Mã độc tống tiền Gunra đánh bại MFA; lỗi Linux cho phép khôi phục miễn phí

Một cảnh báo chung từ FBI, CISA, NSA, Trung tâm Tội phạm mạng Bộ Quốc phòng Mỹ và các cơ quan an ninh mạng Hàn Quốc đã xác nhận rằng các đối tượng vận hành mã độc tống tiền Gunra đã tìm ra cách vượt qua một trong những công cụ bảo mật doanh nghiệp đáng tin cậy nhất: xác thực đa yếu tố. Thay vì đánh cắp mã dùng một lần hay lừa đảo một phiên đăng nhập, các chi nhánh của Gunra đã viết lại trực tiếp các tệp xác thực trên máy chủ của nạn nhân, qua đó vô hiệu hóa lớp bảo vệ MFA từ bên trong trước khi triển khai mã hóa và đánh cắp dữ liệu.

Cảnh báo được đưa ra trong tháng này là một trong những xác nhận công khai rõ ràng hơn rằng các nhóm ransomware dạng dịch vụ không còn coi MFA là chướng ngại mà họ cần phải lừa. Họ coi đó là hạ tầng mà họ có thể cấu hình lại một khi đã có chỗ đứng.

Gunra đã vượt qua MFA ở cấp máy chủ như thế nào

Theo cảnh báo, các chi nhánh Gunra đã khai thác các lỗ hổng đã biết trong các thiết bị tường lửa và VPN Fortinet, cùng với các lỗ hổng trong các hệ thống Schneider Electric, để giành quyền truy cập ban đầu vào các mạng chính phủ, hạ tầng trọng yếu và doanh nghiệp. Khi đã vào bên trong, thay vì tìm cách vượt qua MFA ở lời nhắc đăng nhập, kẻ tấn công nhắm vào các tệp cấu hình xác thực được lưu ngay trên máy chủ.

Bằng cách sửa đổi các tệp đó tại nguồn, các đối tượng vận hành Gunra có thể vô hiệu hóa hoặc vượt qua các bước kiểm tra MFA vốn thường chặn các lần đăng nhập trái phép, mà không cần đến yếu tố thứ hai của nạn nhân. Đây là điểm khác biệt quan trọng so với các kỹ thuật vượt MFA điển hình như hoán đổi SIM hay tấn công làm mệt mỏi thông báo đẩy, vốn nhắm vào người dùng. Cách tiếp cận của Gunra nhắm vào chính hạ tầng thực thi chính sách ngay từ đầu, nghĩa là lỗ hổng mang tính kiến trúc thay vì hành vi. Vá các lỗ hổng đã biết trên thiết bị biên như tường lửa và thiết bị VPN, những điểm xâm nhập mà cảnh báo cho biết Gunra dựa vào, vẫn là cách trực tiếp nhất để các tổ chức đóng cánh cửa này trước khi nó mở ra.

Gunra hoạt động theo mô hình ransomware dạng dịch vụ, nghĩa là phần mềm độc hại lõi do một nhóm xây dựng và duy trì, còn các chi nhánh thực hiện từng vụ tấn công, thường tái sử dụng mã bị rò rỉ từ các họ ransomware trước đó. Cấu trúc đó giúp hoạt động này mở rộng nhanh chóng sang nhiều lĩnh vực và khu vực địa lý, vì cảnh báo ghi nhận nó đã tấn công các mục tiêu chính phủ, y tế và hạ tầng trọng yếu ở nhiều quốc gia.

Một tia hy vọng trong biến thể Linux

Cảnh báo cũng chỉ ra một điểm yếu đáng chú ý trong bộ mã hóa chạy trên Linux của Gunra. Các nhà nghiên cứu phát hiện rằng quá trình mã hóa để lại các dấu vết dấu thời gian của tệp mà trong một số trường hợp có thể được dùng để tái tạo khóa giải mã mà không phải trả tiền cho kẻ tấn công. Với các tổ chức chạy máy chủ Linux bị biến thể cụ thể này tấn công, điều đó mở ra một con đường khôi phục dữ liệu đã mã hóa thông qua phân tích pháp y thay vì thương lượng với một nhóm tội phạm.

