Gunra-kiristyshaittaohjelma: FBI, CISA ja kansainväliset kumppanit varoittavat Fortinet VPN -hyökkäyksistä ja kaksoiskiristyksestä

Tausta ja alkuperä

Gunra on kiristyshaittaohjelma palveluna (RaaS) -operaatio, joka ilmaantui ensimmäisen kerran huhtikuussa 2025 ja jonka toiminta kiihtyi merkittävästi vuoden 2026 aikana . Se perustuu vuodettuun Conti v1 -lähdekoodiin ja toimii jäsennellyn kumppaniohjelman kautta, jossa ydinkehittäjät ylläpitävät itse salausohjelmaa, maksuliikennettä ja tietovuotosivustoa, kun taas kumppanit toteuttavat tunkeutumiset ja jakavat lunnasrahat .

Kaksoiskiristys

Gunra käyttää kaksoiskiristysmenetelmää: kumppanit varastavat arkaluonteisia tietoja ennen järjestelmien salausta ja uhkaavat julkaista varastetut tiedot, jos lunnaita ei makseta . Uhrille annetaan ehdottomasti 5–7 päivän määräaika maksuun, minkä jälkeen tiedot julkaistaan ryhmän tietovuotosivustolla .

Hyväksikäytetyt haavoittuvuudet

Ensisijaisia alkupääsyn väyliä ovat kaksi Fortinet FortiOS- ja FortiProxy-tuotteiden tunnistautumisen ohitus -haavoittuvuutta:

• CVE-2024-55591 – Todistautumisen ohitus, joka vaikuttaa FortiOS- ja FortiProxy Node.js -websocket-moduuleihin ja jota on hyödynnetty nollapäivähaavoittuvuutena marraskuusta 2024 lähtien . Se antaa todentamattomille etähyökkääjille mahdollisuuden saada superpääkäyttäjän oikeudet. Haavoittuvuuden CVSSv3-pistemäärä on 9,6 .

• CVE-2025-24472 – Todistautumisen ohitus (CWE-288), joka vaikuttaa FortiOS 7.0.0–7.0.16 -versioihin ja FortiProxy 7.2.0–7.2.12 / 7.0.0–7.0.19 -versioihin. Se antaa todentamattomille etähyökkääjille, joilla on tietoja ylä- ja alavirran laitteiden sarjanumeroista, mahdollisuuden saada superpääkäyttäjän oikeudet alavirran laitteeseen, jos Security Fabric on käytössä .

Kumppanit käyttävät näitä haavoittuvuuksia luodakseen pysyviä superpääkäyttäjätilejä paljastuneisiin FortiGate-palomuureihin ja SSL-VPN-laitteisiin. Ne ohittavat MFA:n muuttamalla tunnistautumisprosessia ja siirtyvät sivusuunnassa yritysverkkoihin . Tutkijat ovat havainneet, että vaarantuneisiin laitteisiin on luotu haitallinen pysyvä tili nimeltä forticloud-sync .

Maailmanlaajuiset kohteet

Gunra on kohdistanut hyökkäyksiä maailmanlaajuisesti useille kriittisen infrastruktuurin sektoreille, kuten:

• Terveydenhuolto
• Rahoituspalvelut
• Teollisuus
• Liikenne
• Hallinto (liittovaltio, osavaltio, paikallinen)
• Energia-ala
• Korkeakoulut

Tekniikat ja salaustiedot

Päästyään verkkoon Gunra-kumppanit käyttävät yleisiä Windows-hallintatyökaluja päästäkseen Active Directoryyn, VDI-infrastruktuuriin, tietokantapalvelimiin, NAS-järjestelmiin, Microsoft OneDriveen ja Microsoft SharePointiin . Salausohjelma käyttää monisäikeistä ChaCha20:ta yhdistettynä RSA-4096:een avainten suojaamiseksi. Se lisää salattuihin tiedostoihin .ENCRT-päätteen ja jättää lunnaita koskevan viestin nimeltä R3ADM3.txt . Erillinen Linux-versio on suunnattu Linux-järjestelmiin ja siinä on raportoitu heikkous: sen salausavaimet johdetaan PRNG:stä, joka alustetaan srand(time(NULL)):llä, mikä saattaa mahdollistaa avainten palauttamisen .

Vältäntätekniikat

Välttääkseen havaitsemista Gunra-kumppanit käyttävät vakiomuotoisia operatiivisia turvatoimia:

• Poistavat lokit vaarantuneista Fortinet-laitteista ja Windows-järjestelmistä
• Tyhjentävät komentohistorian ja kuoritiedostot
• Poistavat käytöstä tietoturvatyökaluja ja vääristävät lokituspalveluita

Suositellut suojautumiskeinot

Yhteinen tiedote korostaa seuraavia keskeisiä suojautumiskeinoja :

• Korjaa internettiin kytketyt järjestelmät välittömästi – Priorisoi VPN-yhdyskäytävät, palomuurilaitteet ja RDP-altistetut infrastruktuurit. Fortinet on julkaissut korjauksia haavoittuvuuksiin CVE-2024-55591 ja CVE-2025-24472; organisaatioiden tulisi päivittää FortiOS 7.0.17:ään tai uudempaan ja FortiProxy 7.0.20/7.2.13:een tai uudempaan .
• Ylläpidä offline-, muuttumattomia varmuuskopioita – Säilytä varmuuskopiot erillään ja segmentoidussa sijainnissa ja testaa palautusmenettelyjä säännöllisesti .
• Segmentoi verkot – Rajoita sivuttaisliikettä eristämällä kriittiset kohteet ja rajoittamalla toimialueen pääkäyttäjän oikeuksia.
• Ota käyttöön kalastelunkestävä MFA kaikissa etäyhteyksissä ja VPN-yhteyksissä.
• Poista käytöstä käyttämättömät RDP-portit ja sovelta vähimpien oikeuksien käyttöoikeuskontrolleja.

Tiedotteen ovat yhteisesti laatineet FBI, CISA, NSA, Pentagonin kyberrikostorjuntakeskus (DC3), Yhdysvaltain salainen palvelu ja Etelä-Korean kansallinen poliisivirasto (KNPA) . Viranomaiset kehottavat organisaatioita ilmoittamaan tapahtumista CISA:lle tai FBI:lle lunnaiden maksamisen sijaan .