Peringatan Darurat: Gunra Ransomware Eksploitasi Celah Fortinet VPN, Ancam Infrastruktur Global

Latar Belakang dan Asal-Usul

Gunra adalah operasi ransomware-as-a-service (RaaS) yang pertama kali muncul pada April 2025 dan meningkatkan aktivitasnya secara signifikan sepanjang tahun 2026 . Ransomware ini dibangun di atas kode sumber Conti v1 yang bocor dan beroperasi melalui program afiliasi terstruktur di mana pengembang inti mengelola enkriptor, infrastruktur pembayaran, dan situs kebocoran data, sementara afiliasi melakukan intrusi dan membagi hasil tebusan .

Model Pemerasan Ganda (Double Extortion)

Gunra menggunakan pendekatan pemerasan ganda: afiliasi mencuri data sensitif sebelum mengenkripsi sistem, lalu mengancam akan membocorkan data curian tersebut jika uang tebusan tidak dibayar . Korban diberikan batas waktu lima hingga tujuh hari yang ketat untuk membayar sebelum data dipublikasikan di situs kebocoran grup .

Kerentanan yang Dieksploitasi

Vektor akses awal utama adalah dua kerentanan bypass autentikasi pada produk Fortinet FortiOS dan FortiProxy:

• CVE-2024-55591 — Bypass autentikasi yang memengaruhi modul Node.js websocket FortiOS dan FortiProxy, dieksploitasi sebagai zero-day sejak November 2024 . Kerentanan ini memungkinkan penyerang jarak jauh tanpa autentikasi untuk mendapatkan hak akses super-admin. Kerentanan ini memiliki skor CVSSv3 9.6 .

• CVE-2025-24472 — Kerentanan bypass autentikasi (CWE-288) yang memengaruhi FortiOS 7.0.0 hingga 7.0.16 dan FortiProxy 7.2.0 hingga 7.2.12 / 7.0.0 hingga 7.0.19, memungkinkan penyerang jarak jauh tanpa autentikasi yang mengetahui nomor seri perangkat hulu dan hilir untuk mendapatkan akses super-admin pada perangkat hilir jika Security Fabric diaktifkan .

Afiliasi menggunakan celah ini untuk membuat akun super-admin persisten pada firewall FortiGate dan peralatan SSL-VPN yang terpapar, melewati MFA dengan mengubah pemrosesan autentikasi, dan bergerak secara lateral ke dalam jaringan perusahaan . Penyidik telah mengamati pembuatan akun persisten berbahaya bernama forticloud-sync pada perangkat yang dikompromikan .

Jangkauan Korban Global

Gunra telah menargetkan organisasi di seluruh dunia di berbagai sektor infrastruktur kritis, termasuk:

• Kesehatan
• Jasa keuangan
• Manufaktur kritis
• Transportasi
• Pemerintahan (federal, negara bagian, lokal)
• Utilitas / energi
• Akademisi

Teknik dan Detail Enkripsi

Setelah berada di dalam jaringan, afiliasi Gunra menggunakan alat administrasi Windows umum untuk mencapai Active Directory, infrastruktur VDI, server database, sistem NAS, Microsoft OneDrive, dan Microsoft SharePoint . Enkriptor menggunakan ChaCha20 multithread yang dikombinasikan dengan RSA-4096 untuk perlindungan kunci, menambahkan ekstensi .ENCRT pada file yang dienkripsi, dan menjatuhkan catatan tebusan bernama R3ADM3.txt . Varian Linux terpisah menargetkan sistem Linux dan memiliki kelemahan yang dilaporkan: kunci enkripsinya berasal dari PRNG yang diinisialisasi dengan srand(time(NULL)), yang berpotensi memungkinkan pemulihan kunci .

Teknik Penghindaran Deteksi

Untuk menghindari deteksi, afiliasi Gunra menggunakan langkah-langkah keamanan operasional standar:

• Menghapus log akses pada peralatan Fortinet dan sistem Windows yang dikompromikan
• Menghapus riwayat perintah dan file riwayat shell
• Menonaktifkan alat keamanan dan mengutak-atik layanan pencatatan (logging)

Pertahanan yang Direkomendasikan

Peringatan bersama ini menekankan mitigasi utama berikut :

• Segera patch sistem yang terpapar internet — Prioritaskan gateway VPN, peralatan firewall, dan infrastruktur yang terpapar RDP. Fortinet telah merilis perbaikan untuk CVE-2024-55591 dan CVE-2025-24472; organisasi harus memperbarui ke FortiOS 7.0.17 atau yang lebih baru dan FortiProxy 7.0.20/7.2.13 atau yang lebih baru .
• Pertahankan backup offline yang tidak dapat diubah — Simpan backup di luar jalur di lokasi yang terpisah secara fisik dan tersegmentasi, serta uji prosedur pemulihan secara teratur .
• Segmentasi jaringan — Batasi pergerakan lateral dengan mengisolasi aset kritis dan membatasi hak istimewa admin domain.
• Terapkan MFA yang tahan phishing pada semua akses jarak jauh dan koneksi VPN.
• Nonaktifkan port RDP yang tidak digunakan dan terapkan kontrol akses dengan hak istimewa paling rendah (least privilege).

Peringatan ini dikeluarkan bersama oleh FBI, CISA, NSA, Pusat Kejahatan Siber Departemen Pertahanan (DC3), Dinas Rahasia AS, dan Kepolisian Nasional Republik Korea (KNPA) . Badan-badan tersebut sangat mendesak organisasi untuk melaporkan insiden ke CISA atau FBI daripada menegosiasikan tuntutan tebusan .