ФБР, CISA и несколько агентств-партнеров выпустили совместное консультативное уведомление о программе-вымогателе Gunra — группе, которая тихо завоевывает репутацию одной из наиболее агрессивных операций с двойным вымогательством, нацеленных на правительственные учреждения и организации критической инфраструктуры. Если вы не следили за Gunra внимательно, это уведомление стоит понять не потому, что оно должно вызывать тревогу, а потому, что оно проясняет, как действует эта группа и что организации и частные лица могут сделать, чтобы снизить свою подверженность риску.

Что подтверждает уведомление ФБР о Gunra

Программа-вымогатель Gunra активна с апреля 2025 года, и, согласно сообщениям, ее код восходит к утекшему исходному коду Conti — связь, которая помогает объяснить, почему вредоносное ПО ведет себя именно так. Вместо того чтобы действовать как единая закрытая группа, Gunra превратилась в модель вымогатель-как-услуга, что означает, что основные разработчики лицензируют или делятся своими инструментами с партнерами, которые осуществляют фактические атаки. Такая структура позволяет Gunra быстро расширять охват, поскольку больше партнеров означает больше попыток вторжений в большем числе секторов.

Само уведомление было выпущено совместно ФБР, CISA, Центром киберпреступности Министерства обороны, АНБ, Секретной службой США и национальным агентством кибербезопасности Южной Кореи — уровень международной координации, который сигнализирует о том, насколько серьезно эти агентства относятся к угрозе. Более подробную информацию о масштабах этой координации см. в более раннем материале о совместном уведомлении CISA и ФБР от августа 2026 года о программе-вымогателе Gunra.

Восемь фактов, которые стоит знать

  1. Gunra активна с апреля 2025 года и имеет общую линию кода с печально известным семейством программ-вымогателей Conti.
  2. В настоящее время она работает как платформа вымогатель-как-услуга, что означает, что несколько групп-партнеров могут запускать атаки с использованием одних и тех же базовых инструментов.
  3. Среди партнеров, по сообщениям, есть лица с опытом в области тестирования на проникновение и этичного взлома, что стирает грань между легитимными навыками в области безопасности и преступным использованием.
  4. Группа использует модель двойного вымогательства, шифруя данные жертв, а также похищая их копии, а затем угрожая опубликовать украденные файлы, если выкуп не будет выплачен.
  5. Правительственные учреждения и организации критической инфраструктуры названы конкретными целями, а не только частные предприятия.
  6. Партнеры Gunra использовали уязвимости, доступные через интернет, для получения первоначального доступа к сетям жертв — тактика, более подробно описанная в материале о двух уязвимостях, которые, по словам CISA и ФБР, способствуют атакам Gunra.
  7. В некоторых случаях операторы Gunra находили способы обходить защиту многофакторной аутентификации — событие, освещенное в отчете о том, как Gunra обходит MFA, и связанной ошибке Linux, позволяющей бесплатное восстановление.
  8. Подход с двойным вымогательством со временем усилился: группа все больше полагается на угрозу публичной утечки данных как на рычаг давления — тенденция, задокументированная в материале о активизировавшихся атаках Gunra с двойным вымогательством.

Риски для конфиденциальности и утечки данных

Модель двойного вымогательства делает Gunra особенно актуальной с точки зрения конфиденциальности, отдельно от операционных сбоев, которые обычно вызывает вымогательское ПО. Когда злоумышленники похищают данные до их шифрования, риск выходит далеко за пределы непосредственно пострадавшей организации. Правительственные учреждения и операторы критической инфраструктуры часто хранят чувствительные записи, связанные с сотрудниками, подрядчиками и представителями общественности. Если эти данные будут вывезены и впоследствии опубликованы или проданы из-за невыплаченного выкупа, подверженность риску может затронуть людей, которые не имели прямого отношения к взломанной организации и не могли предотвратить это сами.

Именно поэтому консультативные уведомления о вымогателях все чаще делают акцент на предотвращении и быстром обнаружении, а не только на надежде, что выплата выкупа действительно остановит утечку данных. Нет никакой гарантии, что выплата выкупа предотвратит публикацию, и агентства обычно не рекомендуют платить по этой причине.

Что это значит для вас

Большинство читателей не будут напрямую защищать правительственную сеть от Gunra, но уведомление все же имеет практическое значение. Если вы взаимодействуете с государственными услугами, работаете на поставщика критической инфраструктуры или просто делитесь личной информацией с организациями в секторах, которые Gunra нацелила, ваши данные теоретически могут быть захвачены в ходе будущего инцидента, связанного с этой группой или аналогичными операторами, использующими ту же схему вымогатель-как-услуга. Понимание того, как Gunra получает доступ — через уязвимости, доступные через интернет, и в некоторых случаях через обход многофакторной аутентификации, — помогает объяснить, почему надежная безопасность учетных записей и своевременное обновление программного обеспечения остаются наиболее эффективными средствами защиты, доступными как организациям, так и частным лицам.

Для ИТ-отделов и команд безопасности детали уведомления о найме партнеров и методах первоначального доступа напоминают о том, что группы вымогатель-как-услуга масштабируются быстро, потому что барьер для становления партнером низок. Защита от Gunra означает защиту от широкого круга субъектов, использующих один и тот же базовый набор инструментов, а не только от одной группы.

Практические выводы

Организациям следует оперативно уделять приоритетное внимание обновлению систем, доступных через интернет, поскольку партнеры Gunra полагались на известные уязвимости для получения доступа. Многофакторная аутентификация должна быть включена везде, где это возможно, но не должна рассматриваться как незыблемая гарантия сама по себе. Регулярное тестирование процессов резервного копирования и восстановления важно как никогда, поскольку двойное вымогательство означает, что хорошая резервная копия не полностью устраняет риск утечки данных. Частным лицам следует сохранять бдительность в отношении уведомлений об утечках от государственных учреждений или поставщиков услуг, которыми они пользуются, и рассмотреть возможность мониторинга признаков того, что их личная информация появилась в утечке. Консультативное уведомление о программе-вымогателе Gunra — это полезная контрольная точка для пересмотра этих основ, а не повод для паники, и организации, которые воспользуются его выводами сейчас, будут лучше подготовлены, если Gunra или аналогичный оператор постучится в их дверь.