Van esborrar les còpies als dos centres de dades

Van esborrar les còpies de seguretat al centre de dades principal. I al de recuperació. Abans de llançar el xifratge i un altre cop després. Que la segona seu fos lluny no la va salvar de res, i aquesta és la part que convé mirar a poc a poc.

El 10 d'agost de 2026, sis agències —l'FBI, CISA, l'NSA, el centre de delictes informàtics del Departament de Defensa nord-americà, el Servei Secret dels Estats Units i la policia nacional de Corea del Sud— van publicar l'avís conjunt AA26-222A sobre el ransomware Gunra. És un document dels que es fullegen en diagonal: tècniques, indicadors, recomanacions, l'estructura de sempre. La frase que ens va fer aturar és a l'apartat d'impacte i ve amb l'acotació posada: «contra una víctima de Gunra, els actors van esborrar dades de còpia i d'arxiu emmagatzemades a la infraestructura de còpia tant al centre de dades principal com al centre de recuperació davant desastres, abans i després» del desplegament del xifrador. A la taula de tècniques ho torna a acotar igual: «en un cas».

Abans i després. Això no és ràbia, és mètode. S'esborra abans perquè no puguis restaurar mentre negocies, i es torna després a buscar el que hagis creat durant l'incident, que és justament quan tothom es recorda de fer una còpia. L'avís ho documenta en un sol cas, i amb un n'hi ha prou per al que ens interessa: la maniobra ja està descrita, amb la seva hora i el seu ordre, en un document públic que pot llegir qualsevol.

Quan la seu de recuperació no és una seu diferent

Un centre de recuperació existeix perquè un desastre al principal no s'endugui l'empresa per davant. I funciona: contra l'incendi, la inundació, el tall elèctric llarg o l'excavadora que parteix la fibra del carrer, la distància és exactament la defensa correcta. El problema és el desastre per al qual no es va dissenyar. Contra algú que entra amb una credencial vàlida, els quilòmetres que separen les dues sales es recorren en el temps que triga a obrir-se una sessió.

En un altre apartat, el mateix avís explica com aquest actor es va fer amb un joc de claus d'aquest calibre. Des d'un escriptori virtual ja compromès, els actors van accedir per SSH a un servidor de control d'accessos —l'avís l'identifica com un equip Hiware— i van robar una clau de xifratge simètrica desada allà. Amb aquesta clau van desxifrar les contrasenyes dels comptes de servidor de tota l'empresa que hi havia a la seva base de dades. No una contrasenya: el calaix sencer, i la clau del calaix.

El camí, pas a pas, i el poc exòtic que és

Val la pena veure'l sencer, perquè no hi ha ni una sola peça que no puguis tenir tu:

1. La porta. Dues evasions d'autenticació a FortiOS i FortiProxy: CVE-2024-55591 i CVE-2025-24472. Totes dues tenen pedaç des de principis de 2025.
2. La falca. Els dos errors permeten abusar de les tasques programades del tallafocs per crear-se un compte de superusuari persistent, amb contrasenya fixa i un nom de lo més tranquil·litzador: forticloud-sync. Persistent vol dir que apedaçar no l'esborra. Si la busques avui als teus equips i no la trobes, enhorabona; si mai no l'has buscada, aquesta és la feina de demà al matí.
3. Les credencials. secretsdump.py, de la suite Impacket, contra diversos controladors de domini, per extreure els hashes dels comptes dels fitxers NTDS. Del mateix joc d'eines surten psexec.py i smbclient.py, que és amb què es van moure de màquina en màquina.
4. El segon factor. Van modificar el processament d'autenticació del portal VDI corporatiu perquè una contrasenya d'un sol ús, triada per ells, valgués sempre. L'MFA continuava posat. Continuava demanant el codi. I ells tenien un codi que no caducava mai.
5. El clauer. El servidor de control d'accessos, per SSH des d'un escriptori virtual compromès, i la seva clau simètrica.
6. La sortida. Dades comprimides i pujades a MEGA, i un executable propi, main.exe, per endur-se el que hi havia a OneDrive i SharePoint.

Ni una sola línia d'aquest recorregut necessita un dia zero. Necessita un tallafocs amb dos pedaços de fa any i mig sense posar, un directori del qual es poden extreure hashes i un lloc on estiguin desades les contrasenyes de tota la resta. Nosaltres entrem a auditar infraestructures alienes amb certa freqüència, i aquestes tres coses juntes apareixen molt més sovint del que ningú admetria en una reunió.

Dues seus que accepten la mateixa credencial són una seu

Aquí hi ha la idea que ens enduem, que no és de l'avís sinó la lectura que en fem nosaltres —i no som els únics que la estem fent aquestes setmanes—. Quan dibuixes la redundància, dibuixes caixes i cables. Dues sales, dues cabines, dos enllaços, una fletxa de replicació entre elles. El que gairebé mai no es dibuixa és qui pot entrar a cada caixa, i aquesta és la capa on de debò es decideix si tens dos llocs o un.

Ho diem sempre igual: la fallada és inevitable, l'avaria és una decisió de disseny. Un disc que es mor en un sistema amb rèplica és paperassa de manteniment; el mateix disc en un sistema sense rèplica és un dia de tancament. Amb les credencials passa exactament el mateix, només que el «disc» aquí és una persona que ja no treballa amb tu, o un tallafocs sense apedaçar. Si el compte que administra la seu A també administra la seu B, has replicat les dades i has replicat també el punt únic de fallada. És la versió geogràfica de la pregunta de qui pot apagar els teus servidors.

