Gunra Ransomware: FBI e CISA avvertono di attacchi alle infrastrutture critiche

Il 10 agosto 2026, sei agenzie federali statunitensi (FBI, CISA, NSA, DC3, USSS) insieme alla polizia nazionale sudcoreana (KNPA) hanno pubblicato un advisory congiunto su Gunra, una ransomware operation che nell’ultimo anno è passata da minaccia emergente a problema serio per infrastrutture critiche in tutto il mondo. Quando sei agenzie si mettono d’accordo per firmare lo stesso documento non si tratta di un avviso di routine, e francamente, dopo aver analizzato quello che Gunra fa e come lo fa, il campanello suona forte.

Origini e connessioni

Gunra è comparsa nell’aprile 2025, con il codice basato sul sorgente di Conti trapelato pubblicamente nel febbraio 2022 da un ricercatore di sicurezza ucraino. Quel leak è stato una specie di regalo di Natale anticipato per mezzo cybercriminale del pianeta, e da allora ha generato decine di varianti ransomware, ma Gunra è tra le più organizzate a emergere da quella base di codice.

A gennaio 2026 il gruppo ha fatto il salto di qualità passando da operazione singola a piattaforma Ransomware-as-a-Service (RaaS) completa con pannello di gestione per gli affiliati, builder configurabile, payload cross-platform per Windows e Linux e documentazione strutturata. Operano anche sotto l’alias «Golden Community» e reclutano attivamente penetration tester e initial access broker sui forum del dark web con modelli di revenue sharing come incentivo, praticamente una startup il cui prodotto è la distruzione.

Il dettaglio che cambia davvero la prospettiva è però un altro: l’azienda di sicurezza sudcoreana AhnLab e diverse agenzie governative coreane hanno documentato legami tra Gunra e il Lazarus Group, il gruppo di hacking nordcoreano responsabile di alcuni dei più grandi cyberattacchi degli ultimi anni. Condivisione di strumenti e infrastruttura, con attacchi mirati specificamente contro organizzazioni sudcoreane, e non è un caso che la KNPA abbia cofirmato l’advisory.

Come avviene l’accesso iniziale

Il punto di ingresso preferito sono due vulnerabilità nei prodotti Fortinet che, va detto, hanno patch disponibili da tempo:

  • CVE-2024-55591: bypass dell’autenticazione in FortiOS e FortiProxy (CWE-288), che consente a un aggressore remoto di ottenere privilegi amministrativi senza credenziali valide
  • CVE-2025-24472: seconda vulnerabilità di bypass dell’autenticazione negli stessi prodotti Fortinet

Entrambe colpiscono dispositivi esposti a internet (firewall e gateway VPN) e danno accesso privilegiato diretto all’infrastruttura di rete, il che è un po’ come lasciare la porta d’ingresso spalancata con un cartello «accomodatevi». Nessun bisogno di ingannare utenti con email di phishing, nessun bisogno di aggirare l’endpoint security, perché si entra dalla porta principale.

Gli attaccanti sfruttano anche debolezze nei controlli di accesso SSH e credenziali predefinite su appliance SSL-VPN, con il denominatore comune che è sempre lo stesso: infrastruttura esposta a internet che nessuno ha aggiornato.

La catena di attacco

Una volta dentro, gli affiliati di Gunra non improvvisano ma seguono un playbook collaudato che vediamo ripetersi in quasi ogni incidente di questo tipo.

Movimento laterale: Usano utilità Impacket per spostarsi via SMB, compromettono Active Directory, dirottano sessioni attive e si infiltrano nelle workstation IT, e da lì è un domino che procede da un sistema all’altro.

Esfiltrazione dei dati: Prima di cifrare qualsiasi cosa rubano tutto quello che trovano di valore, da documenti aziendali a database, dati personali e comunicazioni email. Un eseguibile sviluppato appositamente, chiamato main.exe, prende di mira specificamente Microsoft OneDrive e SharePoint, e i dati vengono compressi e caricati sul servizio di file-sharing Mega. In almeno un caso documentato il volume di dati esfiltrati ha raggiunto decine di terabyte, non gigabyte.

Distruzione dei backup: Questo è il passaggio che fa davvero male, perché tramite Windows Management Instrumentation (WMI) eliminano le copie shadow e poi distruggono i backup sia dall’infrastruttura primaria che da quella di disaster recovery. Se il vostro piano B dipende da un backup che il ransomware può raggiungere, non avete un piano B.

Cifratura: Il ransomware usa ChaCha20 e RSA-4096 per cifrare i file, le estensioni diventano .ENCRT o .CRYPT, e in ogni directory colpita viene lasciata una nota di riscatto: R3ADM3.txt. La variante Linux, introdotta a metà 2025, supporta fino a 100 thread di cifratura in parallelo e può cifrare solo porzioni di file grandi, giusto quanto basta per renderli inutilizzabili velocizzando enormemente il processo.

