Ostrzeżenie FBI-CISA: Ransomware Gunra uderzył w 51 szpitali

Wspólne ostrzeżenie FBI i Agencji ds. Bezpieczeństwa Cybernetycznego i Infrastruktury (CISA) potwierdziło, że grupa ransomware Gunra włamała się do co najmniej 51 szpitali, agencji rządowych i instytucji finansowych, głównie wykorzystując niezałatane zapory Fortinet. Ostrzeżenie ujawniło również istotną słabość w złośliwym oprogramowaniu Gunra dla systemu Linux: wadliwy generator liczb losowych, który umożliwia ofiarom odzyskanie zaszyfrowanych plików bez płacenia okupu.

Odkrycia te stanowią jedną z bardziej szczegółowych publicznych analiz działalności Gunra do tej pory, łącząc wzorce atakowania infrastruktury z techniczną mapą drogową dla obrońców. Dla organizacji nadal korzystających z narażonych lub przestarzałych urządzeń sieciowych ostrzeżenie jest wyraźnym sygnałem, że luka między znaną podatnością a pełnowymiarowym incydentem ransomware stale się zmniejsza.

Jak ransomware Gunra włamał się do 51 szpitali i sieci rządowych

Zgodnie z ostrzeżeniem lista ofiar Gunra obejmuje placówki opieki zdrowotnej, urzędy rządowe i instytucje finansowe – sektory, które zazwyczaj przechowują wrażliwe dane i często nie mogą sobie pozwolić na dłuższe przestoje. To połączenie czyni je atrakcyjnymi celami dla operatorów ransomware, którzy chcą wywrzeć presję na ofiary, aby szybko zapłaciły.

Grupa była na tyle aktywna, że przyciągnęła stałą uwagę międzynarodowych organów ścigania. Na początku tego roku władze Korei Południowej i USA ogłosiły wspólne dochodzenie w sprawie działalności gangu, która rozszerzyła się na sektory finansów, opieki zdrowotnej i produkcji. Ostatnia liczba 51 ofiar sugeruje, że pomimo tej kontroli Gunra nadal działa i znajduje nowe punkty wejścia do sieci korporacyjnych i instytucjonalnych.

Luka w niezałatanej zaporze Fortinet wykorzystana przez atakujących

Ostrzeżenie wskazuje na niezałatane zapory Fortinet jako główny wektor początkowego dostępu w intruzjach Gunra. Zapory znajdują się na skraju sieci, co czyni je cennym celem: po przejęciu atakujący często mogą przemieszczać się poziomo do systemów wewnętrznych, zbierać dane uwierzytelniające i przygotowywać ładunki ransomware przy stosunkowo niewielkim oporze.

Jest to powszechny schemat w kampaniach ransomware. Atakujący często preferują znane, niezałatane luki w urządzeniach brzegowych zamiast bardziej pracochłonnej inżynierii społecznej, po prostu dlatego, że skanowanie internetu w poszukiwaniu narażonych, przestarzałych zapór jest szybsze i tańsze niż tworzenie przynęt phishingowych. Wspólne ostrzeżenie CISA i FBI dotyczące taktyk podwójnego wymuszenia Gunra opisuje, jak grupa łączy tę metodę dostępu z kradzieżą danych, grożąc wyciekiem skradzionych plików oprócz ich zaszyfrowania – obecnie standardowe podejście podwójnego wymuszenia, które zwiększa presję na ofiary, by zapłaciły.

Dlaczego luka w szyfrowaniu Gunra dla Linuksa pozwala ofiarom pominąć okup

Najbardziej praktyczny szczegół w ostrzeżeniu dotyczy wariantu Gunra dla Linuksa. Badacze odkryli, że złośliwe oprogramowanie opiera się na słabym generatorze liczb losowych do tworzenia kluczy szyfrujących używanych do blokowania plików ofiar. Ponieważ generator ten jest przewidywalny i można go odtworzyć na podstawie danych pozostawionych w zainfekowanym systemie, badaczom bezpieczeństwa udało się odtworzyć proces szyfrowania na tyle dobrze, by odzyskać pliki bez płacenia atakującym.

