Що змінилося: Перехід Gunra до моделі RaaS

FBI опублікувало нове попередження про програмне забезпечення-вимагач Gunra, загрозу, яка швидко еволюціонувала від операції однієї групи до повноцінного бізнесу ransomware-as-a-service (RaaS). Практично це означає, що оригінальні розробники Gunra більше не єдині, хто здійснює атаки. Вони тепер ліцензують або здають в оренду своє шкідливе програмне забезпечення та інфраструктуру афілійованим партнерам — злочинним партнерам, які здійснюють фактичні вторгнення та ділять прибуток з основною групою.

Ця зміна важлива, оскільки моделі RaaS зазвичай прискорюють масштаб і охоплення атак. Замість того, щоб одна команда повільно націлювалася на жертв, десятки незалежних афілійованих осіб тепер можуть одночасно розгортати той самий ransomware у різних галузях і регіонах, кожен зі своїми власними методами проникнення в мережі. Консультація FBI підтверджує, що Gunra продовжує покладатися на підхід подвійного вимагання: шифрування даних жертви, а також викрадення їхніх копій, після чого погроза опублікувати викрадені файли на спеціальному сайті витоку, якщо не буде сплачено викуп.

Для ознайомлення з тим, як Gunra побудувала свою репутацію до цього розширення, наш раніший матеріал про атаки Gunra з подвійним вимаганням розповідав, як група вперше привернула увагу дослідників, швидко поширюючись у кількох секторах.

Чому подвійне вимагання руйнує захист «просто відновіть з резервної копії»

Протягом багатьох років стандартною порадою для виживання після атаки ransomware було просте правило: тримайте хороші резервні копії, і якщо вас атакували, зітріть заражені системи та відновіться з чистої копії. Ця порада досі актуальна, але вона більше не вирішує всю проблему. Подвійне вимагання Gunra ransomware розроблене спеціально для того, щоб подолати цей захист.

Ось чому. Навіть якщо організація-жертва може повністю відновити свої системи з резервної копії і ніколи не платити за розблокування власних файлів, зловмисники вже викрали копію цих чутливих даних перед шифруванням будь-чого. Резервні копії захищають від втрати даних, але вони нічого не роблять, щоб запобігти витоку або продажу викрадених файлів. Сайт витоку Gunra існує саме для того, щоб застосувати цей другий рівень тиску: платіть, або ваші записи клієнтів, фінансові документи чи внутрішнє листування стануть публічними.

Це головна причина, чому команди з безпеки тепер говорять про ransomware у термінах крадіжки даних та їх розголошення, а не лише простою систем. Швидке відновлення операцій, як і раніше, цінне, але воно не усуває важелів впливу, які зловмисники тримають, володіючи копією ваших даних.

Хто під загрозою, коли афілійовані особи Gunra розширюються

Оскільки Gunra тепер діє за структурою RaaS, коло її потенційних жертв, ймовірно, розшириться. Афілійовані особи RaaS зазвичай опортуністичні: вони не завжди націлюються на конкретну галузь, а натомість атакують ті організації, які демонструють експлуатовані слабкі місця, такі як відкриті точки віддаленого доступу, невиправлене програмне забезпечення або слабка гігієна облікових даних. Це означає, що організації різних розмірів і секторів, а не лише великі підприємства, можуть опинитися під прицілом просто тому, що вони пропонують легший шлях для проникнення.

Попередження FBI є сигналом для захисників в уряді, охороні здоров'я, фінансах та інших секторах, що Gunra слід розглядати як активну загрозу, що еволюціонує, а не як вузькоспеціалізовану проблему. Оскільки все більше афілійованих осіб приймають інструменти групи, обсяг і різноманітність атак, що приписуються Gunra, ймовірно, зростатимуть.

Побудова стратегії багаторівневого захисту

Жоден окремий інструмент сам по собі не зупиняє ransomware, і це включає VPN. VPN може допомогти захистити дані під час передачі та зменшити доступність внутрішніх мережевих ресурсів з відкритого інтернету, але він не запобіжить крадіжці файлів зловмисником, коли він уже всередині скомпрометованої системи. Справжня відповідь — багаторівневий захист.

Кілька практичних рівнів, на які варто звернути увагу:

  • Надійні офлайн-резервні копії: Тримайте резервні копії ізольованими від основної мережі, щоб ransomware не міг до них дістатися та зашифрувати їх також.
  • Мінімізація даних: Зберігайте лише ті чутливі дані, які вам справді потрібні, а решту видаляйте або архівуйте. Зловмисники не можуть злити те, чого ви не зберігаєте.
  • Сегментація мережі та контроль доступу: Обмежте бічне переміщення, щоб один скомпрометований обліковий запис не міг отримати доступ до всієї вашої мережі.
  • Інструменти конфіденційності на рівні мережі: VPN та безпечні рішення віддаленого доступу зменшують поверхню атаки, відкриту для інтернету, що ускладнює афілійованим особам пошук легких точок входу.
  • Управління патчами: Багато афілійованих осіб RaaS використовують відомі, невиправлені вразливості, а не новітні техніки, тому своєчасне оновлення закриває легкі двері.

Що це означає для вас

Незалежно від того, чи ви керуєте ІТ для малого бізнесу, чи просто доглядаєте за власними пристроями, модель подвійного вимагання Gunra ransomware нагадує, що захист даних — це більше, ніж відновлення. Це про обмеження того, що зловмисники можуть вкрасти в першу чергу, і зменшення того, наскільки ваші системи відкриті для опортуністичного сканування та експлуатації, що саме таку активність зазвичай породжує зростаюча мережа афілійованих осіб.

Ключові висновки

  • Ransomware Gunra перейшов до моделі RaaS, що означає, що більше афілійованих осіб тепер можуть здійснювати атаки за допомогою його інструментів.
  • Подвійне вимагання означає, що оплата за дешифрування не запобігає витоку викрадених даних.
  • Резервні копії залишаються важливими, але їх потрібно поєднувати з мінімізацією даних та контролем доступу.
  • Інструменти мережевої конфіденційності, такі як VPN, є одним рівнем захисту, а не повним рішенням.
  • Своєчасне встановлення патчів та обмеження послуг, відкритих для інтернету, зменшує шанси стати легкою мішенню для масштабованих афілійованих осіб.