FBI, CISA và một số cơ quan đối tác đã công bố một khuyến cáo chung về ransomware Gunra, một nhóm đang âm thầm xây dựng danh tiếng là một trong những chiến dịch tống tiền kép hung hãn nhất nhắm vào các cơ quan chính phủ và tổ chức hạ tầng quan trọng. Nếu bạn chưa theo dõi Gunra một cách chặt chẽ, khuyến cáo này đáng để hiểu, không phải vì nó nên gây ra sự báo động, mà vì nó làm rõ cách nhóm này hoạt động và những gì các tổ chức cũng như cá nhân có thể làm để giảm thiểu mức độ phơi nhiễm của mình.
Những Gì Khuyến Cáo Của FBI Xác Nhận Về Gunra
Ransomware Gunra đã hoạt động từ tháng 4/2025, và mã của nó được cho là bắt nguồn từ mã nguồn Conti bị rò rỉ, một mối liên hệ giúp giải thích tại sao phần mềm độc hại này hoạt động theo cách của nó. Thay vì hoạt động như một nhóm khép kín duy nhất, Gunra đã phát triển thành mô hình ransomware-as-a-service, nghĩa là các nhà phát triển cốt lõi cấp phép hoặc chia sẻ công cụ của họ cho các chi nhánh thực hiện các cuộc tấn công thực tế. Cấu trúc này cho phép phạm vi tiếp cận của Gunra mở rộng nhanh chóng, vì càng nhiều chi nhánh đồng nghĩa với càng nhiều cuộc xâm nhập thử nghiệm trên nhiều lĩnh vực hơn.
Khuyến cáo chính nó được ban hành chung bởi FBI, CISA, Trung tâm Tội phạm Mạng Bộ Quốc phòng, NSA, Cơ quan Mật vụ Hoa Kỳ và cơ quan an ninh mạng quốc gia Hàn Quốc, một mức độ phối hợp quốc tế cho thấy các cơ quan này coi trọng mối đe dọa như thế nào. Để biết thêm chi tiết về phạm vi phối hợp đó, hãy xem bài viết trước đó về khuyến cáo tháng 8/2026 của CISA và FBI về ransomware Gunra.
Tám Điều Đáng Biết
- Gunra đã hoạt động từ tháng 4/2025 và có chung dòng mã với gia đình ransomware Conti khét tiếng.
- Hiện nó hoạt động như một nền tảng ransomware-as-a-service, nghĩa là nhiều nhóm chi nhánh có thể phát động các cuộc tấn công bằng cùng các công cụ cơ bản.
- Các chi nhánh được cho là bao gồm những cá nhân có nền tảng về kiểm thử thâm nhập và hack có đạo đức, làm mờ ranh giới giữa kỹ năng bảo mật hợp pháp và sử dụng tội phạm.
- Nhóm sử dụng mô hình tống tiền kép, mã hóa dữ liệu nạn nhân đồng thời đánh cắp các bản sao của nó, sau đó đe dọa công bố các tệp tin bị đánh cắp nếu không trả tiền chuộc.
- Các cơ quan chính phủ và tổ chức hạ tầng quan trọng đã được chỉ định cụ thể là mục tiêu, không chỉ các doanh nghiệp tư nhân.
- Các chi nhánh Gunra đã khai thác các lỗ hổng tiếp xúc internet để giành quyền truy cập ban đầu vào mạng nạn nhân, một chiến thuật được trình bày chi tiết hơn trong bài viết về hai lỗ hổng mà CISA và FBI cho biết đang thúc đẩy các cuộc tấn công Gunra.
- Trong một số trường hợp, các nhà điều hành Gunra đã tìm ra cách vượt qua các biện pháp bảo vệ xác thực đa yếu tố, một diễn biến được đề cập trong báo cáo về cách Gunra vượt qua MFA và một lỗi Linux liên quan cho phép khôi phục miễn phí.
- Cách tiếp cận tống tiền kép đã gia tăng theo thời gian, với nhóm ngày càng dựa vào mối đe dọa rò rỉ dữ liệu công khai làm đòn bẩy, một xu hướng được ghi nhận trong bài viết về các cuộc tấn công tống tiền kép gia tăng của Gunra.
