Cơ quan An ninh mạng và Cơ sở hạ tầng (CISA), FBI và các đối tác chính phủ của họ đã công bố thêm chi tiết kỹ thuật về cách các tác nhân ransomware Gunra đột nhập vào mạng lưới nạn nhân. Theo bản cảnh báo chung mới nhất, các chi nhánh Gunra đang giành được chỗ đứng ban đầu thông qua hai lỗ hổng đã biết trong các thiết bị hướng ra Internet, loại phần cứng biên, cổng VPN, tường lửa và thiết bị truy cập từ xa nằm ở vùng ranh giới mạng của gần như mọi tổ chức.

Đây là bản cập nhật tiếp nối các cảnh báo trước đó về hoạt động ransomware dạng dịch vụ, mà các cơ quan trước đây đã gắn cờ vì nhắm mục tiêu vào lĩnh vực y tế và vì điều hành một chiến thuật tống tiền kép quyết liệt kết hợp đánh cắp dữ liệu với mã hóa tệp. Hướng dẫn mới tập trung vào cơ chế của chính vụ xâm nhập, giúp người phòng thủ có bức tranh rõ hơn về chính xác nơi cần tập trung chú ý.

Các lỗ hổng mà các tác nhân Gunra đang khai thác

Theo cảnh báo, các tác nhân Gunra không dựa vào các lỗ hổng zero-day mới. Thay vào đó, chúng khai thác hai lỗ hổng đã được biết đến trong các thiết bị hướng ra Internet, phần mềm và thiết bị mà tổ chức phơi ra Internet công cộng để phục vụ làm việc từ xa, kết nối giữa các site hoặc dịch vụ bên ngoài. Mô hình này nhất quán với cách hầu hết các chi nhánh ransomware dạng dịch vụ hoạt động: thay vì đầu tư phát triển khai thác tốn kém, chúng quét Internet tìm hệ thống chưa vá và bước qua những cánh cửa lẽ ra đã phải đóng. Bài học cho người phòng thủ rất rõ ràng. Các lỗ hổng đã biết vẫn nguy hiểm trong thời gian dài sau khi được công bố, vì chu kỳ vá trong các tổ chức thực tế thường chậm hơn tốc độ mà kẻ tấn công vũ khí hóa mã khai thác công khai.

Cách Gunra giành chỗ đứng sau khi đã vào bên trong

Khi các chi nhánh Gunra khai thác được một trong những điểm xâm nhập này, chúng dùng quyền truy cập đó để tiến sâu hơn vào mạng. Các thiết bị hướng ra Internet như bộ tập trung VPN và tường lửa là mục tiêu hấp dẫn chính vì việc xâm phạm chúng thường mang lại mức độ tin cậy mà các hệ thống nội bộ mặc định là hợp pháp. Từ đó, tác nhân có thể thiết lập cơ chế duy trì hiện diện, thu thập thông tin đăng nhập và bắt đầu vẽ bản đồ mạng để chuẩn bị cho các giai đoạn đánh cắp dữ liệu và mã hóa vốn định nghĩa mô hình tống tiền kép của Gunra. Vì vụ xâm phạm ban đầu xảy ra ở rìa mạng, các tổ chức coi thiết bị vùng biên là hạ tầng "cài đặt rồi để đó" sẽ đặc biệt dễ bị tấn công. Những thiết bị này thường được triển khai một lần, cấu hình ưu tiên thời gian hoạt động hơn là bảo mật, rồi chạy trong nhiều năm mà không được rà soát firmware hay bản vá.

Các bước vá và cấu hình để bịt lỗ hổng

Khuyến nghị cốt lõi của cảnh báo là điều áp dụng rộng rãi trong các chiến dịch ransomware, không riêng Gunra: hãy vá các thiết bị hướng ra Internet kịp thời và ưu tiên các lỗ hổng đã biết đang bị khai thác tích cực hơn các bản cập nhật thường quy. Các nhóm CNTT và bảo mật nên duy trì danh mục hiện tại của mọi thiết bị được phơi ra Internet, bao gồm cổng VPN, tường lửa và công cụ truy cập từ xa, đồng thời xác nhận từng thiết bị đang chạy phiên bản được hỗ trợ và cập nhật. Khi không thể vá ngay, tổ chức nên cân nhắc đưa dịch vụ bị ảnh hưởng sang trạng thái ngoại tuyến hoặc hạn chế quyền truy cập cho đến khi áp dụng bản sửa. Xác thực đa yếu tố trên tất cả các điểm truy cập từ xa, kết hợp với ghi nhật ký và cảnh báo về hoạt động đăng nhập bất thường, bổ sung thêm một lớp kháng cự ngay cả khi thiết bị có lỗ hổng chưa vá.

Vì sao kiểm soát truy cập VPN và phân đoạn mạng giúp hạn chế ransomware lây lan

Ngay cả khi kỷ luật vá lỗi tốt, không tổ chức nào có thể đảm bảo không bao giờ có lỗ hổng bị phơi bày. Đó là lý do kiểm soát truy cập và phân đoạn mạng quan trọng không kém bản vá ban đầu. Quyền truy cập VPN nên được giới hạn chặt chẽ, chỉ cấp cho người dùng những phân đoạn mạng họ thực sự cần thay vì quyền truy cập rộng vào toàn bộ môi trường. Phân đoạn mạng sao cho một thiết bị biên bị xâm phạm không thể truy cập trực tiếp đến hệ thống nhạy cảm, máy chủ sao lưu hay bộ điều khiển miền có thể là khác biệt giữa một sự cố được ngăn chặn và một sự kiện ransomware toàn diện. Những biện pháp kiểm soát này không ngăn được mọi vụ xâm nhập, nhưng làm chậm kẻ tấn công và câu giờ cho người phòng thủ phát hiện, ứng phó trước khi mã hóa và rò rỉ dữ liệu xảy ra.

Điều này có ý nghĩa gì với bạn

Đối với quản trị viên CNTT và các nhóm bảo mật, cảnh báo này là lời nhắc rằng các nhóm ransomware như Gunra tiếp tục thành công bằng cách khai thác những điều cơ bản: hệ thống chưa vá và quyền truy cập mạng quá rộng, chứ không phải các cuộc tấn công mới tinh vi. Bảo vệ hiệu quả trước ransomware Gunra bắt đầu bằng việc rà soát trung thực mọi thiết bị mà tổ chức của bạn phơi ra Internet. Nếu bạn hoạt động trong lĩnh vực y tế hoặc ngành khác từng được nêu tên trong các cảnh báo Gunra, mức độ khẩn cấp còn cao hơn, vì nhóm này đã cho thấy sẵn sàng nhắm mục tiêu cụ thể vào những môi trường đó.

Các hành động cần thực hiện

Các tổ chức nên kiểm kê tất cả thiết bị hướng ra Internet, bao gồm cổng VPN và tường lửa, đồng thời xác nhận trạng thái vá so với các lỗ hổng đã biết. Hạn chế truy cập từ xa bằng xác thực đa yếu tố và quyền VPN theo nguyên tắc đặc quyền tối thiểu. Phân đoạn mạng sao cho một thiết bị bị xâm phạm không thể làm lộ các bản sao lưu hoặc hệ thống quan trọng. Xem lại các cảnh báo trước đây của CISA, FBI và NSA về việc Gunra nhắm mục tiêu y tế và chiến thuật tống tiền kép để có đầy đủ chỉ số kỹ thuật và hướng dẫn theo từng lĩnh vực cần thiết nhằm xây dựng kế hoạch phòng thủ hoàn chỉnh.