To ważne odkrycie dla każdej organizacji korzystającej z serwerów Linux, która została zaatakowana przez Gunra. Odszyfrowanie ransomware rzadko jest proste, a większość szczepów wykorzystuje implementacje szyfrowania, które – przynajmniej w teorii – są obliczeniowo niewykonalne do złamania bez klucza prywatnego atakującego. Słaby lub ponownie wykorzystany generator liczb losowych to rzeczywisty błąd implementacyjny, a nie teoretyczna słabość, i daje obrońcom realną alternatywę wobec negocjacji z przestępcami.

Niemniej wykorzystanie tej luki wymaga zazwyczaj wiedzy technicznej, dostępu śledczego do skompromitowanego systemu i ostrożnego postępowania z wszelkimi pozostałymi artefaktami po ataku. Organizacje, które podejrzewają infekcję Gunra, powinny zachować zainfekowane systemy w obecnym stanie, zamiast samodzielnie próbować odzyskiwania danych, ponieważ niewłaściwe obchodzenie się z nimi mogłoby zniszczyć artefakty potrzebne do odtworzenia kluczy szyfrujących.

Łatanie zamiast płacenia: lekcje bezpieczeństwa dla instytucji i osób prywatnych

Powracającym motywem w tym ostrzeżeniu jest to, że zarówno początkowe włamanie, jak i ostateczne obejście wynikają z możliwych do uniknięcia luk technicznych. Wykorzystane do początkowego dostępu zapory Fortinet były niezałatane, co oznacza, że znana poprawka istniała, ale nie została zastosowana na czas. A wariant ransomware dla Linuksa zawiódł tylko z powodu skrótu programistycznego we własnym procesie szyfrowania. Żaden z tych rezultatów nie wymagał wyrafinowanego wykorzystania luki dnia zerowego.

W szczególności dla szpitali, agencji rządowych i instytucji finansowych wzmacnia to lekcję, którą specjaliści ds. bezpieczeństwa powtarzają od lat: zarządzanie łatkami na urządzeniach brzegowych, takich jak zapory i urządzenia VPN, nie jest opcjonalne. Systemy te często są pierwszym punktem styku dla operatorów ransomware skanujących internet w poszukiwaniu łatwych celów.

Co to oznacza dla Ciebie

Jeśli zarządzasz infrastrukturą IT, zwłaszcza w służbie zdrowia, administracji rządowej lub usługach finansowych, ostrzeżenie dotyczące Gunra jest bezpośrednim wezwaniem do przeprowadzenia audytu urządzeń Fortinet i upewnienia się, że działają one na aktualnym oprogramowaniu z zastosowanymi wszystkimi poprawkami bezpieczeństwa. Jeśli padłeś już ofiarą ransomware Gunra i używasz systemów Linux, nie spiesz się z płaceniem. Skonsultuj się z profesjonalistami od reagowania na incydenty w sprawie znanej słabości szyfrowania, zanim rozważysz zapłatę okupu.

Dla zwykłych użytkowników i mniejszych organizacji szerszy wniosek jest podobny: grupy ransomware odnoszą sukcesy coraz częściej nie dzięki egzotycznym technikom, ale przez zaniedbanie podstaw. Aktualizowanie sprzętu sieciowego, monitorowanie nietypowych wzorców dostępu i utrzymywanie kopii zapasowych offline pozostają najbardziej niezawodną obroną przed staniem się kolejnym wpisem w ostrzeżeniu takim jak to.

Ostatnie myśli

Luka w deszyfrowaniu Linuksa w ransomware Gunra to rzadka dobra wiadomość w skądinąd otrzeźwiającym ostrzeżeniu o 51 skompromitowanych szpitalach, agencjach i instytucjach finansowych. Nie cofnie już wyrządzonych szkód, ale oferuje drogę naprzód dla ofiar, które w przeciwnym razie mogłyby czuć się zmuszone do zapłaty. W połączeniu z trwającą presją organów ścigania na grupę, sprawa ta podkreśla prostą prawdę: łatanie znanych luk, zanim atakujący je znajdą, jest zawsze tańsze, szybsze i bezpieczniejsze niż negocjacje po fakcie.