FBI, CISA, NSA, Savunma Bakanlığı Siber Suç Merkezi ve Güney Kore siber güvenlik kurumlarından ortak bir uyarı, Gunra fidye yazılımı operatörlerinin en güvenilen kurumsal güvenlik araçlarından biri olan çok faktörlü kimlik doğrulamanın etrafından dolanmanın bir yolunu bulduğunu doğruladı.

FBI, CISA, NSA, Savunma Bakanlığı Siber Suç Merkezi ve Güney Kore siber güvenlik kurumlarından ortak bir uyarı, Gunra fidye yazılımı operatörlerinin en güvenilen kurumsal güvenlik araçlarından biri olan çok faktörlü kimlik doğrulamanın etrafından dolanmanın bir yolunu bulduğunu doğruladı. Gunra'nın bağlı kuruluşları, tek kullanımlık bir kodu çalmak veya bir oturum açma oturumunu kimlik avıyla ele geçirmek yerine, kimlik doğrulama dosyalarını doğrudan kurban sunucularında yeniden yazarak şifreleme dağıtmadan ve veri çalmadan önce MFA korumalarını içeriden etkili bir şekilde devre dışı bıraktı.

Bu ay yayınlanan uyarı, fidye yazılımı-hizmet olarak gruplarının artık MFA'yı kandırmaları gereken bir engel olarak görmediğinin en net kamu doğrulamalarından birini oluşturuyor. Onu, bir kez yer edindiklerinde basitçe yeniden yapılandırabilecekleri bir altyapı olarak ele alıyorlar.

Gunra Sunucu Düzeyinde MFA'yı Nasıl Bertaraf Etti?

Uyarıya göre, Gunra bağlı kuruluşları, devlet, kritik altyapı ve kurumsal ağlara ilk erişimi sağlamak için Fortinet güvenlik duvarı ve VPN cihazlarındaki bilinen güvenlik açıklarının yanı sıra Schneider Electric sistemlerindeki kusurlardan yararlanıyor. İçeri girdikten sonra, MFA'yı oturum açma isteminde yenmeye çalışmak yerine, saldırganlar sunucunun kendisinde depolanan kimlik doğrulama yapılandırma dosyalarını hedef aldı.

Bu dosyaları kaynağında değiştirerek, Gunra operatörleri normalde yetkisiz oturum açmaları durduracak MFA kontrollerini devre dışı bırakmayı veya atlamayı başardı; tüm bunları bir kullanıcının ikinci faktörüne asla ihtiyaç duymadan yaptı. Bu, SIM değiştirme veya push bildirimi yorgunluğu saldırıları gibi kullanıcıyı hedef alan tipik MFA atlatma tekniklerinden önemli bir farktır. Gunra'nın yaklaşımı, politikayı ilk etapta uygulayan altyapıyı hedefler; bu da kusurun davranışsal değil mimari olduğu anlamına gelir. Uyarının Gunra'nın dayandığını söylediği giriş noktaları olan güvenlik duvarları ve VPN cihazları gibi uç cihazlardaki bilinen güvenlik açıklarını yamamak, kuruluşların bu kapıyı açılmadan önce kapatmasının en doğrudan yolu olmaya devam ediyor.

Gunra, fidye yazılımı-hizmet olarak çalışır; yani çekirdek kötü amaçlı yazılım bir grup tarafından oluşturulup bakımı yapılırken, bağlı kuruluşlar genellikle daha önceki fidye yazılım ailelerinden sızdırılmış kodu yeniden kullanarak bireysel saldırılar gerçekleştirir. Bu yapı, uyarının birden fazla ülkede devlet, sağlık ve kritik altyapı hedeflerine ulaştığını belirtmesi nedeniyle operasyonun sektörler ve coğrafyalar arasında hızla genişlemesine yardımcı oldu.

Linux Varyantında Bir Umut Işığı

Uyarı ayrıca Gunra'nın Linux tabanlı şifreleyicisinde dikkate değer bir zayıflığa işaret ediyor. Araştırmacılar, şifreleme sürecinin arkasında, bazı durumlarda saldırganlara hiçbir şey ödemeden şifre çözme anahtarlarını yeniden oluşturmak için kullanılabilen dosya zaman damgası izleri bıraktığını buldu. Bu belirli varyanttan etkilenen Linux sunucuları çalıştıran kuruluşlar için bu, suç grubuyla müzakere etmek yerine adli analiz yoluyla şifrelenmiş verileri kurtarmak için bir yol açar.

