Кибервымогатель Gunra: совместное предупреждение спецслужб США и Южной Кореи

Происхождение и модель деятельности

Gunra — это схема программа-вымогатель как услуга (RaaS), впервые появившаяся в апреле 2025 года и значительно активизировавшаяся в 2026 году . Она построена на утекшем исходном коде вымогателя Conti v1 и работает через структурированную партнерскую программу: основные разработчики поддерживают шифровальщик, платежную инфраструктуру и сайт утечки данных, в то время как партнеры проводят взломы и делят полученный выкуп .

Модель двойного вымогательства

Gunra использует подход двойного вымогательства: партнеры сначала похищают конфиденциальные данные, а затем шифруют системы, угрожая опубликовать украденную информацию, если выкуп не будет выплачен . Жертвам предоставляется строгий срок от пяти до семи дней для оплаты, после чего данные публикуются на сайте утечки группировки .

Эксплуатируемые уязвимости

Основными векторами первоначального доступа являются две уязвимости обхода аутентификации в продуктах Fortinet FortiOS и FortiProxy:

• CVE-2024-55591 — Обход аутентификации, затрагивающий модули Node.js websocket в FortiOS и FortiProxy, эксплуатировавшийся как уязвимость нулевого дня с ноября 2024 года . Он позволяет неаутентифицированным удаленным злоумышленникам получить права суперадминистратора. Эта уязвимость имеет оценку CVSSv3 9,6 .

• CVE-2025-24472 — Уязвимость обхода аутентификации (CWE-288), затрагивающая FortiOS 7.0.0–7.0.16 и FortiProxy 7.2.0–7.2.12 / 7.0.0–7.0.19, позволяющая удаленным неаутентифицированным злоумышленникам, знающим серийные номера вышестоящих и нижестоящих устройств, получить доступ уровня суперадминистратора на нижестоящем устройстве, если включена функция Security Fabric .

Аффилированные лица используют эти уязвимости для создания постоянных учетных записей суперадминистратора на открытых межсетевых экранах FortiGate и устройствах SSL-VPN, обхода MFA путем изменения обработки аутентификации и перемещения в корпоративные сети . Следователи наблюдали создание вредоносной постоянной учетной записи с именем forticloud-sync на скомпрометированных устройствах .

География и отрасли жертв

Gunra атакует организации по всему миру в различных секторах критической инфраструктуры, включая:

• Здравоохранение
• Финансовые услуги
• Критическое производство
• Транспорт
• Государственное управление (федеральное, региональное, местное)
• Коммунальные услуги / энергетика
• Образование

Методы и детали шифрования

Проникнув в сеть, партнеры Gunra используют стандартные инструменты администрирования Windows для доступа к Active Directory, инфраструктуре VDI, серверам баз данных, NAS, Microsoft OneDrive и Microsoft SharePoint . Шифровальщик использует многопоточный ChaCha20 в сочетании с RSA-4096 для защиты ключей, добавляет расширение .ENCRT к зашифрованным файлам и оставляет записку с требованием выкупа с именем R3ADM3.txt . Существует также версия для Linux, у которой есть потенциальная слабость: ее ключи шифрования генерируются из PRNG, инициализированного с помощью srand(time(NULL)), что потенциально делает возможным восстановление ключей .

Методы сокрытия следов

Чтобы избежать обнаружения, партнеры Gunra применяют стандартные меры операционной безопасности:

• Удаляют журналы доступа на скомпрометированных устройствах Fortinet и в системах Windows
• Очищают историю команд и файлы истории оболочки
• Отключают средства безопасности и вмешиваются в службы ведения журнала

Рекомендации по защите

Совместное предупреждение подчеркивает следующие ключевые меры :

• Немедленно установите патчи на системы, доступные из интернета — В первую очередь обновите шлюзы VPN, межсетевые экраны и инфраструктуру с открытым RDP. Fortinet выпустил исправления для CVE-2024-55591 и CVE-2025-24472; организациям следует обновиться до FortiOS 7.0.17 или новее и FortiProxy 7.0.20/7.2.13 или новее .
• Поддерживайте офлайн- и неизменяемые резервные копии — Храните резервные копии вне сети в физически отдельном сегментированном месте и регулярно тестируйте процедуры восстановления .
• Сегментируйте сети — Ограничьте боковое перемещение злоумышленников, изолируя критически важные активы и ограничивая привилегии администраторов домена.
• Внедрите устойчивую к фишингу многофакторную аутентификацию для всех удаленных подключений и VPN.
• Отключите неиспользуемые порты RDP и применяйте контроль доступа с минимальными привилегиями.

Предупреждение было совместно выпущено ФБР, CISA, АНБ, Центром киберпреступности Министерства обороны (DC3), Секретной службой США и Национальным полицейским агентством Республики Корея (KNPA) . Агентства настоятельно призывают организации сообщать об инцидентах в CISA или ФБР, а не вступать в переговоры о выкупе .