La variant domèstica d'això ens la trobem gairebé cada setmana i no cal tenir dos centres de dades per patir-la: el servidor de còpies ficat al mateix domini que protegeix, de manera que per restaurar el directori necessites autenticar-te contra el directori que has perdut. Ja vam escriure sobre aquesta dependència circular i el que costa desfer-la. És el mateix error amb dos zeros menys.

La immutabilitat protegeix els blocs, no la porta

La reacció habitual a un titular així és «nosaltres tenim còpies immutables». Bé: és la mesura correcta i funciona. Un bloqueig de retenció ben posat impedeix que un administrador amb totes les credencials del món esborri el que és dins del termini, i això és exactament el que cal tenir. Però convé saber què queda fora d'aquest paraigua, perquè no és poc: els treballs de còpia es poden desactivar, els punts que encara no havien entrat a la retenció es poden eliminar, un catàleg perdut converteix una restauració d'una tarda en una arqueologia de diversos dies, i les polítiques futures es poden reescriure. Res d'això no trenca la immutabilitat. Només la voreja.

Per això la recomanació de l'avís no diu «tingues còpies immutables» i s'hi queda. Diu: còpies fora de línia, immutables, en una ubicació físicament separada i segmentada, i provades. Les quatre condicions, juntes, i l'última és la que gairebé ningú no compleix. Ja vam explicar el cas del registre de la propietat romanès per explicar per què la paraula que importa de debò és «immutable».

La prova del clauer: sis comprovacions per a aquesta setmana

Cap no necessita comprar res. Quatre es contesten en una tarda amb un full; dues s'han d'executar de debò, i són les importants.

1. Escriu quines credencials obren les dues seus. Amb nom i cognoms de compte, no «els de l'equip de sistemes». Si la llista té més de tres entrades, ja tens la feina d'aquest trimestre.
2. Mira contra què autentica el sistema de còpies. Si és el mateix directori que protegeix, tens la dependència circular. Compte local, a part, que no existeixi al domini.
3. Localitza el teu clauer. El gestor de contrasenyes, el bastió, el servidor de control d'accessos: on estiguin desades les claus de la resta. Aquest servidor no és una eina d'oficina; és el sistema més crític que tens i mereix el seu propi segon factor, la seva pròpia xarxa i el seu propi registre de qui l'obre.
4. Intenta esborrar un punt de restauració de la seu B amb les credencials de la seu A. Aquesta s'ha de fer, no raonar-la. Ha de fallar. Si funciona, no tens dues còpies: tens una còpia i un mirall d'aquesta còpia.
5. Comprova que hi ha una còpia a la qual no es pugui arribar per xarxa. Cinta que es treu, disc que es desconnecta, compte d'emmagatzematge en un altre proveïdor amb credencials que no viuen al teu directori. Alguna cosa que, per esborrar-se, exigeixi que algú vagi a un lloc.
6. Restaura alguna cosa. Avui. Amb el cronòmetre posat. No «verificar la còpia»: aixecar el servei i fer-lo servir. El nostre últim simulacre de recuperació completa van ser catorze minuts —dada interna nostra, una prova i no una garantia contractual—, i aquest número només existeix perquè algú el va cronometrar. Si mai no has cronometrat el teu, el teu RTO és una intenció, no un número.

El que l'avís no diu

Som nosaltres els que hem unit les dues frases. El document explica, d'una banda, que es van endur la clau del servidor de control d'accessos i, de l'altra, que van esborrar les còpies a les dues seus. No diu que la segona cosa es fes amb la primera, ni detalla quina credencial va obrir el centre de recuperació. Ho hem posat com a hipòtesi de treball perquè és la que més vegades hem vist ser certa, però no és un fet de l'avís i seria deshonest presentar-ho com a tal.

Tampoc no es dedueix d'aquí que tenir un segon centre de dades no serveixi. Serveix, i molt, per a allò per al qual es va construir. El que no pot fer és cobrir dos riscos amb una sola mesura sense que ningú revisi si la mesura val per als dos. I l'última cosa que no es dedueix: que calgui comprar res. Quatre de les sis comprovacions de dalt són paper i una conversa. Nosaltres vivim de la cinquena i la sisena, així que llegeix-ho amb la reserva que correspon; però si les fas aquesta setmana i les respostes et deixen tranquil, has guanyat una tarda i no ens deus res.

Fonts: tot el que aquest post afirma sobre l'atac surt d'un únic document, l'avís conjunt «#StopRansomware: Gunra Ransomware», AA26-222A, de 10 d'agost de 2026, signat per l'FBI, CISA, DC3, l'NSA, l'USSS i la KNPA (PDF a ic3.gov, 21 pàgines, que és la còpia que hem llegit). D'allà surten: l'esborrat de còpies i arxiu al centre principal i al de recuperació, acotat a una víctima («against one Gunra victim», i «in one instance» a la taula de la tècnica T1490); els dos CVE de FortiOS/FortiProxy i el compte persistent forticloud-sync creat abusant de tasques programades (Taula 5); secretsdump.py contra diversos controladors de domini per treure hashes dels fitxers NTDS, i psexec.py i smbclient.py per al moviment lateral; la modificació dels fitxers d'autenticació del portal VDI perquè una contrasenya d'un sol ús triada per l'atacant sempre funcionés (T1556.006); l'accés per SSH al servidor de control d'accessos Hiware i el robatori de la seva clau simètrica (T1555); l'exfiltració a MEGA i la d'OneDrive i SharePoint amb main.exe; i la recomanació literal de còpies «offline, immutable, stored in a physically separate, segmented location» i provades. La traducció de l'anglès és nostra. La lectura que dues seus amb la mateixa credencial són una sola seu, el que queda fora del bloqueig de retenció, les sis comprovacions i els catorze minuts de l'últim simulacre (dada interna nostra, una prova i no una garantia) són collita pròpia i no de l'avís.