Агентство по кибербезопасности и защите инфраструктуры (CISA), ФБР и их правительственные партнеры опубликовали дополнительные технические сведения о том, как операторы программы-вымогателя Gunra проникают в сети жертв. Согласно последнему совместному уведомлению, партнеры Gunra получают первоначальный доступ через две известные уязвимости в устройствах, доступных из интернета, — именно в том периметровом оборудовании, VPN-шлюзах, межсетевых экранах и средствах удаленного доступа, которые находятся на границе сети практически каждой организации.
Это продолжение ранее выпущенных предупреждений об операции по модели «программа-вымогатель как услуга», которую ведомства ранее отмечали за нацеливание на сектор здравоохранения и за проведение агрессивной схемы двойного вымогательства, сочетающей кражу данных с шифрованием файлов. Новое руководство сосредоточено на механике самого вторжения, давая защитникам более четкое представление о том, куда именно следует направить внимание.
Уязвимости, которые эксплуатируют операторы Gunra
Согласно уведомлению, операторы Gunra не используют новые уязвимости нулевого дня. Вместо этого они эксплуатируют две уже известные уязвимости в устройствах, доступных из интернета, — в программном обеспечении и оборудовании, которые организации открывают в публичный интернет для обеспечения удаленной работы, связи между площадками или внешних сервисов. Такая модель соответствует тому, как действует большинство партнеров в рамках модели «программа-вымогатель как услуга»: вместо инвестиций в дорогую разработку эксплойтов они сканируют интернет на предмет необновленных систем и проходят через двери, которые уже должны были быть закрыты. Вывод для защитников прост. Известные уязвимости остаются опасными еще долго после раскрытия, потому что циклы установки обновлений в реальных организациях часто медленнее, чем темп, с которым злоумышленники превращают публичный эксплойт-код в оружие.
Как Gunra закрепляется в сети после проникновения
После того как партнеры Gunra эксплуатируют одну из этих точек входа, они используют полученный доступ для продвижения вглубь сети. Устройства, доступные из интернета, такие как VPN-концентраторы и межсетевые экраны, являются привлекательными целями именно потому, что их компрометация часто дает уровень доверия, который внутренние системы считают легитимным. Оттуда злоумышленники могут закрепляться в системе, собирать учетные данные и начинать картографирование сети, готовясь к этапам кражи данных и шифрования, характерным для модели двойного вымогательства Gunra. Поскольку первоначальная компрометация происходит на границе сети, организации, которые относятся к периметровым устройствам как к инфраструктуре «установил и забыл», особенно уязвимы. Такие устройства часто развертывают один раз, настраивают в первую очередь на бесперебойную работу, а не на безопасность, и годами эксплуатируют без проверки прошивки или обновлений.
Шаги по установке исправлений и настройке для устранения бреши
Основная рекомендация уведомления применима в целом к кампаниям программ-вымогателей, а не только к Gunra: своевременно устанавливайте исправления на устройства, доступные из интернета, и ставьте известные активно эксплуатируемые уязвимости выше рутинных обновлений. ИТ-командам и командам безопасности следует вести актуальный реестр всех устройств, открытых в интернет, включая VPN-шлюзы, межсетевые экраны и средства удаленного доступа, и проверять, что на каждом из них установлена поддерживаемая обновленная версия. Если исправление невозможно установить немедленно, организациям стоит рассмотреть отключение затронутого сервиса или ограничение доступа до применения исправления. Многофакторная аутентификация на всех точках удаленного доступа в сочетании с журналированием и оповещениями о необычной активности входа добавляет еще один уровень защиты, даже если в устройстве есть неисправленная уязвимость.
Почему контроль доступа к VPN и сегментация сети ограничивают распространение программ-вымогателей
Даже при дисциплинированном подходе к установке исправлений ни одна организация не может гарантировать нулевую подверженность в любой момент времени. Поэтому контроль доступа и сегментация важны не меньше, чем первоначальное исправление. Доступ по VPN следует ограничивать строго: пользователям нужно предоставлять только те сегменты сети, которые им действительно нужны, а не широкий доступ ко всей среде. Сегментация сети, при которой скомпрометированное периметровое устройство не может напрямую обращаться к чувствительным системам, резервным серверам или контроллерам домена, может стать разницей между локализованным инцидентом и полномасштабной атакой программы-вымогателя. Эти меры не предотвращают каждое вторжение, но замедляют злоумышленников и дают защитникам время обнаружить угрозу и отреагировать до того, как произойдут шифрование и кража данных.
Что это значит для вас
Для ИТ-администраторов и команд безопасности это уведомление — напоминание о том, что группы вымогателей, такие как Gunra, продолжают добиваться успеха, эксплуатируя базовые вещи: необновленные системы и чрезмерно широкие права сетевого доступа, а не изощренные новые атаки. Эффективная защита от программы-вымогателя Gunra начинается с честного аудита каждого устройства, которое ваша организация открывает в интернет. Если вы работаете в здравоохранении или другом секторе, ранее упомянутом в уведомлениях о Gunra, срочность еще выше, поскольку группа уже продемонстрировала готовность целенаправленно атаковать именно такие среды.
Практические выводы
Организациям следует провести инвентаризацию всех устройств, доступных из интернета, включая VPN-шлюзы и межсетевые экраны, и проверить состояние установки исправлений против известных уязвимостей. Ограничьте удаленный доступ с помощью многофакторной аутентификации и минимально необходимых прав в VPN. Сегментируйте сети так, чтобы одно скомпрометированное устройство не могло открыть доступ к резервным копиям или критическим системам. Ознакомьтесь с более ранними уведомлениями CISA, ФБР и АНБ о нацеливании Gunra на здравоохранение и тактике двойного вымогательства, чтобы получить полные технические индикаторы и отраслевые рекомендации, необходимые для построения комплексного плана защиты.
