Ne Değişti: Gunra'nın RaaS Modeline Geçişi

FBI, tek bir grubun operasyonundan hızla tam bir hizmet olarak fidye yazılımı (RaaS) işine dönüşen bir tehdit olan Gunra fidye yazılımı hakkında yeni bir uyarı yayımladı. Pratik anlamda bu, Gunra'nın arkasındaki orijinal geliştiricilerin artık saldırıları başlatan tek kişiler olmadığı anlamına geliyor. Artık kötü amaçlı yazılımlarını ve altyapılarını, asıl sızmaları gerçekleştiren ve kârı çekirdek grupla paylaşan suç ortakları olan bağlı kuruluşlara lisanslıyor veya kiralıyorlar.

Bu değişim önemli çünkü RaaS modelleri bir saldırının ölçeğini ve erişimini hızlandırma eğilimindedir. Tek bir ekibin hedefleri yavaşça seçmesi yerine, düzinelerce bağımsız bağlı kuruluş artık aynı fidye yazılımını farklı sektörler ve bölgeler arasında eş zamanlı olarak kullanabilir; her biri ağlara sızmak için kendi tekniklerini getirir. FBI'ın danışma bildirimi, Gunra'nın çifte şantaj yaklaşımına dayanmaya devam ettiğini doğruluyor: kurbanın verilerini şifrelerken aynı zamanda kopyalarını çalmak ve ardından fidye ödenmezse çalınan dosyaları özel bir sızıntı sitesinde yayımlamakla tehdit etmek.

Bu genişlemeden önce Gunra'nın itibarını nasıl inşa ettiğine dair arka plan için, Gunra'nın çifte şantaj saldırıları hakkındaki önceki haberimiz, grubun birçok sektöre hızla yayılarak araştırmacıların dikkatini ilk kez nasıl çektiğini ele almıştı.

Çifte Şantaj Neden 'Yedekten Geri Yükle' Savunmasını Boşa Çıkarıyor

Yıllardır bir fidye yazılımı saldırısından kurtulmanın standart tavsiyesi basitti: iyi yedekler tutun; saldırıya uğrarsanız, etkilenen sistemleri silin ve temiz bir kopyadan geri yükleyin. Bu tavsiye hâlâ önemli ancak artık tüm sorunu çözmüyor. Gunra fidye yazılımının çifte şantajı tam olarak bunu boşa çıkarmak için tasarlanmıştır.

İşte nedeni. Bir kurban kuruluş sistemlerini yedekten tamamen geri yükleyebilse ve kendi dosyalarının kilidini açmak için asla ödeme yapmasa bile, saldırganlar herhangi bir şeyi şifrelemeden önce bu hassas verilerin bir kopyasını zaten sızdırmıştır. Yedekler veri kaybına karşı korur, ancak çalınan dosyaların sızdırılmasını veya satılmasını engellemek için hiçbir şey yapmaz. Gunra'nın sızıntı sitesi tam olarak bu ikinci baskı katmanını uygulamak için vardır: ödeme yapın ya da müşteri kayıtlarınız, mali belgeleriniz veya iç yazışmalarınız kamuya açıklansın.

Güvenlik ekiplerinin artık fidye yazılımlarından yalnızca sistem kesintisi olarak değil, veri hırsızlığı ve ifşa açısından bahsetmesinin temel nedeni budur. Operasyonları hızla geri yüklemek hâlâ değerlidir, ancak saldırganlar verinizin bir kopyasını ele geçirdikten sonra sahip oldukları kaldıracı ortadan kaldırmaz.

