Des autorités sud-coréennes et américaines alertent sur des attaques menées à l’aide du ransomware Gunra. Selon les informations publiées, ce logiciel malveillant vise des organisations et secteurs dits critiques, avec pour objectif de provoquer une interruption et d’obtenir une rançon via un double chantage.
Les victimes annoncées concernent notamment la santé, les services publics, la finance ainsi que des entités gouvernementales et des organisations professionnelles ou à but non lucratif. La stratégie combine intrusion, extraction de données et chiffrement afin d’augmenter la pression sur les équipes concernées.
Quels secteurs visent les attaques au ransomware Gunra ?
Les signaux d’attaque décrits par les agences de cybersécurité et des chercheurs montrent une cible large. On retrouve des organisations liées à la santé et à la santé publique, des acteurs des services financiers, des structures gouvernementales ainsi que des services d’assistance et d’expertise.
Un point marquant concerne la répartition géographique rapportée. Les incidents les plus souvent mentionnés se situent en Australie, en Asie de l’Est et en Europe, avec moins de cas signalés jusqu’ici en Amérique du Nord.
Des failles d’équipements exposés comme porte d’entrée
Pour s’introduire dans les environnements, le ransomware Gunra s’appuie sur des vulnérabilités présentes sur des appliances accessibles depuis Internet. Les informations publiques citent notamment :
- Schneider Electric — PowerLogic P5 (CVE-2024-5559)
- Fortinet — FortiOS et FortiProxy (CVE-2025-24472)
Une fois l’accès initial obtenu, l’attaque suit généralement une logique en plusieurs étapes : reconnaissance, préparation, exfiltration puis chiffrement. Cette séquence vise à maximiser l’impact, même si la réponse de l’organisation intervient tôt.
Double extorsion : chiffrement et publication de données
Le modèle décrit autour du ransomware Gunra combine deux leviers. D’un côté, les données sont chiffrées pour rendre les systèmes difficilement exploitables. De l’autre, des informations sont exfiltrées, puis menacées de publication si la rançon n’est pas versée.
Les victimes qui ne paient pas dans un délai annoncé (souvent évalué entre cinq et sept jours) voient leurs données susceptibles d’être rendues publiques sur un site de fuite. Les analyses mentionnent aussi une liste de victimes depuis le printemps 2025, avec une forte présence de cas en Asie.
Phishing, négociation et panneaux d’affiliation
Les chercheurs indiquent que le groupe utilise le phishing comme vecteur principal pour livrer des composants malveillants. Après l’intrusion, les communications et la négociation sont décrites comme prenant la forme d’échanges via une interface thématisée sur WhatsApp.
En parallèle, un programme d’affiliation (RaaS) inspiré de Conti est évoqué. Depuis janvier 2026, des éléments décrivent l’accès à un panneau de gestion, un générateur de rançongiciel configurable, ainsi que des charges utiles prévues pour plusieurs plateformes.
Cette organisation en “affiliés” peut favoriser l’expansion rapide des campagnes : des partenaires obtiennent des outils et une documentation, puis cherchent des accès initiaux pour déclencher les opérations sur des réseaux ciblés.
Chiffrement à grande échelle et contraintes techniques
Le ransomware Gunra est décrit comme capable de chiffrer des volumes très importants dans des délais limités. Des analyses mentionnent des mécanismes de chiffrement par flux (par exemple des approches inspirées de Salsa20 ou ChaCha20).
Les rapports évoquent aussi des points de faiblesse dans certains builds Linux, permettant théoriquement de récupérer une clé et de restaurer l’accès aux fichiers dans certains scénarios. L’existence de ces variations souligne toutefois qu’il ne faut pas compter sur des “exceptions” : la protection doit rester basée sur la réduction de la surface d’attaque.
Contournement des identifiants : mouvement latéral et extraction
Pour progresser dans le réseau, les chaînes d’attaque s’appuient sur des outils couramment utilisés en environnement de sécurité et de pentest. Les informations publiques citent des bibliothèques de type Impacket, avec des usages orientés vers le mouvement latéral via SMB.
Les étapes décrites incluent également l’extraction d’identifiants et de hachages à partir de contrôleurs de domaine compromis, en ciblant notamment le fichier NTDS. En pratique, cela permet aux attaquants de réutiliser des informations volées pour étendre l’accès vers d’autres systèmes.
Masquage des traces et reconnaissance “dans l’ombre”
Au-delà du chiffrement, l’attaque prévoit un effacement ou une altération des traces. Il est notamment question de suppressions de journaux liés à l’accès système ou réseau, d’effacement de l’historique de commandes, et de reconnaissance interne menée pendant des plages horaires nocturnes.
Une approche cohérente vise à réduire les signaux disponibles pour la détection, tout en préparant l’exfiltration et le déploiement du rançongiciel sur les ressources les plus sensibles.
