Ransomware Gunra : le FBI et la CISA mettent en garde contre les attaques VPN Fortinet et la double extorsion

Contexte et origine

Gunra est une opération de rançongiciel en tant que service (RaaS) apparue pour la première fois en avril 2025 et dont l'activité s'est considérablement intensifiée au cours de l'année 2026 . Il est construit à partir du code source divulgué du rançongiciel Conti v1 et fonctionne via un programme d'affiliation structuré : les développeurs principaux maintiennent le logiciel de chiffrement, l'infrastructure de paiement et le site de fuite de données, tandis que les affiliés mènent les intrusions et partagent le produit des rançons .

Modèle de double extorsion

Gunra utilise une approche de double extorsion : les affiliés exfiltrent des données sensibles avant de chiffrer les systèmes, puis menacent de divulguer les données volées si la rançon n'est pas payée . Les victimes se voient imposer un délai strict de cinq à sept jours pour payer la rançon avant que les données ne soient publiées sur le site de fuite de données du groupe .

Vulnérabilités exploitées

Les principaux vecteurs d'accès initial sont deux vulnérabilités de contournement d'authentification dans les produits Fortinet FortiOS et FortiProxy :

• CVE-2024-55591 — Un contournement d'authentification affectant les modules websocket Node.js de FortiOS et FortiProxy, exploité comme une faille zero-day depuis novembre 2024 . Il permet à des attaquants distants non authentifiés d'obtenir des privilèges de super-administrateur. Cette vulnérabilité a un score CVSSv3 de 9,6 .

• CVE-2025-24472 — Une vulnérabilité de contournement d'authentification (CWE-288) affectant FortiOS 7.0.0 à 7.0.16 et FortiProxy 7.2.0 à 7.2.12 / 7.0.0 à 7.0.19, permettant à des attaquants distants non authentifiés, connaissant les numéros de série des périphériques amont et aval, d'obtenir un accès super-administrateur sur le périphérique aval si la Security Fabric est activée .

Les affiliés utilisent ces failles pour créer des comptes super-administrateurs persistants sur les pare-feu FortiGate et les appliances SSL-VPN exposés, contourner l'authentification multifacteur en modifiant le traitement de l'authentification, et se déplacer latéralement dans les réseaux d'entreprise . Les enquêteurs ont observé la création d'un compte malveillant persistant nommé forticloud-sync sur les appareils compromis .

Victimes dans le monde entier

Gunra a ciblé des organisations à l'échelle mondiale dans de multiples secteurs d'infrastructures critiques, notamment :

• Santé
• Services financiers
• Fabrication critique
• Transports
• Gouvernement (fédéral, étatique, local)
• Services publics / énergie
• Monde académique

Techniques et détails du chiffrement

Une fois à l'intérieur d'un réseau, les affiliés de Gunra utilisent des outils d'administration Windows courants pour atteindre Active Directory, l'infrastructure VDI, les serveurs de bases de données, les systèmes NAS, Microsoft OneDrive et Microsoft SharePoint . Le logiciel de chiffrement utilise ChaCha20 multithread combiné à RSA-4096 pour la protection des clés, ajoute l'extension .ENCRT aux fichiers chiffrés et dépose une note de rançon nommée R3ADM3.txt . Une variante Linux distincte cible les systèmes Linux et présente une faiblesse signalée : ses clés de chiffrement dérivent d'un PRNG initialisé avec srand(time(NULL)), ce qui pourrait potentiellement permettre la récupération des clés .

Techniques d'évasion

Pour éviter la détection, les affiliés de Gunra emploient des mesures de sécurité opérationnelle standard :

• Suppression des journaux d'accès sur les appliances Fortinet et les systèmes Windows compromis
• Effacement de l'historique des commandes et des fichiers d'historique du shell
• Désactivation des outils de sécurité et altération des services de journalisation

Défenses recommandées

L'avis conjoint met l'accent sur les mesures d'atténuation clés suivantes :

• Corriger immédiatement les systèmes exposés à Internet — Prioriser les passerelles VPN, les appliances pare-feu et l'infrastructure exposée via le protocole RDP. Fortinet a publié des correctifs pour CVE-2024-55591 et CVE-2025-24472 ; les organisations doivent mettre à jour vers FortiOS 7.0.17 ou version ultérieure et FortiProxy 7.0.20/7.2.13 ou version ultérieure .
• Maintenir des sauvegardes hors ligne et immuables — Stocker les sauvegardes hors bande dans un emplacement physiquement séparé et segmenté, et tester régulièrement les procédures de restauration .
• Segmenter les réseaux — Limiter les mouvements latéraux en isolant les actifs critiques et en restreignant les privilèges d'administrateur de domaine.
• Appliquer une authentification multifacteur résistante au phishing sur tous les accès distants et connexions VPN.
• Désactiver les ports RDP inutilisés et appliquer des contrôles d'accès basés sur le principe du moindre privilège.

L'avis a été émis conjointement par le FBI, la CISA, la NSA, le Centre de lutte contre la cybercriminalité du ministère de la Défense (DC3), les services secrets américains et l'Agence nationale de la police de la République de Corée (KNPA) . Les agences exhortent vivement les organisations à signaler les incidents à la CISA ou au FBI plutôt que de négocier le paiement des rançons .