A Cybersecurity and Infrastructure Security Agency (CISA), o FBI e seus parceiros governamentais divulgaram detalhes técnicos adicionais sobre como os agentes do ransomware Gunra invadem as redes das vítimas. De acordo com o último comunicado conjunto, os afiliados do Gunra estão obtendo sua posição inicial por meio de duas vulnerabilidades conhecidas em dispositivos voltados para a internet — o tipo de hardware de borda, gateways de VPN, firewalls e dispositivos de acesso remoto que ficam no perímetro da rede de praticamente todas as organizações.

Este é um acompanhamento de alertas anteriores sobre a operação de ransomware como serviço, que as agências já haviam sinalizado por visar o setor de saúde e por executar um agressivo esquema de dupla extorsão que combina roubo de dados com criptografia de arquivos. A nova orientação concentra-se na mecânica da intrusão em si, dando aos defensores uma visão mais clara de exatamente onde concentrar sua atenção.

As vulnerabilidades que os agentes do Gunra estão explorando

De acordo com o comunicado, os agentes do Gunra não estão recorrendo a novos exploits de dia zero. Em vez disso, estão explorando duas vulnerabilidades já conhecidas em dispositivos voltados para a internet, o software e os equipamentos que as organizações expõem à internet pública para permitir trabalho remoto, conectividade site a site ou serviços externos. Esse padrão é consistente com a forma como a maioria dos afiliados de ransomware como serviço opera: em vez de investir no desenvolvimento caro de exploits, eles escaneiam a internet em busca de sistemas sem correção e entram por portas que já deveriam ter sido fechadas. A lição para os defensores é direta. Vulnerabilidades conhecidas permanecem perigosas por muito tempo depois de serem divulgadas, porque os ciclos de aplicação de patches dentro das organizações reais costumam ser mais lentos do que o ritmo em que os atacantes transformam código de exploração público em arma.

Como o Gunra obtém uma posição inicial depois de entrar

Depois que os afiliados do Gunra exploram um desses pontos de entrada, eles usam esse acesso para avançar mais profundamente na rede. Dispositivos voltados para a internet, como concentradores de VPN e firewalls, são alvos atraentes precisamente porque comprometê-los muitas vezes concede um nível de confiança que os sistemas internos consideram legítimo. A partir daí, os agentes podem estabelecer persistência, coletar credenciais e começar a mapear a rede em preparação para as etapas de roubo de dados e criptografia que definem o modelo de dupla extorsão do Gunra. Como o comprometimento inicial ocorre na borda da rede, as organizações que tratam os dispositivos de perímetro como infraestrutura do tipo "configurar e esquecer" ficam especialmente expostas. Esses dispositivos muitas vezes são implantados uma única vez, configurados mais para disponibilidade do que para segurança, e permanecem em execução por anos sem uma revisão de firmware ou de patches.

Etapas de correção e configuração para fechar a brecha

A recomendação central do comunicado é uma que se aplica amplamente a campanhas de ransomware, não apenas ao Gunra: corrija prontamente os dispositivos voltados para a internet e priorize vulnerabilidades conhecidas e exploradas ativamente em vez de atualizações de rotina. As equipes de TI e segurança devem manter um inventário atualizado de todos os dispositivos expostos à internet, incluindo gateways de VPN, firewalls e ferramentas de acesso remoto, e confirmar que cada um esteja executando uma versão com suporte e atualizada. Quando a correção não puder ser aplicada imediatamente, as organizações devem considerar tirar o serviço afetado do ar ou restringir o acesso até que a correção seja aplicada. A autenticação multifator em todos os pontos de acesso remoto, combinada com registro e alertas sobre atividades de login incomuns, adiciona outra camada de resistência mesmo que um dispositivo tenha uma falha sem correção.

Por que o controle de acesso à VPN e a segmentação de rede limitam a propagação do ransomware

Mesmo com aplicação disciplinada de patches, nenhuma organização pode garantir exposição zero o tempo todo. É por isso que o controle de acesso e a segmentação importam tanto quanto a correção inicial. O acesso à VPN deve ser limitado de forma estrita, concedendo aos usuários apenas os segmentos de rede de que realmente precisam, em vez de acesso amplo a todo o ambiente. Segmentar redes para que um dispositivo de borda comprometido não consiga acessar diretamente sistemas sensíveis, servidores de backup ou controladores de domínio pode ser a diferença entre um incidente contido e um evento de ransomware em grande escala. Esses controles não impedem todas as invasões, mas retardam os atacantes e dão aos defensores tempo para detectar e responder antes que a criptografia e a exfiltração de dados ocorram.

O que isso significa para você

Para administradores de TI e equipes de segurança, este comunicado é um lembrete de que grupos de ransomware como o Gunra continuam obtendo sucesso explorando o básico: sistemas sem correção e acesso de rede excessivamente permissivo, e não ataques novos e sofisticados. A proteção eficaz contra o ransomware Gunra começa com uma auditoria honesta de todos os dispositivos que sua organização expõe à internet. Se você atua no setor de saúde ou em outro setor citado anteriormente nos comunicados sobre o Gunra, a urgência é ainda maior, pois o grupo já demonstrou disposição de visar especificamente esses ambientes.

Medidas práticas

As organizações devem inventariar todos os dispositivos voltados para a internet, incluindo gateways de VPN e firewalls, e confirmar a situação de patches em relação às vulnerabilidades conhecidas. Restrinja o acesso remoto com autenticação multifator e permissões de VPN com privilégio mínimo. Segmente as redes para que um único dispositivo comprometido não possa expor backups ou sistemas críticos. Revise os comunicados anteriores da CISA, do FBI e da NSA sobre o direcionamento do Gunra ao setor de saúde e suas táticas de dupla extorsão para obter os indicadores técnicos completos e a orientação setorial específica necessária para construir um plano de defesa completo.