Alerta Internacional: Ransomware Gunra Mira Governos e Empresas Usando Falhas do Fortinet

Origem e Modelo de Negócio

O Gunra é uma operação de ransomware como serviço (RaaS) que surgiu em abril de 2025 e intensificou suas atividades ao longo de 2026 . Ele é construído sobre o código-fonte vazado do ransomware Conti v1 e opera por meio de um programa de afiliados estruturado: os desenvolvedores principais mantêm o criptografador, a infraestrutura de pagamento e o site de vazamento de dados, enquanto os afiliados realizam as invasões e dividem os lucros do resgate .

Dupla Extorsão: Roubo e Criptografia

O Gunra utiliza uma abordagem de dupla extorsão: os afiliados primeiro exfiltram dados sensíveis antes de criptografar os sistemas e, em seguida, ameaçam vazar as informações roubadas caso o resgate não seja pago . As vítimas recebem um prazo rigoroso de cinco a sete dias para efetuar o pagamento antes que os dados sejam publicados no site do grupo .

As Falhas Exploradas no Fortinet

Os principais vetores de acesso inicial são duas vulnerabilidades de bypass de autenticação nos produtos FortiOS e FortiProxy da Fortinet:

• CVE-2024-55591 — Um bypass de autenticação que afeta os módulos Node.js websocket do FortiOS e FortiProxy, explorado como zero-day desde novembro de 2024 . Ele permite que invasores remotos não autenticados obtenham privilégios de superadministrador. Esta vulnerabilidade possui uma pontuação CVSSv3 de 9.6 .

• CVE-2025-24472 — Uma vulnerabilidade de bypass de autenticação (CWE-288) que afeta o FortiOS 7.0.0 a 7.0.16 e o FortiProxy 7.2.0 a 7.2.12 / 7.0.0 a 7.0.19. Ela permite que invasores remotos não autenticados, com conhecimento dos números de série dos dispositivos upstream e downstream, obtenham acesso de superadministrador no dispositivo downstream se o Security Fabric estiver ativado .

Os afiliados usam essas falhas para criar contas de superadministrador persistentes em firewalls FortiGate e appliances SSL-VPN expostos, burlar a autenticação multifator (MFA) alterando o processamento de autenticação e se mover lateralmente para as redes corporativas . Investigadores observaram a criação de uma conta maliciosa persistente chamada forticloud-sync em dispositivos comprometidos .

Detalhes da Criptografia

Uma vez dentro da rede, os afiliados usam ferramentas administrativas comuns do Windows para alcançar Active Directory, infraestrutura VDI, servidores de banco de dados, sistemas NAS, Microsoft OneDrive e Microsoft SharePoint . O criptografador usa ChaCha20 multithread combinado com RSA-4096 para proteção de chaves, adiciona a extensão .ENCRT aos arquivos criptografados e gera uma nota de resgate chamada R3ADM3.txt . Uma variante separada para Linux também existe e apresenta uma fraqueza reportada: suas chaves de criptografia derivam de um PRNG inicializado com srand(time(NULL)), o que pode tornar a recuperação das chaves possível .

Técnicas de Evasão

Para evitar a detecção, os afiliados do Gunra empregam várias medidas operacionais de segurança:

• Deletam logs de acesso em appliances Fortinet e sistemas Windows comprometidos
• Limpam o histórico de comandos e arquivos de histórico do shell
• Desativam ferramentas de segurança e adulteram serviços de registro

Recomendações de Defesa

O alerta conjunto enfatiza as seguintes mitigações principais :

• Corrigir sistemas com acesso à internet imediatamente — Priorizar gateways VPN, appliances de firewall e infraestrutura exposta via RDP. A Fortinet lançou correções para CVE-2024-55591 e CVE-2025-24472; as organizações devem atualizar para FortiOS 7.0.17 ou posterior e FortiProxy 7.0.20/7.2.13 ou posterior .
• Manter backups offline e imutáveis — Armazenar backups fora da banda, em um local fisicamente separado e segmentado, e testar os procedimentos de restauração regularmente .
• Segmentar as redes — Limitar o movimento lateral isolando ativos críticos e restringindo privilégios de administrador de domínio.
• Implementar MFA resistente a phishing em todos os acessos remotos e conexões VPN.
• Desabilitar portas RDP não utilizadas e aplicar controles de acesso com privilégios mínimos.

O alerta foi emitido conjuntamente pelo FBI, CISA, NSA, Centro de Crime Cibernético do Departamento de Defesa (DC3), Serviço Secreto dos EUA e a Agência Nacional de Polícia da Coreia do Sul (KNPA) . As agências recomendam fortemente que as organizações relatem incidentes à CISA ou ao FBI em vez de negociar pedidos de resgate .