Il modello di estorsione

Doppia estorsione, lo schema che ormai conosciamo fin troppo bene: prima rubano i dati, poi cifrano tutto, e infine minacciano di pubblicare quello che hanno rubato se non si paga. Le richieste di riscatto superano tipicamente i 10 milioni di dollari, con cinque-sette giorni per negoziare tramite un portale Tor personalizzato o qTox.

Un dettaglio curioso e quasi sfacciato: l’FBI ha osservato che gli attori di Gunra tentano anche di comunicare direttamente con il personale dirigente delle aziende vittime via email per sollecitare il pagamento del riscatto, un po’ come dire «buongiorno, siamo quelli che vi hanno appena cifrato tutto, potremmo parlare di pagamento?». Secondo le autorità questo approccio ha avuto un successo limitato, il che non sorprende nessuno.

Chi viene colpito

Le vittime di Gunra sono sparse su tutti i continenti, dalle Americhe all’Europa, dal Medio Oriente all’Africa e all’Asia-Pacifico. Trend Micro ha documentato attività specifiche in Turchia, Taiwan, Stati Uniti e Corea del Sud, mentre il sito di leak del gruppo riporta vittime anche in Brasile, Giappone e Canada.

I settori colpiti coprono praticamente l’intero spettro: sanità, servizi finanziari, pubblica amministrazione, manifattura, trasporti, utilities, istruzione, media, commercio al dettaglio e organizzazioni non profit. Non c’è un pattern verticale perché gli affiliati scelgono i bersagli in base all’opportunità: avete un dispositivo Fortinet esposto a internet senza patch? Siete un potenziale obiettivo.

Cosa fare concretamente

L’advisory include raccomandazioni difensive specifiche che non sono rivoluzionarie, ma proprio per questo non ci sono scuse per non implementarle.

Aggiornare immediatamente i dispositivi Fortinet. Le vulnerabilità CVE-2024-55591 e CVE-2025-24472 hanno patch disponibili da mesi, e ogni dispositivo FortiOS o FortiProxy esposto a internet senza gli aggiornamenti applicati è un punto di ingresso aperto. Se non sapete quando sono state applicate le patch, partite dal presupposto che potreste essere compromessi e indagate.

Implementare backup offline e immutabili. I backup devono essere fisicamente separati dall’infrastruttura di produzione e di disaster recovery perché Gunra distrugge sistematicamente entrambi. Un backup che il ransomware può raggiungere non è un backup, è un’illusione.

Segmentare la rete. Il movimento laterale via SMB è il cuore della catena d’attacco di Gunra, e la segmentazione non impedisce l’accesso iniziale ma limita enormemente quanto lontano possono arrivare una volta dentro: è la differenza tra perdere una stanza e perdere l’intero edificio.

Attivare l’autenticazione multifattore su tutti i punti di accesso remoto (VPN, interfacce di gestione, servizi cloud) e verificare che non esistano account con credenziali predefinite. Sembra banale, ma è ancora uno dei vettori d’ingresso più comuni che vediamo nei nostri assessment.

Monitorare i segnali di esfiltrazione. Trasferimenti massicci verso servizi cloud come Mega, attività anomala su OneDrive e SharePoint, creazione inaspettata di archivi compressi: sono tutti indicatori che precedono la fase di cifratura. Se li vedete avete ancora una finestra per intervenire.

Mappare le tecniche di Gunra sul framework MITRE ATT&CK per verificare la copertura dei vostri controlli di sicurezza rispetto alle tattiche documentate nell’advisory, che è il modo più concreto per trovare i buchi prima che li trovino loro.

Il quadro più ampio

Gunra mette insieme tutto quello che rende il ransomware moderno così pericoloso: codice collaudato (Conti), distribuzione tramite affiliati motivati dal profitto, possibile supporto statale (Lazarus) per le capacità tecniche, e sfruttamento sistematico di vulnerabilità note in dispositivi perimetrali. Non zero-day esotici ma patch disponibili, eppure qui siamo.

Quando sei agenzie statunitensi e la polizia sudcoreana si siedono insieme per scrivere un advisory, il messaggio è chiaro: questa minaccia non si risolverà da sola. Per le organizzazioni svizzere ed europee la domanda non è se Gunra potrebbe colpirvi, è se i vostri Fortinet sono aggiornati, se i vostri backup sopravviverebbero a un attacco mirato, e se il vostro team saprebbe cosa fare nelle prime 24 ore di un incidente.

Noi aiutiamo le organizzazioni a rispondere a queste domande, dalla verifica delle vulnerabilità perimetrali ai test di risposta a incidenti, fino alla revisione delle strategie di backup e segmentazione di rete. Se volete sapere quanto siete davvero preparati contro minacce come Gunra: contattateci.

Fonti e approfondimenti:

Autor: Andriu Isenring CISSP