Kiểu lỗi triển khai này không hiếm ở các họ ransomware tái sử dụng hoặc phỏng theo mã bị rò rỉ, và không có nghĩa là mọi nạn nhân của Gunra đều có thể khôi phục miễn phí. Bộ mã hóa phía Windows dường như không có cùng điểm yếu, và các tổ chức nên coi mọi nỗ lực khôi phục là công việc dành cho những người ứng phó sự cố giàu kinh nghiệm thay vì tự xử lý. Dù vậy, đây vẫn là một tin tốt hiếm hoi trong bối cảnh ransomware, nơi nạn nhân thường chỉ được chọn giữa trả tiền hoặc xây dựng lại từ các bản sao lưu.

Lựa chọn đó quan trọng vì ngày càng nhiều bằng chứng cho thấy trả tiền không giải quyết vấn đề một cách đáng tin cậy. Một khảo sát của Proofpoint cho thấy việc trả tiền cho các băng ransomware thường phản tác dụng, khi nhiều tổ chức cho biết họ vẫn mất dữ liệu, bị tấn công lặp lại, hoặc không bao giờ nhận được công cụ giải mã dùng được ngay cả sau khi thanh toán. Cảnh báo về Gunra củng cố xu hướng đó: đặt cược an toàn nhất là phòng ngừa và khả năng phục hồi, chứ không phải thương lượng.

Điều này có ý nghĩa gì với bạn

Hầu hết độc giả của cảnh báo này sẽ không bị Gunra trực tiếp nhắm tới, nhưng bài học cốt lõi vẫn áp dụng rộng rãi. MFA là một lớp phòng thủ quan trọng, nhưng không phải bất khả xâm phạm, đặc biệt khi kẻ tấn công có thể chạm tới cấu hình phía máy chủ thực thi nó. Nếu bạn quản lý hệ thống CNTT cho doanh nghiệp, bệnh viện, trường học hay cơ quan chính quyền địa phương, cảnh báo này là tín hiệu để kiểm tra xem firmware của tường lửa và thiết bị VPN có đang được cập nhật hay không, vì quyền truy cập ban đầu của Gunra phụ thuộc nhiều vào các lỗ hổng đã biết và có thể vá.

Với người dùng thông thường, bài học ít nằm ở họ ransomware cụ thể này mà nằm ở cách bạn xử lý dữ liệu của chính mình. Duy trì các bản sao lưu ngoại tuyến thường xuyên cho các tệp quan trọng vẫn là một trong số ít biện pháp phòng thủ hiệu quả bất kể kẻ tấn công xâm nhập bằng cách nào. Bạn giữ bản sao của các tệp nhạy cảm trong bao lâu, và ở đâu, cũng ảnh hưởng đến mức độ rủi ro nếu một dịch vụ bạn dùng bị xâm phạm; hiểu rõ thói quen lưu giữ dữ liệu của chính mình, và của các nền tảng bạn dựa vào, là một bước thiết thực để giới hạn những gì một vụ xâm phạm đơn lẻ có thể làm lộ.

Những điểm chính

Các tổ chức đang vận hành thiết bị Fortinet hoặc Schneider Electric lộ ra ngoài nên ưu tiên vá ngay lập tức, vì đó là điểm xâm nhập được ghi nhận của các vụ xâm nhập Gunra. Các nhóm CNTT nên kiểm toán các cấu hình xác thực phía máy chủ để phát hiện các thay đổi trái phép thay vì cho rằng MFA vẫn hoạt động chỉ vì nó đang được bật. Các quản trị viên Linux bị Gunra tấn công nên tham vấn các chuyên gia ứng phó sự cố trước khi cho rằng các tệp đã mất vĩnh viễn, dựa trên lỗi khôi phục dựa vào dấu thời gian được mô tả trong cảnh báo. Còn với tất cả những người khác, cảnh báo này là một lời nhắc nhở nữa rằng ransomware Gunra và các nhóm tương tự thành công nhất khi đối mặt với hạ tầng lỗi thời, khiến quản lý bản vá và kỷ luật sao lưu trở nên giá trị hơn bất kỳ công cụ bảo mật đơn lẻ nào.