Bu tür uygulama kusurları, sızdırılmış kodu yeniden kullanan veya uyarlayan fidye yazılımı ailelerinde nadir değildir ve her Gunra kurbanının ücretsiz kurtarma yapabileceği anlamına gelmez. Windows tarafındaki şifreleyici aynı zayıflığı paylaşmıyor gibi görünüyor ve kuruluşlar herhangi bir kurtarma girişimini kendi başına yapılacak bir düzeltme yerine deneyimli olay müdahale ekiplerinin işi olarak görmelidir. Yine de, kurbanların genellikle ödeme yapmak veya yedeklerden yeniden oluşturmak arasında seçim yapmak zorunda kaldığı bir fidye yazılımı ortamında nadir bir iyi haber parçası.

Bu seçim önemlidir çünkü kanıtlar, ödemenin sorunu güvenilir bir şekilde çözmediğini giderek daha fazla gösteriyor. Bir Proofpoint anketi, fidye yazılımı çetelerine ödeme yapmanın genellikle ters teptiğini buldu; birçok kuruluş ödeme yaptıktan sonra bile hala veri kaybettiklerini, tekrarlanan saldırılarla karşılaştıklarını veya kullanılabilir şifre çözme araçları alamadıklarını bildirdi. Gunra uyarısı bu kalıbı güçlendiriyor: En güvenli bahis müzakere değil, önleme ve kurtarılabilirliktir.

Bu Sizin İçin Ne Anlama Geliyor?

Bu uyarının çoğu okuyucusu doğrudan Gunra'nın hedefi olmayacak, ancak altında yatan ders geniş çapta geçerlidir. MFA kritik bir savunma katmanıdır, ancak özellikle saldırganlar onu uygulayan sunucu tarafı yapılandırmasına ulaşabildiğinde yanılmaz değildir. Bir işletme, hastane, okul veya yerel devlet kurumu için BT sistemleri yönetiyorsanız, bu uyarı güvenlik duvarı ve VPN cihazı donanım yazılımınızın güncel olup olmadığını kontrol etmek için bir sinyaldir; çünkü Gunra'nın ilk erişimi büyük ölçüde bilinen ve yamanabilir güvenlik açıklarına dayanır.

Günlük kullanıcılar için çıkarım, bu belirli fidye yazılımı ailesinden çok kendi verilerinizi nasıl yönettiğinizle ilgilidir. Önemli dosyaların düzenli, çevrimdışı yedeklerini tutmak, bir saldırganın nasıl girdiğinden bağımsız olarak işe yarayan birkaç savunmadan biri olmaya devam ediyor. Hassas dosyaların kopyalarını ne kadar süre ve nerede tuttuğunuz, kullandığınız bir hizmetin ihlal edilmesi durumunda maruziyetinizi de etkiler; kendi veri saklama alışkanlıklarınızı ve güvendiğiniz platformların alışkanlıklarını anlamak, tek bir ihlalin ortaya çıkarabileceğini sınırlamak için pratik bir adımdır.

Önemli Çıkarımlar

Açıkta kalan Fortinet veya Schneider Electric ekipmanı çalıştıran kuruluşlar, Gunra ihlallerinin belgelenen giriş noktası olduğu için yamalamayı derhal önceliklendirmelidir. BT ekipleri, MFA'nın yalnızca etkin olduğu için çalıştığını varsaymak yerine sunucu tarafı kimlik doğrulama yapılandırmalarını yetkisiz değişiklikler açısından denetlemelidir. Gunra'dan etkilenen Linux yöneticileri, uyarıda açıklanan zaman damgası tabanlı kurtarma kusuru göz önüne alındığında, dosyaların kalıcı olarak kaybolduğunu varsaymadan önce olay müdahale uzmanlarına danışmalıdır. Ve herkes için bu uyarı, Gunra fidye yazılımının ve onun gibi grupların en çok güncel olmayan altyapıya karşı başarılı olduğunun bir başka hatırlatıcısıdır; bu da yama yönetimini ve yedekleme disiplinini herhangi bir tek güvenlik aracından daha değerli kılar.