美国网络安全和基础设施安全局（CISA）、联邦调查局（FBI）及其政府合作伙伴发布了更多技术细节，说明Gunra勒索软件攻击者如何闯入受害者网络。根据最新的联合公告，Gunra附属组织正通过面向互联网设备中的两个已知漏洞获得初始立足点，这类设备包括边缘硬件、VPN网关、防火墙和远程访问设备，几乎位于每个组织网络的外围。

这是对此前有关该勒索软件即服务行动的警告的后续跟进；各机构此前已指出该行动以医疗行业为目标，并运行一套将数据窃取与文件加密相结合的激进双重勒索计划。新指南聚焦入侵本身的具体机制，让防御者更清楚地知道应该将注意力集中在哪里。

Gunra攻击者正在利用的漏洞

根据该公告，Gunra攻击者并未依赖新型零日漏洞。相反，他们利用的是面向互联网设备中两个已知漏洞，这些设备是指组织为支持远程办公、站点间连接或外部服务而暴露在公共互联网上的软件和设备。这一模式与大多数勒索软件即服务附属组织的运作方式一致：它们不会投资昂贵的漏洞开发，而是扫描互联网上未修补的系统，并穿过本应已经关闭的大门。对防御者而言，教训很简单。已知漏洞在披露后很长一段时间内仍然危险，因为真实组织内部的补丁周期往往比攻击者将公开漏洞利用代码武器化的速度更慢。

Gunra进入内部后如何站稳脚跟

一旦Gunra附属组织利用其中一个入口，他们就会利用该访问权限深入网络。VPN集中器和防火墙等面向互联网的设备之所以具有吸引力，正是因为攻陷它们通常会获得一定程度的信任，而内部系统会默认这种信任是合法的。从那里，攻击者可以建立持久化、收集凭据并开始测绘网络，为Gunra双重勒索模式所定义的数据窃取和加密阶段做准备。由于初始失陷发生在网络边缘，那些将边界设备视为“设置后不用管”的基础设施的组织尤其容易暴露风险。这些设备通常部署一次后，为了可用性而非安全性进行配置，并在没有固件或补丁审查的情况下运行多年。

弥补缺口的补丁与配置步骤

该公告的核心建议广泛适用于各类勒索软件活动，而不仅是Gunra：及时为面向互联网的设备打补丁，并优先处理已知且正被积极利用的漏洞，而不是例行更新。IT和安全团队应维护一份当前所有暴露于互联网的设备的清单，包括VPN网关、防火墙和远程访问工具，并确认每台设备都运行受支持且已更新的版本。在无法立即打补丁的情况下，组织应考虑将受影响服务下线或限制访问，直到应用修复。对所有远程访问入口启用多因素身份验证，并结合对异常登录活动的日志记录和告警，即使设备存在未修补的漏洞，也能增加一层抵抗力。

为什么VPN访问控制和网络分段能限制勒索软件扩散

即使有严格的补丁管理，也没有组织能保证始终零暴露。这就是为什么访问控制和分段与初始修复同样重要。VPN访问应被严格限定范围，用户只被授予其实际需要的网络分段，而不是对整个环境的广泛访问权限。对网络进行分段，使受感染的边缘设备无法直接访问敏感系统、备份服务器或域控制器，可能决定事件是被遏制还是演变为全面的勒索软件事件。这些控制措施不能防止每一次入侵，但可以拖慢攻击者，为防御者争取时间在加密和数据外泄发生前进行检测和响应。

这对您意味着什么

对于IT管理员和安全团队而言，这份公告提醒我们，像Gunra这样的勒索软件组织之所以持续得逞，靠的是利用最基本的问题：未修补的系统和过度宽松的网络访问权限，而不是复杂的新型攻击。有效的Gunra勒索软件防护始于对组织暴露到互联网的每一台设备进行如实审计。如果您所在的是医疗行业或此前Gunra公告中提到的其他行业，紧迫性甚至更高，因为该组织已经表明愿意专门针对这些环境发动攻击。

可操作的要点

组织应盘点所有面向互联网的设备，包括VPN网关和防火墙，并对照已知漏洞确认补丁状态。使用多因素身份验证和最小权限原则限制远程访问，只授予必要的VPN权限。对网络进行分段，使单台受感染设备无法暴露备份或关键系统。请查阅CISA、FBI和NSA此前关于Gunra针对医疗行业及其双重勒索策略的公告，获取构建完整防御计划所需的完整技术指标和行业特定指导。