فيروس Gunra: تحذير عاجل من FBI وCISA لاستغلال ثغرات فورتينت لشن هجمات ابتزاز مزدوجة

يحذر التحذير من أن قراصنة Gunra يستغلون ثغرات معروفة في أجهزة فورتينت (Fortinet) VPN لتجاوز أنظمة المصادقة متعددة العوامل، وسرقة البيانات، وتشفير شبكات المؤسسات حول العالم .

نظرة عامة على التهديد

Gunra هو فيروس فدية من نوع "الخدمة كبرنامج خبيث" (Ransomware-as-a-Service - RaaS) ظهر أول مرة في أبريل 2025، لكنه تصاعد بشكل كبير خلال عام 2026 . يعتمد الفيروس على كود برنامج Conti v1 المسرب، ويعمل عبر برنامج شراكة منظم يقوم فيه المطورون الأساسيون بإدارة أداة التشفير ومنصة الدفع وموقع تسريب البيانات، بينما ينفذ الشركاء عمليات الاختراق ويقتسمون عائدات الفدية .

أسلوب الابتزاز المزدوج

يستخدم الفيروس أسلوب "الابتزاز المزدوج" (Double-Extortion): يقوم الشركاء بنسخ بيانات حساسة من الأنظمة المخترقة قبل تشفيرها، ثم يهددون بنشر هذه البيانات إذا لم يتم دفع الفدية . تمنح الضحية مهلة صارمة تتراوح بين خمسة إلى سبعة أيام لدفع الفدية قبل نشر البيانات المسربة .

الثغرات المستغلة

تعتمد هجمات Gunra بشكل أساسي على ثغرتين في أجهزة فورتينت للجدران النارية (FortiOS) والـ VPN (FortiProxy):

• CVE-2024-55591 — ثغرة تجاوز للمصادقة تصيب وحدة Node.js websocket في منتجات فورتينت. تم استغلالها كتهديد من الصفر منذ نوفمبر 2024 . تسمح للمهاجمين غير الموثوقين بالحصول على صلاحيات المدير الأعلى (Super-Admin). تصنيف خطورتها على مقياس CVSSv3 هو 9.6 .

• CVE-2025-24472 — ثغرة تجاوز للمصادقة (CWE-288) تصيب FortiOS 7.0.0 إلى 7.0.16 وFortiProxy 7.2.0 إلى 7.2.12 / 7.0.0 إلى 7.0.19. تسمح للمهاجمين غير الموثوقين ممن لديهم علم بالأرقام التسلسلية للأجهزة العلوية والسفلية بالحصول على صلاحيات المدير الأعلى على الجهاز السفلي إذا كانت واجهة Security Fabric مفعّلة .

يستخدم القراصنة هذه الثغرات لإنشاء حسابات دائمة بصلاحيات المدير الأعلى على جدران فورتينت النارية وأجهزة VPN. رصد المحققون إنشاء حساب خبيث دائم يُدعى forticloud-sync .

القطاعات المستهدفة حول العالم

يستهدف Gunra مؤسسات حول العالم في قطاعات حيوية متعددة:

• الرعاية الصحية
• الخدمات المالية
• الصناعات التحويلية الحساسة
• النقل
• الحكومة (اتحادية وولائية ومحلية)
• المرافق العامة / الطاقة
• الأوساط الأكاديمية

تفاصيل التشفير والأساليب

بعد اختراق الشبكة، يستخدم شركاء Gunra أدوات إدارة ويندوز التقليدية للوصول إلى Active Directory وVDI وخوادم قواعد البيانات وأنظمة التخزين الشبكي و Microsoft OneDrive و Microsoft SharePoint .

يستخدم أداة التشفير متعددة الخيوط تشفير ChaCha20 مع RSA-4096 لحماية المفاتيح، ويُضيف الامتداد .ENCRT إلى الملفات المشفرة، ويُسقط ملف فدية باسم R3ADM3.txt .

تملك النسخة المخصصة للينكس نقطة ضعف: إذ تستمد مفاتيح التشفير من مولد أرقام عشوائية يُهيأ باستخدام srand(time(NULL))، مما يجعل استرجاع المفاتيح ممكناً .

أساليب التخفي

يستخدم القراصنة إجراءات أمنية لتجنب الاكتشاف:

• حذف سجلات الوصول على أجهزة فورتينت وأنظمة ويندوز المخترقة
• مسح سجل الأوامر وملفات تاريخ الأوامر
• تعطيل أدوات الأمان والتلاعب بخدمات التسجيل

توصيات الحماية

يُوصي التحذير المشترك بالإجراءات التالية :

• تصحيح الثغرات فوراً على الأنظمة المكشوفة على الإنترنت — إعطاء أولوية لأجهزة VPN والجدران النارية والخوادم المكشوفة عبر بروتوكول RDP. أصدرت فورتينت تصحيحات للثغرتين؛ يجب التحديث إلى FortiOS 7.0.17 أو أحدث وFortiProxy 7.0.20/7.2.13 أو أحدث .
• الاحتفاظ بنسخ احتياطية غير قابلة للتغيير وخارج الشبكة — تخزين النسخ في مكان منفصل مادياً واختبار إجراءات الاستعادة بانتظام .
• تقسيم الشبكات — الحد من الحركة الجانبية بعزل الأصول الحيوية وتقييد صلاحيات المسؤول عن المجال.
• فرض المصادقة متعددة العوامل المقاومة للتصيد على جميع اتصالات الوصول عن بُعد وVPN.
• تعطيل منافذ RDP غير المستخدمة وتطبيق سياسات الوصول الأقل صلاحية.

يُحث التحذير بشدة المؤسسات على الإبلاغ عن الحوادث إلى CISA أو FBI بدلاً من التفاوض على الفدية .