Rủi Ro Về Quyền Riêng Tư Và Phơi Nhiễm Dữ Liệu
Mô hình tống tiền kép là điều khiến Gunra đặc biệt liên quan từ góc độ quyền riêng tư, tách biệt với sự gián đoạn hoạt động mà ransomware thường gây ra. Khi kẻ tấn công đánh cắp dữ liệu trước khi mã hóa, rủi ro vượt xa tổ chức nạn nhân trực tiếp. Các cơ quan chính phủ và nhà điều hành hạ tầng quan trọng thường nắm giữ các hồ sơ nhạy cảm liên quan đến nhân viên, nhà thầu và công chúng. Nếu dữ liệu đó bị trích xuất và sau đó bị công bố hoặc bán vì yêu cầu tiền chuộc không được đáp ứng, sự phơi nhiễm có thể ảnh hưởng đến những người không có mối quan hệ trực tiếp với tổ chức bị xâm phạm và không có cách nào tự ngăn chặn điều đó.
Đây là lý do tại sao các khuyến cáo về ransomware ngày càng nhấn mạnh vào phòng ngừa và phát hiện nhanh chóng thay vì chỉ dựa vào hy vọng rằng việc trả tiền chuộc, nếu trả, sẽ thực sự ngăn chặn dữ liệu bị rò rỉ. Không có gì đảm bảo rằng trả tiền chuộc ngăn chặn được việc công bố, và các cơ quan thường khuyến khích không trả tiền vì lý do này.
Điều Này Có Ý Nghĩa Gì Đối Với Bạn
Hầu hết độc giả sẽ không trực tiếp bảo vệ một mạng lưới chính phủ khỏi Gunra, nhưng khuyến cáo vẫn có liên quan thực tế. Nếu bạn tương tác với các dịch vụ chính phủ, làm việc cho một nhà cung cấp hạ tầng quan trọng, hoặc chỉ đơn giản chia sẻ thông tin cá nhân với các tổ chức trong các lĩnh vực mà Gunra đã nhắm mục tiêu, dữ liệu của bạn có thể về mặt lý thuyết bị cuốn vào một sự cố trong tương lai liên quan đến nhóm này hoặc các nhà điều hành tương tự sử dụng cùng một kịch bản ransomware-as-a-service. Hiểu cách Gunra giành quyền truy cập, thông qua các lỗ hổng tiếp xúc internet và trong một số trường hợp, vượt qua xác thực đa yếu tố, giúp giải thích tại sao bảo mật tài khoản mạnh mẽ và vá phần mềm kịp thời vẫn là các biện pháp phòng thủ hiệu quả nhất có sẵn cho cả tổ chức và cá nhân.
Đối với các nhóm CNTT và bảo mật, các chi tiết của khuyến cáo về tuyển dụng chi nhánh và kỹ thuật truy cập ban đầu là một lời nhắc nhở rằng các nhóm ransomware-as-a-service mở rộng nhanh chóng vì rào cản để trở thành chi nhánh thấp. Phòng thủ chống lại Gunra có nghĩa là phòng thủ chống lại một loạt các tác nhân sử dụng cùng một bộ công cụ cơ bản, không chỉ một nhóm.
Những Điểm Chính Có Thể Thực Hiện
Các tổ chức nên ưu tiên vá các hệ thống tiếp xúc internet kịp thời, vì các chi nhánh Gunra đã dựa vào các lỗ hổng đã biết để xâm nhập. Xác thực đa yếu tố vẫn nên được bật ở mọi nơi có thể, nhưng không nên được coi là một biện pháp bảo vệ không thể phá vỡ độc lập. Việc kiểm tra thường xuyên các quy trình sao lưu và khôi phục quan trọng hơn bao giờ hết, vì tống tiền kép có nghĩa là một bản sao lưu tốt không loại bỏ hoàn toàn rủi ro phơi nhiễm dữ liệu. Các cá nhân nên cảnh giác với các thông báo vi phạm từ các cơ quan chính phủ hoặc nhà cung cấp dịch vụ mà họ sử dụng, và cân nhắc theo dõi các dấu hiệu cho thấy thông tin cá nhân của họ đã xuất hiện trong một vụ rò rỉ. Khuyến cáo về ransomware Gunra là một điểm kiểm tra hữu ích để xem xét lại những điều cơ bản này thay vì một lý do để hoảng loạn, và các tổ chức hành động dựa trên các phát hiện của nó ngay bây giờ sẽ có vị thế tốt hơn nếu Gunra hoặc một nhà điều hành tương tự gõ cửa.
