i segmentacja mają równie duże znaczenie jak początkowa poprawka. Dostęp VPN powinien być ściśle ograniczony, a użytkownicy powinni otrzymywać tylko te segmenty sieci, których faktycznie potrzebują, zamiast szerokiego dostępu do całego środowiska. Segmentowanie sieci tak, aby przejęte urządzenie brzegowe nie mogło bezpośrednio docierać do systemów wrażliwych, serwerów kopii zapasowych ani kontrolerów domeny, może decydować o tym, czy zdarzenie zostanie odizolowane, czy przerodzi się w pełnowymiarowy atak ransomware. Te mechanizmy nie zapobiegają każdemu włamaniu, ale spowalniają atakujących i dają obrońcom czas na wykrycie zagrożenia i reakcję, zanim dojdzie do szyfrowania i eksfiltracji danych.

Co to oznacza dla Ciebie

Dla administratorów IT i zespołów bezpieczeństwa ten komunikat jest przypomnieniem, że grupy ransomware, takie jak Gunra, wciąż odnoszą sukcesy, wykorzystując podstawy: niezałatane systemy i zbyt szeroko nadane uprawnienia dostępu do sieci, a nie wyrafinowane, nowe ataki. Skuteczna ochrona przed ransomware Gunra zaczyna się od uczciwego audytu każdego urządzenia, które organizacja wystawia do internetu. Jeśli działasz w sektorze opieki zdrowotnej lub innym sektorze wcześniej wymienionym w komunikatach dotyczących Gunra, pilność jest jeszcze większa, ponieważ grupa już pokazała, że jest gotowa atakować właśnie te środowiska.

Praktyczne wnioski

Organizacje powinny zinwentaryzować wszystkie urządzenia wystawione do internetu, w tym bramy VPN i zapory sieciowe, oraz potwierdzić stan poprawek w odniesieniu do znanych luk. Należy ograniczyć dostęp zdalny za pomocą uwierzytelniania wieloskładnikowego i uprawnień VPN przyznawanych zgodnie z zasadą najmniejszych uprawnień. Należy segmentować sieci tak, aby pojedyncze przejęte urządzenie nie mogło narazić kopii zapasowych ani systemów krytycznych. Warto zapoznać się z wcześniejszymi komunikatami CISA, FBI i NSA na temat ataków Gunra na sektor opieki zdrowotnej oraz taktyk podwójnego wymuszenia, aby uzyskać pełne wskaźniki techniczne i wytyczne dla konkretnych sektorów potrzebne do zbudowania kompletnego planu obrony.