Agenția pentru Securitatea Cibernetică și a Infrastructurii (CISA), FBI și partenerii lor guvernamentali au publicat detalii tehnice suplimentare despre modul în care actorii ransomware Gunra pătrund în rețelele victimelor. Potrivit celui mai recent aviz comun, afiliații Gunra obțin accesul inițial prin două vulnerabilități cunoscute din dispozitivele expuse la internet, genul acela de echipamente de margine, gateway-uri VPN, firewall-uri și echipamente de acces la distanță, care se află la perimetrul rețelei aproape oricărei organizații.

Aceasta este o continuare a avertizărilor anterioare legate de operațiunea de ransomware ca serviciu, pe care agențiile au evidențiat-o anterior pentru vizarea sectorului sănătății și pentru derularea unei scheme agresive de dublă extorcare care combină furtul de date cu criptarea fișierelor. Noile îndrumări se concentrează pe mecanica intruziunii în sine, oferindu-le apărătorilor o imagine mai clară a locului exact în care ar trebui să își concentreze atenția.

Vulnerabilitățile pe care le exploatează actorii Gunra

Conform avizului, actorii Gunra nu se bazează pe exploatări noi de tip zero-day. În schimb, ei exploatează două vulnerabilități deja cunoscute din dispozitivele expuse la internet, aplicațiile și echipamentele pe care organizațiile le expun pe internetul public pentru a permite munca de la distanță, conectivitatea între site-uri sau serviciile externe. Acest tipar este consecvent cu modul în care operează majoritatea afiliaților ransomware ca serviciu: în loc să investească în dezvoltarea costisitoare de exploituri, ei scanează internetul pentru sisteme nepeticite și intră pe uși care ar fi trebuit deja închise. Lecția pentru apărători este simplă. Vulnerabilitățile cunoscute rămân periculoase mult timp după ce sunt dezvăluite, deoarece ciclurile de aplicare a patch-urilor din organizațiile reale sunt adesea mai lente decât ritmul în care atacatorii transformă codul de exploatare public în armă.

Cum obține Gunra un punct de sprijin după ce intră

După ce afiliații Gunra exploatează unul dintre aceste puncte de intrare, folosesc accesul respectiv pentru a avansa mai adânc în rețea. Dispozitivele expuse la internet, cum ar fi concentratoarele VPN și firewall-urile, sunt ținte atractive tocmai pentru că, de multe ori, compromiterea lor oferă un nivel de încredere pe care sistemele interne îl consideră legitim. De acolo, actorii pot stabili persistență, pot colecta credențiale și pot începe cartografierea rețelei în pregătirea etapelor de furt de date și criptare care definesc modelul de dublă extorcare al Gunra. Deoarece compromiterea inițială are loc la marginea rețelei, organizațiile care tratează dispozitivele de perimetru ca pe o infrastructură de tip „configurezi și uiți” sunt deosebit de expuse. Aceste dispozitive sunt adesea implementate o singură dată, configurate pentru disponibilitate în loc de securitate și lăsate să funcționeze ani de zile fără o revizuire a firmware-ului sau a patch-urilor.

Pași de aplicare a patch-urilor și de configurare pentru a elimina lacunele

Recomandarea centrală a avizului este una care se aplică în general campaniilor de ransomware, nu doar Gunra: aplicați patch-uri prompt dispozitivelor expuse la internet și prioritizați vulnerabilitățile cunoscute, exploatate activ, înaintea actualizărilor de rutină. Echipele IT și de securitate ar trebui să mențină un inventar actualizat al fiecărui dispozitiv expus la internet, inclusiv gateway-uri VPN, firewall-uri și instrumente de acces la distanță, și să confirme că fiecare rulează o versiune acceptată și actualizată. Acolo unde aplicarea patch-urilor nu poate avea loc imediat, organizațiile ar trebui să ia în considerare scoaterea serviciului afectat offline sau restricționarea accesului până când se aplică o remediere. Autentificarea cu mai mulți factori pe toate punctele de acces la distanță, combinată cu jurnalizarea și alertarea pentru activități de conectare neobișnuite, adaugă un alt strat de rezistență chiar dacă un dispozitiv are o vulnerabilitate nepeticită.

De ce controlul accesului VPN și segmentarea rețelei limitează răspândirea ransomware

Chiar și cu o aplicare disciplinată a patch-urilor, nicio organizație nu poate garanta expunere zero în orice moment. De aceea, controlul accesului și segmentarea contează la fel de mult ca remedierea inițială. Accesul VPN ar trebui limitat strict, utilizatorii primind doar segmentele de rețea de care au nevoie cu adevărat, nu acces larg la întregul mediu. Segmentarea rețelelor astfel încât un dispozitiv de margine compromis să nu poată ajunge direct la sisteme sensibile, servere de backup sau controlere de domeniu poate face diferența dintre un incident izolat și un eveniment ransomware la scară largă. Aceste controale nu previn orice intruziune, dar îi încetinesc pe atacatori și oferă apărătorilor timp să detecteze și să răspundă înainte să aibă loc criptarea și exfiltrarea datelor.

Ce înseamnă acest lucru pentru tine

Pentru administratorii IT și echipele de securitate, acest aviz este o reamintire că grupările de ransomware precum Gunra continuă să aibă succes exploatând elementele de bază: sisteme nepeticite și acces de rețea prea permisiv, nu atacuri noi sofisticate. Protecția eficientă împotriva ransomware-ului Gunra începe cu un audit onest al fiecărui dispozitiv pe care organizația ta îl expune la internet. Dacă activezi în domeniul sănătății sau în alt sector menționat anterior în avizele despre Gunra, urgența este și mai mare, deoarece gruparea a demonstrat deja că este dispusă să vizeze în mod specific acele medii.

Recomandări practice

Inventariați toate dispozitivele expuse la internet, inclusiv gateway-urile VPN și firewall-urile, și confirmați starea patch-urilor în raport cu vulnerabilitățile cunoscute. Restricționați accesul de la distanță cu autentificare cu mai mulți factori și permisiuni VPN cu privilegiu minim. Segmentați rețelele astfel încât un singur dispozitiv compromis să nu poată expune backup-urile sau sistemele critice. Revedeți avizele anterioare CISA, FBI și NSA privind vizarea sectorului sănătății și tacticile de dublă extorcare ale Gunra pentru indicatorii tehnici completi și îndrumările specifice sectorului necesare pentru a construi un plan de apărare complet.