Cố vấn chung mới giữa Hoa Kỳ và Hàn Quốc nói gì về ransomware Gunra?

Cố vấn này cảnh báo rằng Gunra đang phát triển cả về mức độ tinh vi kỹ thuật lẫn quy mô mạng lưới chi nhánh. Cố vấn này được đưa ra sau các cảnh báo trước đó từ CISA, FBI và NSA, những đơn vị đầu tiên gắn cờ Gunra là mối đe dọa nghiêm trọng đối với lĩnh vực chăm sóc sức khỏe.

Vì sao sự phát triển của mạng lưới chi nhánh Gunra đặc biệt đáng lo ngại?

Nhiều chi nhánh hơn đồng nghĩa với nhiều điểm xâm nhập hơn, nhiều biến thể hơn trong cách các tổ chức bị xâm phạm và phạm vi nạn nhân tiềm năng rộng hơn ngoài lĩnh vực chăm sóc sức khỏe. Điều đó cũng khiến Gunra khó bị nhận diện bằng một chữ ký phát hiện duy nhất.

Các tổ chức ngoài lĩnh vực chăm sóc sức khỏe có gặp rủi ro từ Gunra không?

Có, các tổ chức trong những lĩnh vực trước đây cảm thấy được cách ly nên xem xét sự mở rộng này một cách nghiêm túc, vì các hoạt động ransomware-as-a-service theo đuổi cơ hội thay vì trung thành với ngành. Một cơ sở chi nhánh đang mở rộng thường đồng nghĩa với một danh sách mục tiêu đang mở rộng.

VPN có tự bảo vệ chống lại ransomware Gunra không?

Không, một VPN được cấu hình tốt là một phần hợp lệ trong bức tranh phòng thủ nhưng không phải là lá chắn ransomware chỉ riêng nó. VPN chủ yếu bảo vệ dữ liệu khi truyền và có thể hạn chế quyền truy cập từ xa vào các hệ thống nội bộ, điều này quan trọng vì các điểm truy cập từ xa bị phơi bày là cách phổ biến để các chi nhánh giành được chỗ đứng ban đầu.

Mỹ, Hàn Quốc Cảnh Báo Mối Đe Dọa Mã Độc Tống Tiền Gunra Đang Gia Tăng

Q: Mô hình chi nhánh của Gunra hoạt động như thế nào?

Gunra vận hành theo mô hình ransomware-as-a-service, trong đó một nhóm nòng cốt phát triển và duy trì malware cùng hạ tầng, sau đó cho các chi nhánh thuê quyền truy cập để thực hiện các vụ xâm nhập thực tế. Mỗi chi nhánh sử dụng các phương thức truy cập ban đầu ưa thích của riêng mình, chẳng hạn như phishing, khai thác các dịch vụ từ xa bị phơi bày hoặc mua thông tin đăng nhập bị đánh cắp.

Cảnh báo chung Mỹ - Hàn Quốc mới tiết lộ gì về sự phát triển của Gunra

Giới chức Mỹ và Hàn Quốc vừa đưa ra một cảnh báo chung mới về mã độc tống tiền Gunra, và thông điệp rất thẳng thắn: chiến dịch này đang phát triển, cả về mức độ tinh vi kỹ thuật lẫn quy mô mạng lưới chi nhánh. Cảnh báo này tiếp nối các cảnh báo trước đó từ CISA, FBI và NSA, vốn lần đầu gắn cờ Gunra là mối đe dọa nghiêm trọng đối với ngành y tế. Bản tin mới nhất cho thấy Gunra đã không chậm lại kể từ đó. Thay vào đó, nó dường như đang mở rộng quy mô, chiêu mộ thêm nhiều chi nhánh và giăng lưới rộng hơn trên nhiều ngành và khu vực địa lý.

Đối với độc giả theo dõi xu hướng mã độc tống tiền, đây là một mô hình quen thuộc và đáng lo ngại. Một dòng mã độc tống tiền bị gắn cờ vì nhắm vào một ngành, trong trường hợp này là y tế, và thay vì suy yếu sau khi bị cơ quan thực thi pháp luật chú ý, nó lại chuyên nghiệp hóa. Nhiều chi nhánh hơn đồng nghĩa với nhiều nỗ lực tấn công hơn, nhiều biến thể về chiến thuật hơn, và mục tiêu trở nên khó khoanh vùng hơn đối với người phòng thủ. Cảnh báo chung Mỹ-Hàn Quốc cho thấy đúng kiểu mở rộng đó đang diễn ra, và hợp tác quốc tế phản ánh mức độ nghiêm túc mà các cơ quan ở hai bờ Thái Bình Dương dành cho mối đe dọa này.

