Co się zmieniło: przejście Gunry na model RaaS
FBI wydało nowe ostrzeżenie dotyczące ransomware Gunra, zagrożenia, które szybko przekształciło się z operacji jednej grupy w pełnoprawny biznes typu ransomware jako usługa (RaaS). W praktyce oznacza to, że pierwotni twórcy Gunry nie są już jedynymi, którzy przeprowadzają ataki. Obecnie udostępniają oni swoje złośliwe oprogramowanie i infrastrukturę na zasadzie licencji lub dzierżawy partnerom — przestępczym współpracownikom, którzy przeprowadzają właściwe włamania i dzielą się zyskami z główną grupą.
Ta zmiana ma znaczenie, ponieważ modele RaaS zwykle przyspieszają skalę i zasięg ataku. Zamiast jednego zespołu, który powoli atakuje ofiary, dziesiątki niezależnych partnerów może teraz jednocześnie wdrażać to samo ransomware w różnych branżach i regionach, przy czym każdy z nich stosuje własne techniki włamywania się do sieci. Komunikat FBI potwierdza, że Gunra nadal opiera się na podejściu podwójnego wymuszenia: szyfruje dane ofiary, a jednocześnie wykrada ich kopie, a następnie grozi opublikowaniem skradzionych plików na dedykowanej witrynie do ujawniania wycieków, jeśli okup nie zostanie zapłacony.
Jeśli chodzi o tło dotyczące tego, jak Gunra budowała swoją reputację przed tą ekspansją, nasze wcześniejsze omówienie ataków podwójnego wymuszenia Gunry pokazało, w jaki sposób grupa po raz pierwszy zwróciła uwagę badaczy, szybko rozprzestrzeniając się na wiele sektorów.
Dlaczego podwójne wymuszenie łamie obronę „wystarczy przywrócić z kopii zapasowej”
Przez lata standardowa rada na przetrwanie ataku ransomware była prosta: utrzymuj dobre kopie zapasowe, a jeśli zostaniesz zaatakowany, wyczyść zainfekowane systemy i przywróć dane z czystej kopii. Ta rada nadal ma znaczenie, ale nie rozwiązuje już całego problemu. Podwójne wymuszenie stosowane przez ransomware Gunra jest zaprojektowane właśnie po to, aby ją pokonać.
Oto dlaczego. Nawet jeśli zaatakowana organizacja może w pełni przywrócić swoje systemy z kopii zapasowej i nigdy nie zapłacić za odszyfrowanie własnych plików, atakujący zdążyli już wykraść kopię tych wrażliwych danych, zanim cokolwiek zaszyfrowali. Kopie zapasowe chronią przed utratą danych, ale nie powstrzymują wycieku ani sprzedaży skradzionych plików. Witryna Gunry do ujawniania wycieków istnieje właśnie po to, aby wywierać tę drugą warstwę presji: zapłać albo twoje dane klientów, dokumenty finansowe lub wewnętrzna korespondencja trafią do opinii publicznej.
To jest główny powód, dla którego zespoły bezpieczeństwa mówią dziś o ransomware w kategoriach kradzieży i ujawnienia danych, a nie tylko przestoju systemów. Szybkie przywrócenie działania nadal jest cenne, ale nie odbiera atakującym przewagi, którą mają, gdy posiadają kopię twoich danych.
Kto jest zagrożony, gdy partnerzy Gunry zwiększają skalę działań
Ponieważ Gunra działa teraz w strukturze RaaS, pula potencjalnych ofiar prawdopodobnie się powiększy. Partnerzy RaaS są zazwyczaj oportunistyczni — nie zawsze celują w konkretną branżę, lecz atakują te organizacje, które wykazują możliwe do wykorzystania słabości, takie jak wystawione punkty zdalnego dostępu, niezałatane oprogramowanie czy słaba higiena poświadczeń. Oznacza to, że organizacje różnej wielkości i z różnych sektorów, a nie tylko duże przedsiębiorstwa, mogą znaleźć się na celowniku po prostu dlatego, że stanowią łatwiejszą drogę wejścia.
Ostrzeżenie FBI to sygnał, że obrońcy w sektorach rządowym, opieki zdrowotnej, finansowym i innych powinni traktować ransomware Gunra jako aktywne, ewoluujące zagrożenie, a nie niszowy problem. W miarę jak kolejni partnerzy przejmują narzędzia grupy, liczba i różnorodność ataków przypisywanych Gunrze prawdopodobnie wzrośnie.
Budowanie strategii obrony w głąb
Żadne pojedyncze narzędzie samo w sobie nie powstrzyma ransomware, dotyczy to również VPN. VPN może pomóc chronić dane przesyłane w sieci i zmniejszyć ekspozycję wewnętrznych zasobów sieciowych na otwarty internet, ale nie zapobiegnie kradzieży plików przez atakującego, gdy ten znajdzie się już wewnątrz przejętego systemu. Prawdziwą odpowiedzią jest obrona warstwowa.
Kilka praktycznych warstw, które warto potraktować priorytetowo:
- Niezawodne kopie zapasowe offline: Przechowuj kopie zapasowe w izolacji od sieci głównej, aby ransomware nie mogło ich dosięgnąć i również zaszyfrować.
- Minimalizacja danych: Przechowuj tylko te wrażliwe dane, których naprawdę potrzebujesz, a resztę usuń lub zarchiwizuj. Atakujący nie mogą ujawnić tego, czego nie posiadasz.
- Segmentacja sieci i kontrola dostępu: Ogranicz ruch boczny, aby pojedyncze przejęte konto nie mogło dotrzeć do całej sieci.
- Narzędzia prywatności na poziomie sieci: VPN i bezpieczne rozwiązania zdalnego dostępu zmniejszają powierzchnię ataku wystawioną na internet, utrudniając partnerom znalezienie łatwego punktu wejścia.
- Zarządzanie poprawkami: Wielu partnerów RaaS wykorzystuje znane, niezałatane luki, a nie nowatorskie techniki, więc bycie na bieżąco z aktualizacjami zamyka łatwe drzwi.
Co to oznacza dla Ciebie
Niezależnie od tego, czy zarządzasz IT w małej firmie, czy po prostu dbasz o własne urządzenia, model podwójnego wymuszenia stosowany przez ransomware Gunra przypomina, że ochrona danych to coś więcej niż odzyskiwanie. Chodzi o ograniczanie tego, co atakujący mogą ukraść na samym początku, oraz o zmniejszenie ekspozycji systemów na oportunistyczne skanowanie i wykorzystywanie luk — a to dokładnie ten rodzaj aktywności, który zwykle generuje rosnąca sieć partnerów.
Najważniejsze wnioski
- Ransomware Gunra przeszedł na model RaaS, co oznacza, że więcej partnerów może teraz przeprowadzać ataki przy użyciu jego narzędzi.
- Podwójne wymuszenie oznacza, że zapłacenie za odszyfrowanie nie zapobiega wyciekowi skradzionych danych.
- Kopie zapasowe pozostają niezbędne, ale muszą być połączone z minimalizacją danych i kontrolą dostępu.
- Narzędzia prywatności sieciowej, takie jak VPN, to jedna warstwa obrony, a nie kompletne rozwiązanie.
- Bieżące aktualizacje i ograniczanie usług wystawionych na internet zmniejszają szanse stania się łatwym celem dla rosnącej liczby partnerów.
