Ce s-a schimbat: trecerea Gunra la un model RaaS

FBI a emis o nouă avertizare cu privire la ransomware-ul Gunra, o amenințare care a evoluat rapid de la operațiunea unui singur grup la o afacere completă de tip ransomware-as-a-service (RaaS). În termeni practici, asta înseamnă că dezvoltatorii originali din spatele Gunra nu mai sunt singurii care lansează atacuri. Acum își licențiază sau închiriază malware-ul și infrastructura către afiliați, parteneri criminali care realizează intruziunile efective și împart profiturile cu grupul central.

Această schimbare contează deoarece modelele RaaS tind să accelereze amploarea și raza unui atac. În loc ca o singură echipă să vizeze lent victimele, zeci de afiliați independenți pot implementa acum același ransomware simultan în diferite industrii și regiuni, fiecare aducând propriile tehnici de pătrundere în rețele. Avertismentul FBI confirmă că Gunra continuă să se bazeze pe o abordare de dublă extorcare: criptează datele victimei și, în același timp, fură copii ale acestora, apoi amenință că publică fișierele furate pe un site de publicare dedicat dacă nu este plătită o răscumpărare.

Pentru context despre cum Gunra și-a construit reputația înainte de această extindere, articolul nostru anterior despre atacurile de dublă extorcare ale Gunra a explicat cum grupul a atras mai întâi atenția cercetătorilor răspândindu-se rapid în mai multe sectoare.

De ce dubla extorcare învinge apărarea de tip „doar restaurează din backup”

Timp de ani de zile, sfatul standard pentru a supraviețui unui atac ransomware era simplu: păstrează backup-uri bune, iar dacă ești lovit, șterge sistemele infectate și restaurează dintr-o copie curată. Acest sfat contează în continuare, dar nu mai rezolvă întreaga problemă. Ransomware-ul Gunra cu dublă extorcare este conceput special pentru a-l învinge.

Iată de ce. Chiar dacă o organizație victimă își poate restaura complet sistemele din backup și nu plătește niciodată pentru a-și debloca propriile fișiere, atacatorii au exfiltrat deja o copie a acelor date sensibile înainte de a cripta ceva. Backup-urile protejează împotriva pierderii datelor, dar nu fac nimic pentru a opri fișierele furate să fie publicate sau vândute. Site-ul de publicare al Gunra există tocmai pentru a aplica acel al doilea strat de presiune: plătește sau înregistrările clienților, documentele financiare sau comunicațiile interne devin publice.

Acesta este motivul principal pentru care echipele de securitate vorbesc acum despre ransomware în termeni de furt de date și expunere, nu doar de întreruperea sistemelor. Restaurarea rapidă a operațiunilor este în continuare valoroasă, dar nu elimină pârghia pe care o au atacatorii odată ce dețin o copie a datelor tale.

Cine este expus riscului pe măsură ce afiliații Gunra își extind activitatea

Deoarece Gunra operează acum într-o structură RaaS, grupul său de potențiale victime este probabil să se lărgească. Afiliații RaaS sunt de obicei oportuniști; nu vizează întotdeauna o industrie anume, ci se orientează către organizațiile care prezintă slăbiciuni exploatabile, precum puncte de acces la distanță expuse, software neactualizat sau o igienă slabă a acreditărilor. Asta înseamnă că organizații de diferite dimensiuni și din diferite sectoare, nu doar întreprinderile mari, pot ajunge în vizor pur și simplu pentru că oferă o cale de intrare mai ușoară.

Avertismentul FBI este un semnal că apărătorii din guvern, sănătate, finanțe și alte sectoare ar trebui să trateze Gunra ca pe o amenințare activă și în evoluție, nu ca pe o problemă de nișă. Pe măsură ce mai mulți afiliați adoptă instrumentele grupului, volumul și varietatea atacurilor atribuite Gunra sunt susceptibile să crească.

Construirea unei strategii de apărare în profunzime

Niciun instrument nu oprește ransomware-ul de unul singur, iar asta include un VPN. Un VPN poate ajuta la protejarea datelor în tranzit și la reducerea expunerii resurselor rețelei interne la internetul deschis, dar nu va împiedica un atacator să fure fișiere odată ce acesta se află deja în interiorul unui sistem compromis. Răspunsul real este apărarea stratificată.

Câteva straturi practice care merită prioritizate:

  • Backup-uri fiabile, offline: Păstrează backup-urile izolate de rețeaua principală, astfel încât ransomware-ul să nu poată ajunge la ele și să le cripteze la rândul lui.
  • Minimizarea datelor: Stochează doar datele sensibile de care ai cu adevărat nevoie și șterge sau arhivează restul. Atacatorii nu pot publica ceea ce nu deții.
  • Segmentarea rețelei și controale de acces: Limitează mișcarea laterală, astfel încât un singur cont compromis să nu poată ajunge la întreaga rețea.
  • Instrumente de confidențialitate la nivel de rețea: VPN-urile și soluțiile de acces securizat de la distanță reduc suprafața de atac expusă la internet, făcând mai greu pentru afiliați să găsească un punct de intrare ușor.
  • Gestionarea patch-urilor: Mulți afiliați RaaS exploatează vulnerabilități cunoscute și necorectate, mai degrabă decât tehnici noi, așa că menținerea actualizărilor la zi închide o ușă ușoară.

Ce înseamnă acest lucru pentru tine

Fie că administrezi IT-ul pentru o afacere mică sau pur și simplu îți gestionezi propriile dispozitive, modelul de dublă extorcare al ransomware-ului Gunra este un memento că protecția datelor înseamnă mai mult decât recuperare. Înseamnă să limitezi ceea ce atacatorii pot fura în primul rând și să reduci cât de expuse sunt sistemele tale la scanările și exploatările oportuniste, exact tipul de activitate pe care tinde să o producă o rețea de afiliați în creștere.

Concluzii cheie

  • Ransomware-ul Gunra a trecut la un model RaaS, ceea ce înseamnă că mai mulți afiliați pot lansa acum atacuri folosind instrumentele sale.
  • Dubla extorcare înseamnă că plata pentru decriptare nu împiedică publicarea datelor furate.
  • Backup-urile rămân esențiale, dar trebuie combinate cu minimizarea datelor și controale de acces.
  • Instrumentele de confidențialitate a rețelei, precum VPN-urile, reprezintă un singur strat de apărare, nu o soluție completă.
  • Menținerea patch-urilor la zi și limitarea serviciilor expuse la internet reduc șansele de a deveni o țintă ușoară pentru afiliații care își extind activitatea.