Exfiltration via des services cloud et archives massives
Les informations publiques indiquent que l’exfiltration peut passer par des exécutable(s) permettant d’exporter des données depuis des environnements Microsoft OneDrive et SharePoint.
Dans certains cas, les attaquants auraient aussi construit des archives comprimées contenant des volumes allant jusqu’à des téraoctets, puis transféré ces ensembles vers un service de partage de fichiers (par exemple MEGA).
Outre les documents standards, les rapports mentionnent des connexions à des environnements de bureaux virtels (VDI) utilisés par des équipes informatiques, afin de récupérer des documents sensibles liés à la configuration systèmes et réseaux.
Rôle des identifiants volés sur serveurs d’accès
Les agences américaines décrivent également une phase où des identifiants d’entreprise volés, obtenus via un serveur de contrôle d’accès, sont ensuite employés pour déployer le chiffreur sur des actifs clés : serveurs de bases de données et systèmes de stockage attaché au réseau (NAS).
Cette logique rappelle que l’impact dépasse souvent la simple “machine touchée” : une compromission initiale peut conduire à une propagation et à un chiffrement sur l’infrastructure critique de l’organisation.
Attaques contre des VPN SSL et contournement de la MFA
Un cas documenté par la police nationale sud-coréenne décrit une manipulation d’une fonction de contrôle du trafic réseau sur une appliance SSL-VPN. L’objectif : intercepter des informations de connexion et des éléments de session échangés lors de l’authentification à un portail VDI.
Les informations de session volées peuvent ensuite servir à prendre le contrôle de session et à se faire passer pour des utilisateurs légitimes afin d’accéder au réseau interne.
La même source évoque un autre contournement : l’altération du traitement d’authentification sur le serveur du portail VDI afin de permettre une connexion réussie lorsque l’on saisit une valeur d’OTP désignée par les attaquants.
Mesures de durcissement prioritaires contre le ransomware Gunra
Les recommandations publiques convergent vers des actions de réduction de risque : mise à jour, segmentation et sauvegardes robustes. En pratique, l’objectif est d’empêcher l’intrusion via des systèmes exposés et de limiter l’étendue d’une compromission.
Mettez à jour systèmes, logiciels et firmwares
La première ligne de défense consiste à appliquer les correctifs sur les systèmes et appliances concernés, en particulier ceux exposés à Internet. Cela inclut les composants susceptibles d’être visés par les failles mentionnées publiquement.
Réduisez la surface d’exposition
En complément, il est essentiel d’améliorer la configuration réseau. La segmentation limite la propagation et ralentit le mouvement latéral, même si un accès initial a été obtenu.
Protégez et rendez “immutables” les sauvegardes
Les rapports indiquent aussi la possibilité d’attaquer des sauvegardes et des archives avant et après le chiffrement. Pour cette raison, les organisations sont encouragées à disposer de sauvegardes immuables et stockées dans un emplacement physiquement séparé.
Renforcez l’authentification et la surveillance
Comme des contournements de l’authentification et des actions de suppression de journaux sont décrits, il faut renforcer la supervision et vérifier les logs de manière centralisée. Une détection précoce peut réduire la fenêtre entre l’accès initial et le déploiement du rançongiciel.
Indications de recoupements avec d’autres campagnes
Les publications évoquent aussi l’existence de campagnes où des techniques pourraient se recouper. Des avertissements font référence à une campagne orchestrée par un acteur étatique non identifié (selon les informations disponibles), ayant utilisé des méthodes comme le spear-phishing et des “watering holes”.
Dans certains cas, les mêmes vulnérabilités d’une application de sécurité financière auraient servi à distribuer du malware, y compris le ransomware Gunra. Des chercheurs notent également des liens possibles autour d’éléments techniques partagés, sans conclure à une fusion complète des acteurs.
Autrement dit, même si les objectifs peuvent différer, des outils, procédures ou infrastructures peuvent parfois être partagés ou réutilisés dans le temps.
Conclusion : préparer la réponse avant l’incident
Le ransomware Gunra illustre une approche moderne du rançongiciel : intrusion via des systèmes exposés, exfiltration de données, puis chiffrement et pression maximale via la menace de publication. Face à ce scénario, la meilleure défense consiste à empêcher l’accès initial, à limiter la propagation et à garantir que les sauvegardes restent exploitables.
Si votre organisation gère des environnements critiques, commencez par vérifier la mise à jour de vos appliances exposées à Internet, renforcez la segmentation réseau et testez la restauration à partir de sauvegardes immuables. Ces étapes réduisent concrètement le risque de tomber dans une chaîne d’attaque dont l’impact est, d’après les informations disponibles, potentiellement massif.
Source: https://thehackernews.com/2026/08/gunra-ransomware-exploits-fortinet-and.html
