Спільне попередження від ФБР, CISA, АНБ, Кіберцентру Міністерства оборони США та південнокорейських кібербезпекових агенцій підтвердило, що оператори ransomware Gunra знайшли спосіб обійти один із найнадійніших інструментів корпоративної безпеки: багатофакторну автентифікацію. Замість того, щоб викрадати одноразовий код або фішингувати сесію входу, афіліати Gunra безпосередньо переписували файли автентифікації на серверах жертв, фактично вимикаючи захист MFA зсередини, перш ніж розгорнути шифрування та викрасти дані.

Попередження, опубліковане цього місяця, є одним із найчіткіших публічних підтверджень того, що групи ransomware-as-a-service більше не розглядають MFA як перешкоду, яку потрібно обійти хитрістю. Вони ставляться до неї як до інфраструктури, яку можна просто переналаштувати, щойно отримавши доступ до системи.

Як Gunra обійшла MFA на рівні сервера

Згідно з попередженням, афіліати Gunra використовували відомі вразливості у брандмауерах і VPN-пристроях Fortinet, а також недоліки в системах Schneider Electric, щоб отримати початковий доступ до мереж державних установ, об'єктів критичної інфраструктури та підприємств. Опинившись усередині, замість спроб подолати MFA на екрані входу, зловмисники атакували конфігураційні файли автентифікації, що зберігаються на самому сервері.

Змінюючи ці файли в самому джерелі, оператори Gunra змогли вимкнути або обійти перевірки MFA, які зазвичай зупиняють несанкціоновані входи, — і все це без необхідності мати другий фактор жертви. Це суттєва відмінність від типових технік обходу MFA, таких як SIM-свопінг або атаки з перевантаженням push-сповіщеннями, які націлені на користувача. Підхід Gunra націлений на інфраструктуру, яка впроваджує політику, а отже, вада є архітектурною, а не поведінковою. Виправлення відомих вразливостей у периферійних пристроях, таких як брандмауери та VPN-пристрої, точки входу, на які, за словами попередження, покладається Gunra, залишається найпрямішим способом для організацій закрити ці двері до того, як вони відчиняться.

Gunra працює як ransomware-as-a-service, тобто основне шкідливе програмне забезпечення створюється та підтримується однією групою, тоді як афіліати здійснюють окремі атаки, часто використовуючи викрадений код із попередніх родин ransomware. Така структура допомогла операції швидко поширитися в різних секторах і географіях, оскільки попередження зазначає, що вона вже вразила державні, медичні та критично важливі інфраструктурні об'єкти в багатьох країнах.

Позитивний момент у Linux-варіанті

Попередження також вказує на помітну слабкість у Linux-шифрувальнику Gunra. Дослідники виявили, що процес шифрування залишає після себе артефакти часових міток файлів, які в деяких випадках можна використати для реконструкції ключів дешифрування без сплати викупу зловмисникам. Для організацій, які запускають Linux-сервери, уражені цим конкретним варіантом, це відкриває шлях до відновлення зашифрованих даних через криміналістичний аналіз, а не через переговори зі злочинною групою.

Такий тип реалізаційної вади не є рідкістю серед родин ransomware, які використовують або адаптують викрадений код, і це не означає, що кожна жертва Gunra може відновити дані безкоштовно. Шифрувальник для Windows, схоже, не має тієї ж слабкості, і організаціям слід розглядати будь-яку спробу відновлення як роботу для досвідчених фахівців з реагування на інциденти, а не як самостійний ремонт. Тим не менше, це рідкісна хороша новина в ландшафті ransomware, де жертви зазвичай опиняються перед вибором між сплатою викупу та відновленням із резервних копій.

Цей вибір має значення, оскільки докази дедалі частіше показують, що сплата не вирішує проблему надійно. Опитування Proofpoint виявило, що сплата ransomware-бандам часто має зворотний ефект: багато організацій повідомляють, що вони все одно втратили дані, зазнали повторних атак або так і не отримали робочих інструментів дешифрування навіть після оплати. Попередження щодо Gunra підтверджує цю закономірність: найбезпечніша ставка — це профілактика та можливість відновлення, а не переговори.

Що це означає для вас

Більшість читачів цього попередження не стануть прямими цілями Gunra, але базовий урок застосовний широко. MFA — це критичний рівень захисту, але вона не є непогрішною, особливо коли зловмисники можуть дістатися до серверної конфігурації, яка її впроваджує. Якщо ви керуєте ІТ-системами для бізнесу, лікарні, школи чи місцевого державного органу, це попередження є сигналом перевірити, чи актуальне мікропрограмне забезпечення ваших брандмауерів і VPN-пристроїв, оскільки початковий доступ Gunra значною мірою покладається на відомі вразливості, які можна виправити.

Для звичайних користувачів висновок менше стосується цієї конкретної родини ransomware, а більше того, як ви поводитеся з власними даними. Регулярне створення офлайн-резервних копій важливих файлів залишається одним із небагатьох захистів, які працюють незалежно від того, як зловмисник потрапив у систему. Скільки часу ви зберігаєте копії чутливих файлів і де, також впливає на ваш рівень ризику, якщо сервіс, яким ви користуєтеся, буде зламано; розуміння власних звичок зберігання даних та звичок платформ, на які ви покладаєтеся, є практичним кроком до обмеження того, що може розкрити будь-який окремий інцидент.

Ключові висновки

Організації, які запускають відкриті пристрої Fortinet або Schneider Electric, мають негайно пріоритезувати виправлення, оскільки це задокументована точка входу для вторгнень Gunra. ІТ-команди мають перевіряти серверні конфігурації автентифікації на предмет несанкціонованих змін, а не припускати, що MFA працює просто тому, що вона ввімкнена. Адміністратори Linux, уражені Gunra, мають консультуватися з фахівцями з реагування на інциденти, перш ніж вважати файли назавжди втраченими, з огляду на ваду відновлення на основі часових міток, описану в попередженні. А для всіх інших це попередження — ще одне нагадування, що Gunra та подібні групи найчастіше досягають успіху проти застарілої інфраструктури, що робить дисципліну керування виправленнями та резервного копіювання ціннішою, ніж будь-який окремий інструмент безпеки.