Gunra勒索软件全球蔓延，美韩联合警告：立即修补Fortinet漏洞

背景与起源

Gunra是一种勒索软件即服务（RaaS）运营模式，于2025年4月首次出现，并在2026年活动显著升级。它基于泄露的Conti v1勒索软件源代码构建，通过结构化的附属计划运作：核心开发者负责维护加密器、支付基础设施和数据泄露网站，而附属组织则执行入侵并分取赎金收益。

双重勒索模式

Gunra采用典型的双重勒索手法：附属组织在加密系统之前先窃取敏感数据，然后威胁称，若赎金未付，将公开窃取的数据。受害者被给予严格的5至7天支付赎金的最后期限，否则数据将在该组织的泄露网站上公布。

被利用的漏洞

初始访问的主要途径是Fortinet FortiOS和FortiProxy产品中的两个身份验证绕过漏洞：

• CVE-2024-55591：影响FortiOS和FortiProxy Node.js WebSocket模块的身份验证绕过漏洞，自2024年11月起作为零日漏洞被利用。未经身份验证的远程攻击者可利用该漏洞获得超级管理员权限。该漏洞的CVSSv3评分为9.6。

• CVE-2025-24472：影响FortiOS 7.0.0至7.0.16版本以及FortiProxy 7.2.0至7.2.12/7.0.0至7.0.19版本的身份验证绕过漏洞，使得了解上下游设备序列号的远程未认证攻击者能够在启用了Security Fabric的下游设备上获得超级管理员访问权限。

附属组织利用这些漏洞在暴露的FortiGate防火墙和SSL-VPN设备上创建持久化的超级管理员账户，通过篡改身份验证进程绕过MFA，并向企业网络内部横向移动。调查人员已在受感染设备上观察到名为forticloud-sync的恶意持久化账户的创建。

全球受害者范围

Gunra已瞄准全球多个关键基础设施领域的组织，包括：

• 医疗保健
• 金融服务
• 关键制造业
• 交通运输
• 政府（联邦、州、地方）
• 公用事业/能源
• 学术机构

攻击技术与加密细节

一旦进入网络，Gunra附属组织便使用常见的Windows管理工具访问Active Directory、VDI基础设施、数据库服务器、NAS系统、Microsoft OneDrive和Microsoft SharePoint。加密器使用多线程ChaCha20结合RSA-4096进行密钥保护，被加密的文件会附加.ENCRT扩展名，并留下名为R3ADM3.txt的赎金说明。此外，还存在一个针对Linux系统的变种，但其存在一个已知弱点：加密密钥源自一个由srand(time(NULL))初始化的伪随机数生成器，这可能使得密钥恢复成为可能。

规避技术

为避免被检测，Gunra附属组织采用了标准的操作安全措施：

• 删除受感染Fortinet设备和Windows系统上的访问日志
• 清除命令历史和shell历史记录文件
• 禁用安全工具并篡改日志记录服务

推荐的防御措施

联合预警强调了以下关键缓解措施：

• 立即修补面向互联网的系统——优先处理VPN网关、防火墙设备和暴露的RDP基础设施。Fortinet已发布针对CVE-2024-55591和CVE-2025-24472的修复程序；组织应将FortiOS更新至7.0.17或更高版本，将FortiProxy更新至7.0.20/7.2.13或更高版本。
• 维护离线、不可变的备份——将备份存储在物理分离的隔离位置，并定期测试恢复流程。
• 网络分段——通过隔离关键资产和限制域管理员权限来限制横向移动。
• 在所有远程访问和VPN连接上强制实施抗钓鱼的多因素认证。
• 禁用未使用的RDP端口并应用最小权限访问控制。

该预警由FBI、CISA、NSA、国防部网络犯罪中心（DC3）、美国特勤局和韩国国家警察厅（KNPA）联合发布。各机构强烈敦促各组织向CISA或FBI报告事件，而不是协商赎金要求。