Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), FBI ve hükümet ortakları, Gunra fidye yazılımı aktörlerinin kurban ağlarına nasıl sızdığına ilişkin ek teknik ayrıntılar yayımladı. En son ortak tavsiye belgesine göre Gunra bağlı kuruluşları, neredeyse her kuruluşun ağının çevresinde yer alan uç donanım, VPN ağ geçitleri, güvenlik duvarları ve uzaktan erişim cihazları türünden internete bakan cihazlardaki bilinen iki güvenlik açığı üzerinden ilk erişimlerini sağlıyor.
Bu, daha önce kurumların sağlık sektörünü hedef aldığı ve veri hırsızlığını dosya şifrelemeyle birleştiren agresif bir çifte gasp planı yürüttüğü konusunda uyardığı hizmet olarak fidye yazılımı operasyonuna ilişkin uyarıların devamı niteliğindedir. Yeni rehberlik, sızmanın mekaniğine odaklanarak savunmacılara dikkatlerini tam olarak nereye vermeleri gerektiği konusunda daha net bir resim sunuyor.
Gunra Aktörlerinin Yararlandığı Güvenlik Açıkları
Tavsiye belgesine göre Gunra aktörleri yeni sıfır gün açıklarına bel bağlamıyor. Bunun yerine, kuruluşların uzaktan çalışma, noktalar arası bağlantı veya dış hizmetler için genel internete açtığı yazılım ve cihazlar olan internete bakan cihazlardaki zaten bilinen iki güvenlik açığından yararlanıyor. Bu model, hizmet olarak fidye yazılımı bağlı kuruluşlarının çoğunun çalışma şekliyle tutarlıdır: pahalı istismar geliştirmeye yatırım yapmak yerine internette yama uygulanmamış sistemler tarar ve çoktan kapatılmış olması gereken kapılardan içeri girerler. Savunmacılar için ders açıktır. Bilinen güvenlik açıkları, açıklandıktan sonra uzun süre tehlikeli olmaya devam eder çünkü gerçek kuruluşlardaki yama döngüleri çoğu zaman saldırganların herkese açık istismar kodunu silahlandırma hızından daha yavaştır.
Gunra İçeri Sızdıktan Sonra Nasıl Yerleşiyor?
Gunra bağlı kuruluşları bu giriş noktalarından birini istismar ettiğinde, bu erişimi ağın derinliklerine ilerlemek için kullanır. VPN yoğunlaştırıcıları ve güvenlik duvarları gibi internete bakan cihazlar tam da bu nedenle cazip hedeflerdir; çünkü bunları ele geçirmek çoğu zaman iç sistemlerin meşru kabul ettiği bir güven düzeyi sağlar. Buradan itibaren aktörler kalıcılık sağlayabilir, kimlik bilgilerini toplayabilir ve Gunra'nın çifte gasp modelini tanımlayan veri hırsızlığı ve şifreleme aşamalarına hazırlık olarak ağı haritalamaya başlayabilir. İlk ele geçirme ağın ucunda gerçekleştiği için çevre cihazlarını 'kur ve unut' altyapısı olarak gören kuruluşlar özellikle açıkta kalır. Bu cihazlar genellikle bir kez devreye alınır, güvenlik yerine kesintisiz çalışmaya göre yapılandırılır ve yıllarca bellenim veya yama incelemesi yapılmadan çalışır durumda bırakılır.
Açığı Kapatmak için Yama ve Yapılandırma Adımları
Tavsiye belgesinin temel önerisi yalnızca Gunra'ya değil, genel olarak fidye yazılımı kampanyalarına da uygulanabilecek bir öneridir: internete bakan cihazlara derhal yama uygulayın ve bilinen, aktif olarak istismar edilen güvenlik açıklarına rutin güncellemelerden önce öncelik verin. BT ve güvenlik ekipleri VPN ağ geçitleri, güvenlik duvarları ve uzaktan erişim araçları da dahil olmak üzere internete açık her cihazın güncel bir envanterini tutmalı ve her birinin desteklenen, güncellenmiş bir sürüm çalıştırdığını doğrulamalıdır. Yamanın hemen uygulanamadığı durumlarda kuruluşlar, bir düzeltme uygulanana kadar etkilenen hizmeti çevrimdışına almayı veya erişimi kısıtlamayı değerlendirmelidir. Tüm uzaktan erişim noktalarında çok faktörlü kimlik doğrulama ile olağan dışı oturum açma etkinliklerine ilişkin günlük kaydı ve uyarılar, bir cihazda yama uygulanmamış bir açık olsa bile ek bir direnç katmanı ekler.
VPN Erişim Kontrolü ve Ağ Segmentasyonu Fidye Yazılımının Yayılmasını Neden Sınırlar?
Disiplinli yama yönetimi uygulansa bile hiçbir kuruluş her zaman sıfır maruziyet garanti edemez. Bu nedenle erişim kontrolü ve segmentasyon, ilk düzeltme kadar önemlidir. VPN erişimi sıkı şekilde kapsamlandırılmalı; kullanıcılara tüm ortama geniş erişim yerine yalnızca gerçekten ihtiyaç duydukları ağ segmentleri verilmelidir. Ağları, ele geçirilmiş bir uç cihazın hassas sistemlere, yedekleme sunucularına veya etki alanı denetleyicilerine doğrudan erişemeyeceği şekilde segmentlere ayırmak, kontrol altına alınmış bir olay ile tam ölçekli bir fidye yazılımı olayı arasındaki fark olabilir. Bu kontroller her sızmayı önlemez ancak saldırganları yavaşlatır ve savunmacılara şifreleme ile veri sızıntısı gerçekleşmeden önce tespit edip yanıt vermeleri için zaman kazandırır.
Bu Sizin İçin Ne Anlama Geliyor?
BT yöneticileri ve güvenlik ekipleri için bu tavsiye belgesi, Gunra gibi fidye yazılımı gruplarının karmaşık yeni saldırılar değil, yama uygulanmamış sistemler ve aşırı izin veren ağ erişimi gibi temel unsurları istismar ederek başarılı olmaya devam ettiğini hatırlatan bir uyarıdır. Etkili Gunra fidye yazılımı koruması, kuruluşunuzun internete açtığı her cihazın dürüst bir denetimiyle başlar. Sağlık sektöründe veya daha önce Gunra tavsiye belgelerinde adı geçen başka bir sektörde faaliyet gösteriyorsanız aciliyet daha da yüksektir çünkü grup bu ortamları özellikle hedef alma isteğini zaten göstermiştir.
Uygulanabilir Öneriler
Kuruluşlar, VPN ağ geçitleri ve güvenlik duvarları dahil tüm internete bakan cihazların envanterini çıkarmalı ve bilinen güvenlik açıklarına karşı yama durumunu doğrulamalıdır. Uzaktan erişimi çok faktörlü kimlik doğrulama ve en az ayrıcalıklı VPN izinleriyle kısıtlayın. Ağları, ele geçirilmiş tek bir cihazın yedekleri veya kritik sistemleri açığa çıkaramayacağı şekilde segmentlere ayırın. Eksiksiz bir savunma planı oluşturmak için gereken tüm teknik göstergeler ve sektöre özgü rehberlik için CISA, FBI ve NSA'nın Gunra'nın sağlık sektörünü hedef alması ve çifte gasp taktiklerine ilişkin daha önceki tavsiye belgelerini inceleyin.