Cách mô hình chi nhánh của Gunra mở rộng bề mặt tấn công

Các chiến dịch mã độc tống tiền hiện đại hiếm khi vận hành theo kiểu một nhóm tập trung duy nhất. Gunra theo mô hình mã độc tống tiền dưới dạng dịch vụ vốn đã trở nên phổ biến, trong đó một nhóm lõi phát triển và duy trì mã độc cùng hạ tầng, rồi cho các chi nhánh thuê quyền truy cập để thực hiện các vụ xâm nhập thực tế. Mỗi chi nhánh mang theo phương thức xâm nhập ban đầu ưa thích của riêng mình, có thể là lừa đảo phishing, khai thác các dịch vụ từ xa bị lộ, hoặc mua thông tin đăng nhập bị đánh cắp từ các chợ đen tội phạm khác.

Cấu trúc này chính là lý do giới chức cảnh báo về sự phát triển của mạng lưới chi nhánh hơn là chỉ riêng bản thân mã độc. Nhiều chi nhánh hơn có nghĩa là nhiều điểm xâm nhập hơn, nhiều biến thể hơn trong cách các tổ chức bị xâm phạm, và danh sách nạn nhân tiềm năng rộng hơn, vượt ra ngoài các mục tiêu y tế từng được nêu trong các cảnh báo trước đó. Điều này cũng khiến Gunra khó bị nhận diện bằng một chữ ký phát hiện duy nhất hơn, vì các chi nhánh khác nhau có thể sử dụng các kỹ thuật phát tán khác nhau ngay cả khi triển khai cùng một tải trọng mã độc tống tiền lõi.

Các tổ chức trong những ngành trước đây từng cảm thấy an toàn vì không phải bệnh viện hay phòng khám nên coi trọng sự mở rộng này. Các chiến dịch mã độc tống tiền dưới dạng dịch vụ đuổi theo cơ hội, chứ không chỉ trung thành với một ngành, và mạng lưới chi nhánh mở rộng thường đồng nghĩa với danh sách mục tiêu mở rộng.

VPN phù hợp ở đâu trong chiến lược phòng thủ nhiều lớp chống mã độc tống tiền

Một VPN được cấu hình tốt là một phần hợp pháp trong bài toán phòng thủ, nhưng tự nó không phải là lá chắn chống mã độc tống tiền. VPN chủ yếu bảo vệ dữ liệu trên đường truyền và có thể hạn chế truy cập từ xa vào các hệ thống nội bộ, điều này quan trọng vì các điểm truy cập từ xa bị lộ là một trong những cách phổ biến nhất để các chi nhánh ransomware giành được chỗ đứng ban đầu. Yêu cầu truy cập VPN với xác thực mạnh trước khi bất kỳ ai có thể tiếp cận tài nguyên mạng nội bộ sẽ đóng lại một lối vào phổ biến mà các chi nhánh cơ hội tìm kiếm.

Nhưng VPN không ngăn được mã độc tống tiền một khi kẻ tấn công đã ở trong mạng, cũng như không bảo vệ chống lại email lừa đảo, tệp đính kèm độc hại hoặc thông tin đăng nhập bị xâm phạm được dùng để đăng nhập thông qua một kết nối trông hợp lệ. Đây là lý do cảnh báo chung trước đó về mã độc tống tiền Gunra tấn công ngành y tế đã nhấn mạnh vào sự kết hợp nhiều biện pháp kiểm soát, chứ không phải một công cụ đơn lẻ. Coi VPN là câu trả lời trọn vẹn cho rủi ro mã độc tống tiền sẽ tạo ra cảm giác an toàn giả tạo mà kẻ tấn công rất sẵn lòng khai thác.

