Агентство з кібербезпеки та захисту інфраструктури (CISA), ФБР та їхні державні партнери оприлюднили додаткові технічні деталі про те, як зловмисники, що використовують програму-вимагач Gunra, проникають у мережі жертв. Згідно з останнім спільним бюлетенем, філії Gunra отримують початковий доступ через дві відомі вразливості в пристроях, підключених до інтернету, — це крайове обладнання, VPN-шлюзи, міжмережеві екрани та пристрої віддаленого доступу, які розташовані на периметрі мережі майже кожної організації.
Це продовження попередніх попереджень про операцію ransomware-as-a-service, яку агентства раніше позначали за націлювання на сектор охорони здоров'я та ведення агресивної схеми подвійного вимагання, що поєднує крадіжку даних із шифруванням файлів. Нові рекомендації зосереджуються на механіці самого вторгнення, даючи фахівцям із захисту чіткіше уявлення про те, куди саме слід спрямувати свої зусилля.
Вразливості, які використовують зловмисники Gunra
Згідно з бюлетенем, зловмисники Gunra не покладаються на нові zero-day експлойти. Натомість вони використовують дві вже відомі вразливості в пристроях, підключених до інтернету, — програмному забезпеченні та обладнанні, яке організації відкривають для публічного інтернету, щоб забезпечити віддалену роботу, з'єднання між сайтами або зовнішні сервіси. Така модель відповідає тому, як діють більшість філій ransomware-as-a-service: замість того щоб інвестувати в дорогу розробку експлойтів, вони сканують інтернет на предмет незапатчених систем і проходять крізь двері, які вже мали бути зачинені. Урок для фахівців із захисту простий. Відомі вразливості залишаються небезпечними протягом тривалого часу після їх розкриття, оскільки цикли встановлення патчів у реальних організаціях часто повільніші, ніж темпи, з якими зловмисники перетворюють публічний код експлойтів на зброю.
Як Gunra отримує доступ усередину
Після того як філії Gunra експлуатують одну з цих точок входу, вони використовують цей доступ, щоб просунутися глибше в мережу. Пристрої, підключені до інтернету, як-от VPN-концентратори та міжмережеві екрани, є привабливими цілями саме тому, що їх компрометація часто надає рівень довіри, який внутрішні системи вважають легітимним. Звідти зловмисники можуть закріпитися в системі, викрасти облікові дані та почати картографування мережі, готуючись до етапів крадіжки даних і шифрування, які визначають модель подвійного вимагання Gunra. Оскільки початкова компрометація відбувається на мережевому периметрі, організації, які ставляться до периферійних пристроїв як до інфраструктури "встановив і забув", є особливо вразливими. Ці пристрої часто розгортаються один раз, налаштовуються для безперебійної роботи, а не для безпеки, і працюють роками без перегляду прошивки чи патчів.
Кроки з встановлення патчів і конфігурації для усунення прогалин
Основна рекомендація бюлетеня застосовна широко до всіх кампаній програм-вимагачів, а не лише до Gunra: оперативно встановлюйте патчі для пристроїв, підключених до інтернету, і пріоритезуйте відомі, активно експлуатовані вразливості над рутинними оновленнями. ІТ-команди та команди безпеки повинні вести актуальний перелік кожного пристрою, підключеного до інтернету, включно з VPN-шлюзами, міжмережевими екранами та інструментами віддаленого доступу, і підтверджувати, що кожен із них працює на підтримуваній, оновленій версії. Якщо встановлення патча неможливе негайно, організаціям слід розглянути можливість відключення відповідного сервісу або обмеження доступу до нього, поки не буде застосовано виправлення. Багатофакторна автентифікація на всіх точках віддаленого доступу разом із журналюванням та сповіщеннями про незвичну активність входу додає ще один рівень захисту, навіть якщо пристрій має незапатчену ваду.
Чому контроль доступу до VPN і сегментація мережі обмежують поширення програми-вимагача
Навіть за дисциплінованого встановлення патчів жодна організація не може гарантувати нульовий рівень експозиції в будь-який час. Саме тому контроль доступу та сегментація мають таке ж значення, як і початкове виправлення. Доступ до VPN має бути суворо обмежений: користувачі отримують лише ті сегменти мережі, які їм справді потрібні, а не широкий доступ до всього середовища. Сегментація мереж таким чином, щоб скомпрометований крайовий пристрій не міг безпосередньо дістатися до чутливих систем, серверів резервного копіювання або контролерів домену, може стати різницею між локалізованим інцидентом і повномасштабною подією програми-вимагача. Ці заходи не запобігають кожному вторгненню, але вони сповільнюють зловмисників і дають фахівцям із захисту час для виявлення та реагування до того, як відбудуться шифрування та ексфільтрація даних.
Що це означає для вас
Для ІТ-адміністраторів і команд безпеки цей бюлетень є нагадуванням про те, що групи програм-вимагачів, як-от Gunra, продовжують досягати успіху, експлуатуючи базові речі: незапатчені системи та надто дозвільний мережевий доступ, а не складні новітні атаки. Ефективний захист від програми-вимагача Gunra починається з чесного аудиту кожного пристрою, який ваша організація відкриває в інтернет. Якщо ви працюєте в сфері охорони здоров'я або в іншому секторі, раніше згаданому в бюлетенях про Gunra, терміновість є ще вищою, оскільки група вже продемонструвала готовність націлюватися саме на такі середовища.
Практичні висновки
Організації повинні інвентаризувати всі пристрої, підключені до інтернету, включно з VPN-шлюзами та міжмережевими екранами, і підтвердити статус патчів щодо відомих вразливостей. Обмежте віддалений доступ за допомогою багатофакторної автентифікації та принципу найменших привілеїв для VPN-доступу. Сегментуйте мережі таким чином, щоб один скомпрометований пристрій не міг розкрити резервні копії або критичні системи. Перегляньте попередні бюлетені CISA, ФБР та АНБ щодо націлювання Gunra на охорону здоров'я та тактики подвійного вимагання, щоб отримати повні технічні індикатори та галузеві рекомендації, необхідні для побудови комплексного плану захисту.