Gunra Bağlı Kuruluşları Ölçeklenirken Kimler Risk Altında

Gunra artık bir RaaS yapısı altında faaliyet gösterdiğinden, potansiyel kurban havuzunun genişlemesi muhtemel. RaaS bağlı kuruluşları tipik olarak fırsatçıdır; her zaman belirli bir sektörü hedeflemezler, bunun yerine açıkta kalan uzaktan erişim noktaları, yamalanmamış yazılımlar veya zayıf kimlik bilgisi hijyeni gibi istismar edilebilir zayıflıklar gösteren kuruluşların peşine düşerler. Bu, yalnızca büyük kuruluşların değil, farklı boyutlardan ve sektörlerden kuruluşların, yalnızca daha kolay bir giriş yolu sundukları için hedef hâline gelebileceği anlamına gelir.

FBI'ın uyarısı, hükümet, sağlık, finans ve diğer sektörlerdeki savunmacıların Gunra'yı niş bir endişe olarak değil, aktif ve gelişen bir tehdit olarak ele almaları gerektiğine dair bir işarettir. Grubun araçlarını daha fazla bağlı kuruluş benimsedikçe, Gunra'ya atfedilen saldırıların hacminin ve çeşitliliğinin artması muhtemeldir.

Katmanlı Bir Savunma Stratejisi Oluşturmak

Hiçbir araç tek başına fidye yazılımını durduramaz ve buna VPN de dahildir. VPN, aktarımdaki verilerin korunmasına ve iç ağ kaynaklarının açık internete maruz kalmasının azaltılmasına yardımcı olabilir; ancak bir saldırgan zaten ele geçirilmiş bir sistemin içine girdikten sonra dosyaları çalmasını engellemez. Gerçek cevap katmanlı savunmadır.

Öncelik vermeye değer birkaç pratik katman:

  • Güvenilir, çevrimdışı yedekler: Yedekleri ana ağdan yalıtılmış tutun ki fidye yazılımı onlara ulaşıp onları da şifreleyemesin.
  • Veri minimizasyonu: Yalnızca gerçekten ihtiyaç duyduğunuz hassas verileri saklayın; gerisini silin veya arşivleyin. Saldırganlar elinizde olmayanı sızdıramaz.
  • Ağ bölümlendirmesi ve erişim kontrolleri: Tek bir ele geçirilmiş hesabın tüm ağınıza ulaşamaması için yatay hareketi sınırlayın.
  • Ağ düzeyinde gizlilik araçları: VPN'ler ve güvenli uzaktan erişim çözümleri, internete maruz kalan saldırı yüzeyini azaltarak bağlı kuruluşların kolay bir giriş noktası bulmasını zorlaştırır.
  • Yama yönetimi: Birçok RaaS bağlı kuruluşu yeni teknikler yerine bilinen, yamalanmamış açıklardan yararlanır; bu nedenle güncellemeleri güncel tutmak kolay bir kapıyı kapatır.

Bu Sizin İçin Ne Anlama Geliyor

İster küçük bir işletmenin BT'sini yönetin ister yalnızca kendi cihazlarınızı yönetin, Gunra fidye yazılımının çifte şantaj modeli, veri korumanın kurtarmadan daha fazlası olduğunu hatırlatır. Saldırganların ilk etapta ne çalabileceğini sınırlamak ve sistemlerinizin fırsatçı tarama ve istismara ne kadar maruz kaldığını azaltmakla ilgilidir; büyüyen bir bağlı kuruluş ağının üretme eğiliminde olduğu türden bir faaliyettir bu.

Önemli Çıkarımlar

  • Gunra fidye yazılımı bir RaaS modeline geçti; bu da daha fazla bağlı kuruluşun artık araçlarını kullanarak saldırı başlatabileceği anlamına geliyor.
  • Çifte şantaj, şifre çözme için ödeme yapmanın çalınan verilerin sızdırılmasını engellemediği anlamına gelir.
  • Yedekler hâlâ zorunludur ancak veri minimizasyonu ve erişim kontrolleriyle eşleştirilmelidir.
  • VPN gibi ağ gizliliği araçları bir savunma katmanıdır, eksiksiz bir çözüm değildir.
  • Yamaları güncel tutmak ve internete açık hizmetleri sınırlamak, ölçeklenen bağlı kuruluşlar için kolay hedef olma olasılığını azaltır.