Что изменилось: переход Gunra на модель RaaS

ФБР выпустило новое предупреждение о программе-вымогателе Gunra, угрозе, которая быстро эволюционировала из деятельности одной группы в полноценный бизнес по модели «программы-вымогателя как услуги» (RaaS). На практике это означает, что исходные разработчики Gunra больше не единственные, кто запускает атаки. Теперь они лицензируют или сдают в аренду свое вредоносное ПО и инфраструктуру партнёрам (аффилиатам), преступным сообщникам, которые осуществляют непосредственные вторжения и делят прибыль с основной группой.

Этот сдвиг важен, поскольку модели RaaS, как правило, ускоряют масштаб и охват атаки. Вместо одной команды, медленно выбирающей цели, десятки независимых аффилиатов теперь могут одновременно развертывать одно и то же вымогательское ПО в разных отраслях и регионах, каждый со своими методами проникновения в сети. В уведомлении ФБР подтверждается, что Gunra продолжает использовать подход двойного вымогательства: шифрует данные жертвы, одновременно похищая их копии, а затем угрожает опубликовать украденные файлы на специальном сайте утечек, если не будет выплачен выкуп.

Чтобы узнать, как Gunra создавала свою репутацию до этого расширения, наш предыдущий материал о атаках Gunra с двойным вымогательством рассказал о том, как группа впервые привлекла внимание исследователей, быстро распространяясь по многим секторам.

Почему двойное вымогательство ломает защиту «просто восстановите из резервной копии»

В течение многих лет стандартный совет по переживанию атаки вымогателей был прост: делайте хорошие резервные копии, и если вас атакуют, очистите зараженные системы и восстановите из чистой копии. Этот совет по-прежнему важен, но он больше не решает всю проблему. Двойное вымогательство Gunra специально разработано, чтобы обойти его.

Вот почему. Даже если организация-жертва может полностью восстановить свои системы из резервной копии и никогда не платить за разблокировку собственных файлов, злоумышленники уже похитили копию этих конфиденциальных данных до шифрования. Резервные копии защищают от потери данных, но ничего не делают, чтобы остановить утечку или продажу украденных файлов. Сайт утечек Gunra существует именно для того, чтобы оказывать этот второй уровень давления: платите, или ваши записи о клиентах, финансовые документы или внутренние коммуникации станут достоянием общественности.

Это основная причина, по которой команды безопасности теперь говорят о вымогателях с точки зрения кражи данных и их раскрытия, а не только простоя системы. Быстрое восстановление операций по-прежнему ценно, но оно не устраняет рычаг давления, который есть у злоумышленников, как только они завладели копией ваших данных.

Кто в группе риска по мере масштабирования аффилиатов Gunra

Поскольку Gunra теперь действует в структуре RaaS, круг ее потенциальных жертв, вероятно, расширится. Аффилиаты RaaS, как правило, действуют оппортунистически: они не всегда нацелены на конкретную отрасль, а вместо этого преследуют те организации, которые демонстрируют эксплуатируемые слабости, такие как открытые точки удаленного доступа, неустраненное программное обеспечение или слабая гигиена учетных данных. Это означает, что организации разного размера и из разных секторов, а не только крупные предприятия, могут оказаться под прицелом просто потому, что представляют более легкий путь для входа.

Предупреждение ФБР — это сигнал о том, что специалисты по защите в государственном секторе, здравоохранении, финансах и других отраслях должны рассматривать Gunra как активную, развивающуюся угрозу, а не как узкоспециализированную проблему. По мере того как все больше аффилиатов будут использовать инструменты группы, объем и разнообразие атак, приписываемых Gunra, вероятно, будут расти.

Построение эшелонированной стратегии защиты

Ни один отдельный инструмент не остановит вымогателей сам по себе, и это относится и к VPN. VPN может помочь защитить данные при передаче и уменьшить подверженность внутренних сетевых ресурсов открытому интернету, но он не помешает злоумышленнику украсть файлы, если он уже находится внутри скомпрометированной системы. Настоящий ответ — это многоуровневая защита.

Несколько практических уровней, которые стоит приоритизировать:

  • Надежные автономные резервные копии: Держите резервные копии изолированными от основной сети, чтобы вымогатели не могли добраться до них и зашифровать их тоже.
  • Минимизация данных: Храните только те конфиденциальные данные, которые вам действительно нужны, а остальное удаляйте или архивируйте. Злоумышленники не могут раскрыть то, чего у вас нет.
  • Сегментация сети и контроль доступа: Ограничьте латеральное перемещение, чтобы одна скомпрометированная учетная запись не могла добраться до всей вашей сети.
  • Инструменты приватности на уровне сети: VPN и решения для безопасного удаленного доступа уменьшают поверхность атаки, открытую в интернете, что затрудняет аффилиатам поиск легкой точки входа.
  • Управление исправлениями: Многие аффилиаты RaaS используют известные, неисправленные уязвимости, а не новые методы, поэтому своевременное обновление закрывает легкую дверь.

Что это значит для вас

Управляете ли вы ИТ для малого бизнеса или просто своими собственными устройствами, модель двойного вымогательства Gunra служит напоминанием о том, что защита данных — это не только восстановление. Речь идет об ограничении того, что злоумышленники могут украсть в первую очередь, и уменьшении подверженности ваших систем оппортунистическому сканированию и эксплуатации — именно той активности, которую обычно порождает растущая сеть аффилиатов.

Ключевые выводы

  • Программа-вымогатель Gunra перешла на модель RaaS, что означает, что теперь больше аффилиатов могут запускать атаки, используя ее инструменты.
  • Двойное вымогательство означает, что оплата за расшифровку не предотвращает утечку украденных данных.
  • Резервные копии остаются необходимыми, но должны сочетаться с минимизацией данных и контролем доступа.
  • Инструменты сетевой приватности, такие как VPN, являются одним из уровней защиты, а не полным решением.
  • Своевременное обновление исправлений и ограничение открытых в интернете сервисов снижают вероятность стать легкой целью для масштабирующихся аффилиатов.