O ransomware Gunra usa duas vulnerabilidades de bypass de autenticação em firewalls Fortinet como principal vetor de acesso inicial, segundo um alerta conjunto publicado em 10 de agosto de 2026 pelo FBI, CISA, NSA, USSS e pela Polícia Nacional da Coreia do Sul. As falhas CVE-2024-55591 e CVE-2025-24472 afetam versões específicas de FortiOS e FortiProxy e permitem que atacantes não autenticados assumam o controle de appliances voltados para a internet. O alerta #StopRansomware AA26-222A detalha táticas, técnicas e procedimentos do grupo e fornece orientações de detecção e mitigação para organizações em infraestrutura crítica.
O Gunra opera sob um modelo de ransomware-as-a-service derivado do código-fonte vazado do Conti e lançou um programa formal de afiliados em fóruns da dark web em janeiro de 2026, recrutando pentesters como intermediários de acesso inicial. O grupo adota extorsão dupla: criptografa os dados e ameaça publicar informações exfiltradas em um site de vazamentos dedicado na rede Tor. A cobertura anterior do Gunra neste portal descreveu a operação em termos gerais; este artigo foca nos vetores técnicos de acesso inicial e no procedimento de verificação que defensores devem executar em dispositivos Fortinet.
Como o Gunra obtém acesso inicial
O FBI observou atores do Gunra obtendo acesso inicial principalmente pela exploração de vulnerabilidades conhecidas em dispositivos voltados para a internet, incluindo appliances de firewall e VPN. As duas CVEs específicas identificadas no alerta são CVE-2024-55591, uma vulnerabilidade de bypass de autenticação que afeta versões específicas do FortiOS e FortiProxy, e CVE-2025-24472, também classificada como bypass de autenticação por canal alternativo nos mesmos produtos. Ambas permitem que um atacante remoto não autenticado obtenha acesso administrativo ao dispositivo comprometido sem precisar de credenciais válidas.
Em paralelo, a Polícia Nacional da Coreia do Sul observou atores do Gunra explorando vulnerabilidades de exposição de credenciais e controles de acesso SSH em gateways VPN voltados para a internet. O padrão é consistente: o grupo prioriza dispositivos de perímetro com falhas não corrigidas, especialmente quando a autenticação multifator está ausente ou mal configurada.
Movimentação lateral após o acesso
Após comprometer o dispositivo de perímetro, os atores do Gunra usam bibliotecas Impacket — especificamente psexec.py e smbclient.py — para se mover lateralmente pela rede via protocolo SMB. Em um dos casos detalhados pelo FBI, os atacantes obtiveram acesso a uma conta de administrador de um appliance SSL-VPN explorando credenciais padrão quando os controles de bloqueio de conta não estavam ativos. Eles então baixaram o OpenSSH de um servidor controlado pelo atacante para estabelecer conexões persistentes entre sistemas comprometidos.
O grupo também foi observado manipulando arquivos de processamento de autenticação em um servidor de portal VDI corporativo para permitir autenticação bem-sucedida quando um valor OTP específico designado pelo Gunra era inserido, contornando continuamente a autenticação multifator. Para extrair credenciais, os atacantes usaram secretsdump.py contra controladores de domínio comprometidos, extraindo hashes de senhas do arquivo NTDS e permitindo ataques de pass-the-hash e pass-the-ticket para alcançar sistemas privilegiados adicionais.
Vetores e técnicas do Gunra mapeados
| Fase | Técnica observada | MITRE ATT&CK |
|---|---|---|
| Acesso inicial | Exploração de CVE-2024-55591 e CVE-2025-24472 em FortiOS/FortiProxy | T1190 |
| Acesso inicial | Credenciais padrão em SSL-VPN sem bloqueio de conta | T1078 |
| Persistência | OpenSSH para túnel SSH entre sistemas comprometidos | T1572 |
| Movimentação lateral | Impacket psexec.py e smbclient.py via SMB | T1021.002 |
| Acesso a credenciais | secretsdump.py para dump de NTDS em controlador de domínio | T1003.003 |
| Evasão de defesa | Modificação de arquivos de autenticação VDI para bypass de MFA | T1556.006 |
Como verificar se seu Fortinet foi comprometido
Defensores que operam firewalls Fortinet expostos à internet devem executar uma verificação estruturada para identificar sinais de comprometimento pelo Gunra ou grupos similares. O procedimento abaixo prioriza a detecção de acesso não autorizado via CVE-2024-55591 e CVE-2025-24472.
- Confirme a versão do FortiOS ou FortiProxy e verifique se o dispositivo está em uma versão afetada por CVE-2024-55591 ou CVE-2025-24472; aplique o patch do fabricante antes de qualquer outra ação forense.
- Exporte e analise os logs de autenticação do firewall em busca de logins administrativos de endereços IP não corporativos, especialmente acessos a interfaces de gerenciamento via HTTP ou HTTPS.
- Verifique a criação de contas administrativas não documentadas ou alterações em contas existentes, incluindo modificação de requisitos de troca de senha obrigatória.
- Procure por baixas de binários OpenSSH ou ferramentas de túnel em logs de tráfego de saída originados do appliance de VPN ou firewall.
- Revise sessões SMB anômalas na porta 445 entre o segmento de perímetro e controladores de domínio, indicando uso de Impacket.
- Execute um dump do arquivo NTDS.dit nos controladores de domínio e compare com backups conhecidos para detectar extração de hashes.
Mitigações prioritárias recomendadas
O alerta conjunto recomenda três ações para reduzir o risco de infecção pelo Gunra. Primeiro, priorizar a correção de vulnerabilidades conhecidas e já exploradas em sistemas voltados para a internet, incluindo gateways VPN e infraestrutura exposta a RDP — a correção de falhas em SSL-VPN da Fortinet é um exemplo de prazo apertado imposto pela CISA. Segundo, implementar e testar backups offline e imutáveis, armazenados em local fisicamente separado e segmentado. Terceiro, segmentar a rede para restringir movimentação lateral a partir de um dispositivo inicialmente comprometido.
Organizações que identificarem indicadores de comprometimento compatíveis com o Gunra devem reportar o incidente ao CISA ou ao FBI e preservar evidências para análise forense, conforme orientado pela diretiva BOD 26-04 sobre verificação de comprometimento em sistemas federalmente expostos.