Gunra Ransomware: CISA Alerta Sobre Ameaça e Vulnerabilidades

Alerta da CISA sobre o Ransomware Gunra

O ransomware Gunra emergiu como uma ameaça significativa em 2025, evoluindo para um modelo de Ransomware-as-a-Service (RaaS) em 2026, com alvos que incluem governos e infraestruturas críticas. Este tipo de ataque, que emprega um esquema de dupla extorsão, não só encripta dados, mas também ameaça a sua publicação em sites de vazamento dedicados se o resgate não for pago. As agências de segurança, incluindo o FBI, CISA e NSA, emitiram um alerta conjunto para detalhar as táticas, técnicas e procedimentos (TTPs) do Gunra e fornecer orientações essenciais para a deteção e mitigação da ameaça.

Como o Gunra Obtém Acesso Inicial

Os atores do Gunra exploram falhas conhecidas em sistemas virados para a internet, como gateways de VPN e infraestruturas expostas a RDP. A CISA observou explorações baseadas em CVE-2024-55591 e CVE-2025-24472, que são vulnerabilidades de bypass de autenticação que afetam versões específicas do FortiOS e FortiProxy. Além disso, a Agência Nacional de Polícia da República da Coreia (KNPA) identificou que o Gunra também explora falhas de exposição de credenciais e de controlo de acesso SSH em gateways de VPN para obter acesso remoto não autorizado. Vulnerabilidades em FortiOS têm sido um alvo comum para grupos de ransomware.

Táticas de Extorsão e Movimento Lateral

Após o acesso inicial, o Gunra utiliza um modelo de dupla extorsão, exfiltrando dados sensíveis antes da encriptação e ameaçando publicá-los num DLS se o pagamento não for realizado. As vítimas são direcionadas para um portal de negociação baseado em Tor e instruídas a contactar os atacantes via qTox para negociar o resgate em cinco a sete dias. Caso contrário, os dados são vendidos no DLS. Os atores do Gunra também usam bibliotecas Impacket, como psexec.py e smbclient.py, para movimento lateral na rede através do protocolo Server Message Block (SMB).

Mitigações Essenciais Contra o Gunra

Para mitigar a ameaça do ransomware Gunra, as organizações são fortemente encorajadas a priorizar a aplicação de patches em vulnerabilidades conhecidas exploradas em sistemas expostos à internet. Isso inclui gateways de VPN e infraestruturas expostas a RDP. É fundamental implementar e testar cópias de segurança offline e imutáveis, armazenadas num local físico e segmentado. Adicionalmente, a segmentação de redes é crucial para limitar o movimento lateral de um dispositivo inicialmente comprometido para outros sistemas na organização. A CISA também adicionou recentemente a CVE-2026-8037 do LoadMaster ao seu catálogo KEV, reforçando a necessidade de patching constante.

Resumo das Recomendações de Segurança

A proteção contra o ransomware Gunra requer uma abordagem multifacetada. Abaixo, um resumo das ações recomendadas:

Fontes

• CISA Cybersecurity Advisory AA26-222A: #StopRansomware: Gunra Ransomware
• CISA Known Exploited Vulnerabilities Catalog