Wspólny komunikat FBI, CISA, NSA, Centrum ds. Cyberprzestępczości Departamentu Obrony oraz południowokoreańskich agencji ds. cyberbezpieczeństwa potwierdził, że operatorzy ransomware Gunra znaleźli sposób na obejście jednego z najbardziej zaufanych narzędzi bezpieczeństwa w przedsiębiorstwach: uwierzytelniania wieloskładnikowego. Zamiast wykradać jednorazowy kod lub wyłudzać sesję logowania, afilianci Gunra bezpośrednio modyfikowali pliki uwierzytelniające na serwerach ofiar, skutecznie wyłączając zabezpieczenia MFA od wewnątrz, zanim wdrożyli szyfrowanie i wykradli dane.

Komunikat, wydany w tym miesiącu, jest jednym z wyraźniejszych publicznych potwierdzeń, że grupy ransomware jako usługi nie traktują już MFA jako przeszkody, którą trzeba oszukać. Traktują je jako infrastrukturę, którą mogą po prostu przekonfigurować, gdy już zdobędą przyczółek.

Jak Gunra omijała MFA na poziomie serwera

Zgodnie z komunikatem afilianci Gunra wykorzystują znane luki w zaporach i urządzeniach VPN Fortinet oraz błędy w systemach Schneider Electric, aby uzyskać początkowy dostęp do sieci rządowych, infrastruktury krytycznej i przedsiębiorstw. Po dostaniu się do środka, zamiast próbować pokonać MFA na etapie logowania, atakujący brali na cel pliki konfiguracyjne uwierzytelniania przechowywane na samym serwerze.

Modyfikując te pliki u źródła, operatorzy Gunra byli w stanie wyłączyć lub obejść kontrole MFA, które normalnie blokowałyby nieautoryzowane logowania — wszystko to bez potrzeby posiadania drugiego składnika ofiary. To istotna różnica w porównaniu z typowymi technikami omijania MFA, takimi jak SIM swapping czy ataki polegające na zmęczeniu powiadomieniami push, których celem jest użytkownik. Podejście Gunra uderza w infrastrukturę, która egzekwuje te zasady, co oznacza, że problem ma charakter architektoniczny, a nie behawioralny. Łatanie znanych luk w urządzeniach brzegowych, takich jak zapory sieciowe i urządzenia VPN, które według komunikatu są punktami wejścia wykorzystywanymi przez Gunra, pozostaje najbardziej bezpośrednim sposobem, aby organizacje zamknęły te drzwi, zanim się otworzą.

Gunra działa w modelu ransomware jako usługi, co oznacza, że rdzeń złośliwego oprogramowania jest tworzony i utrzymywany przez jedną grupę, a poszczególne ataki przeprowadzają afilianci, często ponownie wykorzystując kod, który wyciekł z wcześniejszych rodzin ransomware. Taka struktura pomogła tej operacji szybko rozprzestrzenić się na różne sektory i regiony, ponieważ w komunikacie odnotowano, że uderzyła już w cele rządowe, opiekę zdrowotną i infrastrukturę krytyczną w wielu krajach.

Światełko w tunelu w wariancie linuksowym

Komunikat wskazuje również na istotną słabość w linuksowym szyfratorze Gunra. Badacze odkryli, że proces szyfrowania pozostawia artefakty sygnatur czasowych plików, które w niektórych przypadkach mogą posłużyć do odtworzenia kluczy deszyfrujących bez płacenia atakującym. Dla organizacji korzystających z serwerów Linux, które zostały dotknięte tym konkretnym wariantem, otwiera to drogę do odzyskania zaszyfrowanych danych poprzez analizę kryminalistyczną zamiast negocjacji z grupą przestępczą.

Tego rodzaju błąd implementacyjny nie jest rzadkością w rodzinach ransomware, które ponownie wykorzystują lub adaptują wyciekły kod, i nie oznacza, że każda ofiara Gunra może odzyskać dane za darmo. Wydaje się, że szyfrator po stronie Windows nie ma tej samej słabości, a organizacje powinny traktować wszelkie próby odzyskania danych jako zadanie dla doświadczonych zespołów reagowania na incydenty, a nie samodzielną naprawę. Mimo to jest to rzadka dobra wiadomość w krajobrazie ransomware, w którym ofiary zwykle muszą wybierać między zapłaceniem a odbudową z kopii zapasowych.

Ten wybór ma znaczenie, ponieważ dowody coraz częściej pokazują, że płacenie nie rozwiązuje problemu w niezawodny sposób. Badanie Proofpoint wykazało, że płacenie gangom ransomware często przynosi odwrotny skutek — wiele organizacji zgłaszało, że mimo zapłaty nadal traciło dane, mierzyło się z ponownymi atakami lub nigdy nie otrzymało działających narzędzi deszyfrujących. Komunikat w sprawie Gunra potwierdza ten wzorzec: najbezpieczniejszym rozwiązaniem jest zapobieganie i możliwość odzyskania danych, a nie negocjacje.

Co to oznacza dla Ciebie

Większość czytelników tego komunikatu nie będzie bezpośrednim celem Gunra, ale płynąca z niego lekcja ma szerokie zastosowanie. MFA to kluczowa warstwa obrony, ale nie jest niezawodna, zwłaszcza gdy atakujący mogą dotrzeć do konfiguracji po stronie serwera, która ją egzekwuje. Jeśli zarządzasz systemami IT w firmie, szpitalu, szkole lub agencji samorządowej, ten komunikat jest sygnałem, aby sprawdzić, czy oprogramowanie układowe zapory sieciowej i urządzeń VPN jest aktualne, ponieważ początkowy dostęp Gunra opiera się w dużej mierze na znanych, możliwych do załatania lukach.

Dla zwykłych użytkowników wniosek jest mniej związany z tą konkretną rodziną ransomware, a bardziej z tym, jak obchodzisz się ze swoimi danymi. Regularne tworzenie kopii zapasowych ważnych plików w trybie offline pozostaje jedną z niewielu metod obrony, która działa niezależnie od tego, w jaki sposób atakujący dostanie się do środka. To, jak długo przechowujesz kopie wrażliwych plików i gdzie to robisz, wpływa również na Twoją ekspozycję, jeśli usługa, z której korzystasz, zostanie kiedykolwiek naruszona; zrozumienie własnych nawyków dotyczących przechowywania danych oraz nawyków platform, na których polegasz, to praktyczny krok w kierunku ograniczenia tego, co może ujawnić pojedynczy wyciek.

Kluczowe wnioski

Organizacje korzystające z wystawionych na działanie internetu urządzeń Fortinet lub Schneider Electric powinny natychmiast priorytetowo zająć się łataniem, ponieważ jest to udokumentowany punkt wejścia dla włamań Gunra. Zespoły IT powinny audytować konfiguracje uwierzytelniania po stronie serwera pod kątem nieautoryzowanych zmian, zamiast zakładać, że MFA działa tylko dlatego, że jest włączone. Administratorzy systemów Linux dotknięci atakiem Gunra powinni skonsultować się ze specjalistami od reagowania na incydenty, zanim uznają pliki za trwale utracone, biorąc pod uwagę opisaną w komunikacie lukę umożliwiającą odzyskanie danych na podstawie sygnatur czasowych. A dla wszystkich pozostałych ten komunikat jest kolejnym przypomnieniem, że ransomware Gunra i podobne grupy najczęściej odnoszą sukcesy wobec nieaktualnej infrastruktury, co sprawia, że zarządzanie poprawkami i dyscyplina w tworzeniu kopii zapasowych są cenniejsze niż jakiekolwiek pojedyncze narzędzie bezpieczeństwa.