Agências de cibersegurança e de inteligência da Coreia do Sul e dos Estados Unidos alertaram organizações governamentais e de infraestrutura crítica em todo o mundo para reforçarem a segurança de seus sistemas contra ataques do ransomware Gunra.
Em um alerta conjunto divulgado na segunda-feira, as autoridades informaram que o grupo tem atacado setores como saúde e saúde pública, serviços financeiros, órgãos e serviços governamentais, além de serviços profissionais e sem fins lucrativos.
“Segundo o alerta, o Gunra surgiu pela primeira vez em abril de 2025 como uma variante sofisticada de ransomware de dupla extorsão, derivada do código-fonte vazado do Conti em fevereiro de 2022”, afirmaram as agências responsáveis pelo documento. “O Gunra é mais uma variante dentro da tendência contínua de ataques de ransomware que causam interrupção e danos a organizações dos Estados Unidos e internacionais”, disse Chris Butera, diretor-executivo assistente interino para cibersegurança da CISA.
O FBI observou atores do Gunra tentando se comunicar diretamente com funcionários da área de gestão das empresas vítimas por e-mail para solicitar o pagamento do resgate, com sucesso limitado. Segundo a Ransomware.Live, o grupo já listou 51 vítimas desde que surgiu no cenário de ameaças, em abril de 2025, com a maioria na Coreia do Sul, no Brasil, na Espanha, na Tailândia e em Hong Kong. A maior parte dos alvos está localizada na Austrália, no Leste Asiático e na Europa; até agora, apenas três vítimas foram registradas no Canadá e nos Estados Unidos.
Os ataques que distribuem esse ransomware exploraram falhas de segurança em dispositivos Schneider Electric PowerLogic P5 (
CVE-2024-5559
) e Fortinet FortiOS e FortiProxy (
CVE-2025-24472
) expostos à internet para obter acesso inicial e, em seguida, implantar o Gunra como parte de um modelo de dupla extorsão, que combina exfiltração de dados e criptografia para maximizar o impacto. O grupo também foi flagrado atacando firewalls Fortinet para obter acesso inicial às redes das vítimas, usando exploits que exploram vulnerabilidades críticas de autenticação em FortiOS e FortiProxy.
As vítimas que se recusam a pagar em até cinco a sete dias têm seus dados publicados em um site de vazamento. O grupo também utiliza phishing como principal vetor de ataque para entregar componentes maliciosos aos alvos e conduzir negociações em um painel com aparência de WhatsApp, segundo o pesquisador de segurança Rakesh Krishnan. “O grupo é capaz de criptografar arquivos enormes, de 9 TB, em um intervalo limitado, usando criptografia avançada por fluxo, como Salsa20 ou ChaCha20”, disse ele em análise publicada no ano passado.
Além de ambientes Windows, o Gunra passou a operar de forma multiplataforma após introduzir uma variante para Linux em meados de 2025. O grupo oferece versões para Windows e Linux de seu bloqueador, embora uma análise divulgada pela Breakglass Intelligence em março de 2026 tenha identificado uma “fraqueza criptográfica catastrófica” nas versões para Linux, permitindo recuperar a chave de criptografia e retomar o acesso aos arquivos.
Desde janeiro de 2026, a operação derivada do Conti também lançou uma plataforma dedicada de ransomware como serviço, ou RaaS, e passou a recrutar brokers de acesso inicial para ampliar suas operações. “Em janeiro de 2026, o Gunra lançou um programa formal de afiliados de RaaS em fóruns da dark web, oferecendo aos parceiros acesso a um painel de gerenciamento, um construtor de ransomware configurável, payloads de bloqueio multiplataforma e documentação estruturada para afiliados”, diz o alerta conjunto.
Segundo o Federal Bureau of Investigation (FBI), o Gunra foi visto adotando novos nomes de marca, como Golden Community, para expandir suas operações, enquanto tomava medidas para monetizar sua plataforma ao recrutar testadores de invasão e hackers éticos para atuar como intermediários de acesso inicial, recebendo uma parcela dos lucros do resgate em troca de acesso à rede corporativa.
As cadeias de ataque costumam explorar as bibliotecas Impacket “psexec.py” e “smbclient.py” para movimentação lateral usando o protocolo Server Message Block (SMB). Outra ferramenta do Impacket, “secretsdump.py”, é usada para realizar extração de credenciais contra controladores de domínio comprometidos e extrair hashes de senhas de contas de usuários a partir do arquivo NT Directory Services (NTDS).
Para encobrir vestígios da atividade maliciosa, o grupo costuma apagar logs de sistema e de rede, limpar o histórico de comandos e concentrar suas ações maliciosas e o reconhecimento da infraestrutura interna entre 22h e 6h. A exfiltração de dados do Microsoft OneDrive e do SharePoint é feita por meio de um executável chamado “main.exe”.
