ФБР, CISA та кілька партнерських агентств опублікували спільне попередження про програму-вимагач Gunra — групу, яка тихо будує репутацію одного з найагресивніших операторів подвійного вимагання, що націлюються на державні установи та організації критичної інфраструктури. Якщо ви не стежили за Gunra уважно, це попередження варте уваги не тому, що воно має викликати тривогу, а тому, що воно пояснює, як діє ця група та що організації й окремі особи можуть зробити, щоб зменшити свою вразливість.

Що підтверджує попередження ФБР про Gunra

Програма-вимагач Gunra активна з квітня 2025 року, і за повідомленнями, її код походить від витоку вихідного коду Conti — зв’язок, який допомагає пояснити, чому шкідливе програмне забезпечення поводиться саме так. Замість того щоб діяти як єдина закрита група, Gunra еволюціонувала в модель програм-вимагачів як послуги, тобто основні розробники ліцензують або діляться своїми інструментами з афілійованими особами, які здійснюють власне атаки. Така структура дозволяє Gunra швидко розширювати охоплення, оскільки більше афілійованих осіб означає більше спроб вторгнень у більшій кількості секторів.

Саме попередження було опубліковане спільно ФБР, CISA, Центром кіберзлочинності Міністерства оборони, АНБ, Секретною службою США та національним агентством з кібербезпеки Південної Кореї — такий рівень міжнародної координації свідчить про те, наскільки серйозно ці агентства ставляться до загрози. Детальніше про масштаб цієї координації дивіться в попередньому матеріалі про попередження CISA та ФБР від серпня 2026 року щодо програми-вимагача Gunra.

Вісім фактів, які варто знати

  1. Gunra активна з квітня 2025 року та має спільну лінію коду з сумнозвісним сімейством програм-вимагачів Conti.
  2. Тепер вона діє як платформа програм-вимагачів як послуги, тобто кілька афілійованих груп можуть запускати атаки, використовуючи одні й ті самі базові інструменти.
  3. До складу афілійованих осіб, за повідомленнями, входять особи з досвідом тестування на проникнення та етичного хакінгу, що стирає межу між легітимними навичками в сфері безпеки та злочинним використанням.
  4. Група використовує модель подвійного вимагання, шифруючи дані жертви, а також викрадаючи їх копії, після чого погрожує опублікувати викрадені файли, якщо викуп не буде сплачено.
  5. Державні установи та організації критичної інфраструктури були прямо названі цілями, а не лише приватні підприємства.
  6. Афілійовані особи Gunra використовували вразливості, доступні через інтернет, для отримання початкового доступу до мереж жертв — тактика, детальніше описана в матеріалі про дві вразливості, які, за словами CISA та ФБР, живлять атаки Gunra.
  7. У деяких випадках оператори Gunra знаходили способи обходити захист багатофакторної автентифікації — про цю подію йдеться у звіті про те, як Gunra обходить MFA та пов’язана помилка в Linux дозволяє безкоштовне відновлення.
  8. Підхід подвійного вимагання з часом посилився: група все більше покладається на загрозу публічного витоку даних як важіль тиску — тенденція, задокументована в матеріалі про посилені атаки Gunra з подвійним вимаганням.

Ризики для приватності та витоку даних

Модель подвійного вимагання робить Gunra особливо актуальною з точки зору приватності, окремо від операційних збоїв, які зазвичай спричиняють програми-вимагачі. Коли зловмисники викрадають дані перед шифруванням, ризик виходить далеко за межі безпосередньої організації-жертви. Державні установи та оператори критичної інфраструктури часто зберігають чутливі записи, пов’язані з працівниками, підрядниками та громадянами. Якщо ці дані будуть викрадені, а згодом опубліковані або продані через несплату викупу, наслідки можуть зачепити людей, які не мали прямого стосунку до зламаної організації та не могли цьому запобігти самостійно.

Саме тому попередження про програми-вимагачі дедалі більше наголошують на профілактиці та швидкому виявленні, а не лише на надії, що сплата викупу, якщо вона відбудеться, справді зупинить витік даних. Немає жодних гарантій, що сплата викупу запобігає публікації, і агентства загалом не рекомендують платити з цієї причини.

Що це означає для вас

Більшість читачів не захищатимуть державну мережу безпосередньо від Gunra, але попередження все одно має практичне значення. Якщо ви користуєтеся державними послугами, працюєте на постачальника критичної інфраструктури або просто ділитеся особистою інформацією з організаціями в секторах, які Gunra взяла на приціл, ваші дані теоретично можуть бути захоплені під час майбутнього інциденту, пов’язаного з цією групою або подібними операторами, що використовують ту саму модель програм-вимагачів як послуги. Розуміння того, як Gunra отримує доступ — через вразливості, доступні через інтернет, і в деяких випадках обходячи багатофакторну автентифікацію, — пояснює, чому надійний захист облікових записів і своєчасне встановлення оновлень програмного забезпечення залишаються найефективнішими засобами захисту як для організацій, так і для окремих осіб.

Для ІТ-команд і команд з безпеки деталі попередження щодо рекрутингу афілійованих осіб і методів початкового доступу є нагадуванням про те, що групи програм-вимагачів як послуги масштабуються швидко, оскільки бар’єр для входу афілійованою особою низький. Захист від Gunra означає захист від широкого кола суб’єктів, які використовують той самий базовий набір інструментів, а не лише від однієї групи.

Практичні висновки

Організації повинні надавати пріоритет своєчасному встановленню оновлень для систем, доступних через інтернет, оскільки афілійовані особи Gunra використовували відомі вразливості, щоб потрапити всередину. Багатофакторну автентифікацію слід вмикати скрізь, де це можливо, але не варто вважати її непорушним захистом саму по собі. Регулярне тестування процесів резервного копіювання та відновлення важливе як ніколи, оскільки подвійне вимагання означає, що навіть гарна резервна копія не повністю усуває ризик витоку даних. Окремі особи повинні бути уважними до повідомлень про витоки від державних органів або постачальників послуг, якими вони користуються, і розглянути можливість моніторингу ознак того, що їхня особиста інформація з’явилася у витоку. Попередження про програму-вимагач Gunra — це корисна контрольна точка для перегляду цих базових заходів, а не привід для паніки, і організації, які діятимуть за його висновками зараз, будуть у кращій позиції, якщо Gunra або подібний оператор постукає в їхні двері.