Ransomware Gunra: Ancaman Siber Global Melalui Fortinet VPN

Latar Belakang dan Asal Usul

Gunra adalah operasi ransomware sebagai perkhidmatan (RaaS) yang mula-mula muncul pada April 2025 dan meningkatkan aktivitinya dengan ketara sepanjang 2026 . Ia dibina menggunakan kod sumber Conti v1 yang bocor dan beroperasi melalui program afiliasi berstruktur di mana pembangun teras mengekalkan penyulit, infrastruktur pembayaran, dan laman kebocoran data manakala afiliasi menjalankan pencerobohan dan membahagikan hasil tebusan .

Model Pemerasan Berganda

Gunra menggunakan pendekatan pemerasan berganda (double extortion): afiliasi mencuri data sensitif sebelum menyulitkan sistem, kemudian mengancam untuk membocorkan data yang dicuri jika tebusan tidak dibayar . Mangsa diberi tempoh lima hingga tujuh hari yang ketat untuk membayar tebusan sebelum data diterbitkan di laman kebocoran data kumpulan itu .

Kelemahan Yang Dieksploitasi

Vektor akses awal utama adalah dua kelemahan pintasan pengesahan dalam produk Fortinet FortiOS dan FortiProxy:

• CVE-2024-55591 — Pintasan pengesahan yang menjejaskan modul websocket FortiOS dan FortiProxy Node.js, dieksploitasi sebagai zero-day sejak November 2024 . Ia membolehkan penyerang jauh yang tidak disahkan mendapatkan keistimewaan pentadbir super. Kelemahan ini membawa skor CVSSv3 9.6 .

• CVE-2025-24472 — Kelemahan pintasan pengesahan (CWE-288) yang menjejaskan FortiOS 7.0.0 hingga 7.0.16 dan FortiProxy 7.2.0 hingga 7.2.12 / 7.0.0 hingga 7.0.19, membolehkan penyerang jauh yang tidak disahkan dengan pengetahuan nombor siri peranti hulu dan hilir mendapatkan akses pentadbir super pada peranti hilir jika Security Fabric didayakan .

Afiliasi menggunakan kelemahan ini untuk mencipta akaun pentadbir super yang kekal pada tembok api FortiGate dan peralatan SSL-VPN yang terdedah, memintas MFA dengan mengubah pemprosesan pengesahan, dan bergerak secara lateral ke dalam rangkaian perusahaan . Penyiasat telah memerhatikan penciptaan akaun kekal berniat jahat bernama forticloud-sync pada peranti yang terjejas .

Skop Mangsa Seluruh Dunia

Gunra telah menyasarkan organisasi secara global merentas pelbagai sektor infrastruktur kritikal, termasuk:

• Penjagaan kesihatan
• Perkhidmatan kewangan
• Pembuatan kritikal
• Pengangkutan
• Kerajaan (persekutuan, negeri, tempatan)
• Utiliti / tenaga
• Akademik

Teknik dan Butiran Penyulitan

Setelah berada di dalam rangkaian, afiliasi Gunra menggunakan alat pentadbiran Windows biasa untuk mencapai Active Directory, infrastruktur VDI, pelayan pangkalan data, sistem NAS, Microsoft OneDrive, dan Microsoft SharePoint . Penyulit menggunakan ChaCha20 berbilang thread yang digabungkan dengan RSA-4096 untuk perlindungan kunci, menambahkan sambungan .ENCRT pada fail yang disulitkan, dan menjatuhkan nota tebusan bernama R3ADM3.txt . Varian Linux yang berasingan menyasarkan sistem Linux dan mempunyai kelemahan yang dilaporkan: kunci penyulitannya berasal dari PRNG yang dimulakan dengan srand(time(NULL)), yang berpotensi memungkinkan pemulihan kunci .

Teknik Pengelakan

Untuk mengelakkan pengesanan, afiliasi Gunra menggunakan langkah keselamatan operasi standard:

• Padam log akses pada peralatan Fortinet dan sistem Windows yang terjejas
• Kosongkan sejarah arahan dan fail sejarah shell
• Lumpuhkan alat keselamatan dan ganggu perkhidmatan log

Pertahanan Yang Disyorkan

Nasihat bersama menekankan langkah-langkah mitigasi utama ini :

• Tampar sistem yang menghadap internet dengan segera — Utamakan get laluan VPN, peralatan tembok api, dan infrastruktur terdedah RDP. Fortinet telah mengeluarkan pembetulan untuk CVE-2024-55591 dan CVE-2025-24472; organisasi harus mengemas kini ke FortiOS 7.0.17 atau lebih baru dan FortiProxy 7.0.20/7.2.13 atau lebih baru .
• Simpan sandaran luar talian yang tidak boleh diubah — Simpan sandaran di luar jalur di lokasi berasingan fizikal dan terbahagi dan uji prosedur pemulihan secara tetap .
• Bahagikan rangkaian — Hadkan pergerakan lateral dengan mengasingkan aset kritikal dan menyekat keistimewaan pentadbir domain.
• Kuatkuasakan MFA tahan pancingan data pada semua akses jauh dan sambungan VPN.
• Lumpuhkan port RDP yang tidak digunakan dan gunakan kawalan akses keistimewaan paling rendah.

Nasihat ini dikeluarkan bersama oleh FBI, CISA, NSA, Pusat Jenayah Siber Pertahanan (DC3), Perkhidmatan Rahsia AS, dan Agensi Polis Nasional Korea Selatan (KNPA) . Agensi-agensi amat menggesa organisasi untuk melaporkan insiden kepada CISA atau FBI daripada berunding dengan permintaan tebusan .