Các bước thực tế: Phân đoạn mạng, sao lưu và những điều cơ bản về mã hóa

Phản ứng hiệu quả nhất trước một mối đe dọa mã độc tống tiền đang phát triển như Gunra là phòng thủ nhiều lớp, trong đó không có lỗi đơn lẻ nào ở một lớp kiểm soát dẫn trực tiếp đến mất dữ liệu thảm khốc. Một vài ưu tiên thực tế nổi bật:

Phân đoạn mạng giới hạn phạm vi kẻ tấn công có thể di chuyển một khi chúng giành được chỗ đứng. Nếu các chi nhánh xâm phạm một máy trạm hoặc một tài khoản truy cập từ xa, phân đoạn mạng có thể ngăn truy cập đó lan theo chiều ngang vào các máy chủ quan trọng, hệ thống sao lưu hoặc cơ sở dữ liệu nhạy cảm.

Chiến lược sao lưu vẫn là một trong những biện pháp phòng thủ quan trọng nhất chống lại bất kỳ biến thể mã độc tống tiền nào, bao gồm Gunra. Các bản sao lưu cần được lưu ngoại tuyến hoặc cách ly khỏi mạng chính, được kiểm tra phục hồi thường xuyên và được bao phủ bởi một kế hoạch khôi phục rõ ràng. Các nhà vận hành mã độc tống tiền ngày càng nhắm trực tiếp vào các hệ thống sao lưu, vì vậy những bản sao lưu có thể truy cập được từ cùng một mạng với hệ thống sản xuất gần như không mang lại khả năng bảo vệ thực sự.

Những điều cơ bản về mã hóa, nghĩa là mã hóa dữ liệu nhạy cảm khi lưu trữ và thực thi xác thực mạnh cho bất kỳ ai truy cập dữ liệu đó, làm giảm giá trị của dữ liệu bị đánh cắp ngay cả khi một chi nhánh xoay xở lấy cắp tệp trước khi triển khai mã độc tống tiền, một chiến thuật mà các nhóm tống tiền kép thường sử dụng.

Việc xem lại hướng dẫn trong cảnh báo ban đầu về mã độc tống tiền Gunra tấn công ngành y tế là đáng làm đối với bất kỳ tổ chức nào đang xây dựng hoặc cập nhật kế hoạch phòng thủ, vì tài liệu đó chỉ ra mô hình leo thang đã dẫn tới cảnh báo mới và rộng hơn này.

Điều này có ý nghĩa gì với bạn

Nếu tổ chức của bạn nằm ngoài ngành y tế, đừng cho rằng mạng lưới chi nhánh đang mở rộng của Gunra khiến bạn ít được ưu tiên hơn. Các nhóm mã độc tống tiền dưới dạng dịch vụ đi theo cơ hội, và một cảnh báo nêu tên mạng lưới chi nhánh đang phát triển về bản chất là lời cảnh báo rằng nhiều ngành hơn hiện đã nằm trong phạm vi nhắm tới. Bảo vệ hiệu quả trước mã độc tống tiền Gunra không phải là tìm một công cụ kỳ diệu duy nhất. Nó là sự kết hợp giữa kiểm soát truy cập, phân đoạn mạng, sao lưu ngoại tuyến đã kiểm tra và mã hóa dữ liệu thành một chiến lược phòng thủ theo chiều sâu, với giả định rằng bất kỳ lớp đơn lẻ nào cuối cùng cũng có thể thất bại.

Hành động cần thực hiện

Rà soát chính sách truy cập từ xa và đảm bảo việc sử dụng VPN đi kèm xác thực đa yếu tố mạnh, thay vì được xem như một biện pháp bảo vệ độc lập.
Kiểm tra phân đoạn mạng để xác nhận rằng việc xâm phạm một hệ thống hoặc tài khoản không cấp quyền truy cập ngang rộng.
Kiểm tra quy trình khôi phục sao lưu ngay bây giờ, trước khi sự cố buộc bạn phát hiện lỗ hổng trong tình huống chịu áp lực.
Mã hóa dữ liệu nhạy cảm khi lưu trữ để giảm đòn bẩy mà chiến thuật tống tiền kép trao cho kẻ tấn công.
Cập nhật liên tục các cảnh báo từ CISA, FBI và các đối tác quốc tế, vì các chiến dịch mã độc tống tiền như Gunra tiến hóa nhanh chóng và hướng dẫn được cập nhật khi các chiến thuật mới xuất hiện.