CISA предупреждает об опасности шифровальщика Gunra Ransomware
По данным Агентства по кибербезопасности и защите инфраструктуры США (CISA), шифровальщик Gunra Ransomware используется аффилированными лицами для атак на государственные структуры и объекты критической инфраструктуры по модели программы-вымогателя как услуги. Ведомство опубликовало официальный бюллетень с техническими индикаторами компрометации и рекомендациями по защите.
Американское Агентство по кибербезопасности и защите инфраструктуры выпустило официальное предупреждение, посвященное распространению вредоносного ПО Gunra Ransomware. Данная программа-вымогатель действует по модели RaaS, привлекая сторонних участников для проведения целевых атак. В зоне повышенного внимания злоумышленников находятся правительственные учреждения и предприятия критически важных отраслей экономики, где хакеры стремятся парализовать внутренние процессы и получить финансовую выгоду через шантаж.
В своей преступной деятельности операторы Gunra Ransomware применяют модель двойного вымогательства. Перед тем как запустить процесс шифрования файлов на корпоративных серверах, атакующие похищают конфиденциальные массивы данных. Если организация отказывается выплачивать требуемый выкуп, украденная информация подлежит публикации на специализированном теневом сайте утечек.
Предыстория и контекст кампаний StopRansomware
Публикация официального бюллетеня осуществлена в рамках продолжающейся инициативы StopRansomware, направленной на информирование защитников сетей о новых вариантах вредоносного ПО и действующих хакерских группировках. Вариант программы Gunra впервые был зафиксирован в две тысячи двадцать пятом году, однако уже в две тысячи двадцать шестом году разработчики перевели его на полноценную партнерскую основу, масштабировав число атак.
Кто находится в зоне максимального риска?
В официальном отчете CISA приводится широкий перечень секторов, подверженных угрозе со стороны операторов Gunra. Под удар могут попасть организации, занятые в сфере здравоохранения и общественного здравоохранения, финансовые институты, страховые компании, предприятия критического машиностроения и строительства, а также транспортные системы и логистические службы. Кроме того, в зоне риска находятся государственные сервисы, предприятия коммунального хозяйства, академические институты, средства массовой информации, предприятия розничной торговли, а также профессиональные и некоммерческие организации.
Рекомендации по защите и технические меры противодействия
Для снижения рисков заражения специалисты ведомства настаивают на приоритизации установки патчей безопасности для известных уязвимостей в системах, имеющих выход в интернет. Особое внимание следует уделять шлюзам виртуальных частных сетей и инфраструктуре, подверженной воздействию протокола удаленного рабочего стола. Для обеспечения возможности восстановления данных без выплаты выкупа организациям рекомендуется внедрить и протестировать автономные неизменяемые резервные копии, которые хранятся в физически изолированном и сегментированном месте.
Кого затронет и как
Предупреждение адресовано архитекторам кибербезопасности, аналитикам обороны, специалистам по анализу уязвимостей, системным администраторам и менеджерам защитных систем. Для обнаружения следов активности группировки ведомство подготовило технические индикаторы компрометации, доступные для скачивания в форматах STIX XML и STIX JSON, которые можно интегрировать в локальные средства мониторинга.
Что будет дальше
Профильные ведомства продолжат мониторинг активности операторов Gunra Ransomware и публикацию обновленных данных телеметрии. Организациям рекомендуется пересмотреть схемы сетевой сегментации для предотвращения латерального перемещения злоумышленников внутри периметра с первично скомпрометированных устройств.
Итог
Новое предупреждение CISA подчеркивает сохраняющуюся актуальность базовых процедур патчинга и изоляции резервных копий. Своевременный анализ индикаторов компрометации и грамотная сетевая архитектура остаются главными инструментами противодействия современным вымогателям.