Em alguns casos, os threat actors foram vistos criando arquivos compactados com terabytes de dados e enviando esse material ao serviço de compartilhamento de arquivos MEGA. Além de coletar documentos críticos para os negócios, o grupo teria se conectado a ambientes de infraestrutura de desktop virtual (VDI) de equipes de TI e coletado documentos sensíveis com informações de configuração de sistemas e rede.
“Os atores do Gunra então exploraram credenciais corporativas de servidores roubadas de um servidor de controle de acesso ao sistema para implantar o ransomware e criptografar ativos importantes, incluindo servidores de banco de dados e sistemas de armazenamento conectado à rede (NAS)”, afirmou a CISA. Em um caso identificado pela Agência Nacional de Polícia da Coreia do Sul (KNPA), os atacantes foram vistos manipulando a função de controle de tráfego de rede de um dispositivo SSL-VPN para interceptar credenciais e informações de sessão transmitidas por usuários que se autenticavam em um portal corporativo de autenticação VDI.
Esses cookies de sessão roubados foram então usados para realizar sequestro de sessão e se passar por usuários legítimos para obter acesso à rede interna. Para contornar a autenticação multifator (MFA), o Gunra teria adulterado os arquivos de processamento de autenticação no servidor do portal corporativo de autenticação VDI de forma que a autenticação fosse concluída com sucesso quando um valor específico de senha de uso único (OTP), definido pelo próprio Gunra, fosse inserido.
Outros comportamentos detectados incluem acesso a uma conta de administrador de um dispositivo SSL-VPN por meio da exploração de credenciais padrão e, em seguida, download do OpenSSH de um servidor controlado pelo atacante para criar conexões entre sistemas comprometidos e manter persistência no ambiente da vítima; uso de uma conta não utilizada identificada no console administrativo web do SSL-VPN, com acesso tanto à internet quanto à rede corporativa interna, além da alteração da configuração para contornar a exigência obrigatória de troca de senha e deixá-la em branco para ações subsequentes; acesso a um servidor Hiware de controle de acesso ao sistema via SSH a partir de uma máquina virtual comprometida e roubo de uma chave de criptografia simétrica armazenada no servidor para decifrar senhas de contas de servidores corporativos guardadas no banco de dados e realizar a extração de credenciais associadas a todos os servidores da empresa; e exclusão de backups e dados arquivados armazenados na infraestrutura de backup tanto no data center principal quanto no centro de recuperação de desastre antes e depois da implantação do ransomware.
Em outra comunicação recente, a Coreia do Sul alertou sobre uma campanha cibernética orquestrada por um threat actor patrocinado por Estado entre 2025 e o primeiro semestre de 2026, que explorou vulnerabilidades em um software de segurança financeira não identificado para distribuir malware após induzir as vítimas a visitar URLs maliciosas por meio de spear phishing e técnicas de watering hole. Em alguns desses incidentes, houve também exploração das mesmas vulnerabilidades do software de segurança financeira para implantar o ransomware Gunra e exfiltrar informações sensíveis das organizações.
Segundo a ENKI, alguns dos ataques de watering hole também exploraram uma vulnerabilidade zero-day no AnySign4PC, fazendo com que malware fosse instalado e executado em sistemas com o software de assinatura de certificados ao acessar a página da web que continha o code de exploit. Entre os payloads distribuídos na campanha estavam Struggle, também conhecido como SIGNBT 3.0, e Brandoor, também conhecido como COPPERHEDGE, ambos associados ao Lazarus Group.
“Essas semelhanças sugerem que, embora o threat actor patrocinado por Estado e o grupo de ransomware Gunra pareçam ser agentes distintos, com objetivos finais diferentes, eles podem ter compartilhado certas técnicas, ferramentas e infraestrutura, ou colaborado em alguma medida durante os ataques”, afirmou a AhnLab.
Embora a origem exata do Gunra ainda não esteja clara, esse tipo de colaboração entre um grupo estatal norte-coreano e um agente de ransomware não é inédita. Em outubro de 2024, a Palo Alto Networks Unit42 afirmou ter observado o subcluster Andariel, ligado ao Lazarus, atuando em parceria com a operação de ransomware Play. O próprio Andariel tem histórico de uso de famílias personalizadas de ransomware, como SHATTEREDGLASS, Maui e H0lyGh0st. Nos últimos meses, o Lazarus Group e o conjunto de intrusões relacionado Moonstone Sleet também foram atribuídos a ataques contra entidades da Coreia do Sul e do Oriente Médio com o ransomware Qilin e Medusa.
Para se proteger contra o ransomware Gunra, as organizações devem manter todos os sistemas operacionais, softwares e firmware atualizados, priorizar a aplicação de patch para vulnerabilidades conhecidas e já exploradas em sistemas expostos à internet, reforçar a segmentação de rede e garantir que os backups sejam imutáveis e armazenados em local fisicamente separado.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...