Gunra勒索軟體全球肆虐！FBI、CISA聯手警告：Fortinet VPN漏洞成入侵跳板

Gunra係咩嚟？

Gunra係一種 勒索軟體即服務（Ransomware-as-a-Service，RaaS） 嘅營運模式，最早喺 2025年4月 出現，到咗2026年活動明顯加劇 。佢嘅加密程式係基於早前外洩嘅 Conti v1勒索軟體原始碼 開發嘅，運作上有好清晰嘅分工：核心開發人員負責維護加密器、贖金支付系統同數據洩漏網站，而附屬成員（affiliates）就負責入侵受害者網絡，事後同開發團隊分成 。

雙重勒索手法

Gunra採用 「雙重勒索」（double-extortion）策略：附屬成員喺加密系統之前，會先偷晒啲敏感數據，然後威脅受害機構：若果唔畀贖金，就會公開偷走嘅資料 。受害者得 5至7日 嘅時間去考慮，期限一到，數據就會被放上集團嘅數據洩漏網站 。

利用咩漏洞入侵？

Gunra主要係透過兩個存在於Fortinet FortiOS同FortiProxy產品嘅身份驗證繞過漏洞嚟入侵：

• CVE-2024-55591 — 影響FortiOS同FortiProxy嘅Node.js websocket模組，自2024年11月起已被當作零日漏洞利用，未被修補嘅漏洞會令未經授權嘅遠端攻擊者獲得超級管理員權限，CVSSv3評分高達9.6 。
• CVE-2025-24472 — 影響FortiOS 7.0.0至7.0.16版本，以及FortiProxy 7.2.0至7.2.12/7.0.0至7.0.19版本，允許遠端攻擊者喺知道上、下游裝置序號嘅情況下，繞過認證獲得超級管理員權限 。

攻擊者利用呢啲漏洞喺暴露於互聯網嘅FortiGate防火牆同SSL-VPN設備上建立 持久性超級管理員帳戶，繞過多重身份驗證，然後橫向移動到內部網絡 。調查人員發現，黑客經常喺受感染設備上建立一個名為 forticloud-sync 嘅惡意持久帳戶 。

全球受害者遍及邊啲行業？

Gunra已經攻擊咗 全球多個關鍵基礎設施行業 嘅機構，包括：

• 醫療保健
• 金融服務
• 關鍵製造業
• 交通運輸
• 政府機構（聯邦、州、地方）
• 公用事業 / 能源
• 學術機構

加密技術同手法

成功入侵後，Gunra附屬成員會利用常見嘅Windows管理工具，滲透到Active Directory、VDI基礎設施、數據庫伺服器、NAS系統、Microsoft OneDrive同SharePoint 。加密器採用多線程ChaCha20結合RSA-4096保護金鑰，加密後嘅檔案會加上 .ENCRT 副檔名，並喺每個受感染嘅資料夾留下名為 R3ADM3.txt 嘅勒索通知 。

值得一提嘅係，Gunra嘅Linux版本存在一個 可以利用嘅弱點：佢嘅加密金鑰係透過 srand(time(NULL)) 初始化嘅偽隨機數生成器（PRNG）產生，理論上係有可能還原金鑰嘅 。

點樣避開偵測？

為咗避免被發現，Gunra附屬成員會做以下嘢：

• 刪除受感染設備嘅存取日誌
• 清除命令歷史記錄 同 shell 歷史檔案
• 停用安全工具同篡改記錄服務

專家建議嘅防禦措施

聯合公告強烈建議各機構採取以下措施 ：

• 立即更新面向互聯網嘅系統 — 優先處理VPN閘道器、防火牆裝置同RDP服務，將FortiOS更新到7.0.17或更新版本，FortiProxy更新到7.0.20/7.2.13或更新版本 。
• 建立離線、不可更改嘅備份 — 將備份存放喺物理隔離嘅位置，並定期測試還原程序 。
• 實施網絡隔離 — 限制橫向移動，將關鍵資產同普通用戶網絡分開。
• 啟用防釣魚嘅多重身份驗證（phishing-resistant MFA）。
• 停用未使用嘅RDP端口，並實施最低權限訪問控制。

呢份聯合公告由FBI、CISA、NSA、DC3、美國特勤局同韓國警察廳共同發布 。當局強烈呼籲受害者向CISA或FBI報告事件，而唔好同黑客討價還價 。