Agências de cibersegurança e inteligência da Coreia do Sul e dos Estados Unidos alertaram sobre ataques do ransomware Gunra direcionados a setores e organizações de infraestrutura crítica em todo o mundo.
Os alvos desses ataques incluem saúde e saúde pública, serviços financeiros, serviços e órgãos governamentais, além de serviços profissionais e organizações sem fins lucrativos.
"O Gunra é mais uma variante na tendência contínua de ataques de ransomware que causam interrupção e danos a organizações dos EUA e internacionais", disse Chris Butera, diretor executivo assistente interino de Cibersegurança da CISA (Agência de Segurança Cibernética e Infraestrutura dos Estados Unidos).
Ataques que implantam o ransomware exploraram falhas de segurança em dispositivos expostos à internet do Schneider Electric PowerLogic P5 (CVE-2024-5559) e do FortiOS e FortiProxy (CVE-2025-24472) da Fortinet para obter acesso inicial e, em seguida, implantar o ransomware Gunra como parte de um modelo de dupla extorsão, que combina exfiltração e criptografia de dados para máximo impacto.
Vítimas que se recusam a pagar em um prazo de cinco a sete dias têm seus dados publicados em um site de vazamento de dados. De acordo com dados publicados no Ransomware.Live, o Gunra listou um total de 51 vítimas desde que surgiu no cenário de ameaças em abril de 2025, com a maioria delas na Coreia do Sul, Brasil, Espanha, Tailândia e Hong Kong.
O que chama a atenção sobre o grupo de ameaças é que a maioria dos alvos está localizada na Austrália, no Leste Asiático e na Europa. Apenas três vítimas foram reportadas no Canadá e nos Estados Unidos até o momento.
"O grupo utiliza phishing como principal vetor de ataque para entregar peças maliciosas aos seus alvos e conduzir negociações em um painel de bate-papo com tema do WhatsApp", disse o pesquisador de segurança Rakesh Krishnan em análise publicada no ano passado. "O grupo é capaz de criptografar arquivos enormes (9 TB) em um intervalo de tempo limitado usando criptografia avançada de cifra de fluxo, como Salsa20 ou ChaCha20."
A operação derivada do Conti teria lançado um programa formal de afiliados RaaS (Ransomware como Serviço) em fóruns da dark web em janeiro de 2026, fornecendo aos afiliados acesso a um painel de gerenciamento, um builder de ransomware configurável, payloads de locker multiplataforma e documentação estruturada para os parceiros.
O grupo oferece variantes do seu locker para Windows e Linux, embora uma análise divulgada pela Breakglass Intelligence em março de 2026 tenha identificado uma "falha criptográfica catastrófica" nas builds para Linux que possibilitou recuperar a chave de criptografia e restabelecer o acesso aos arquivos.
Segundo o FBI (Federal Bureau of Investigation) dos Estados Unidos, o Gunra foi observado adotando novos aliases de marca, como Golden Community, para expandir suas operações, enquanto toma medidas para monetizar sua plataforma ao recrutar testadores de penetração e hackers éticos para atuarem como brokers de acesso inicial, que recebem uma parte dos lucros do resgate em troca de acesso à rede corporativa.
As cadeias de ataque são conhecidas por explorar bibliotecas do Impacket, "psexec.py" e "smbclient.py", para movimentação lateral usando o protocolo SMB (Server Message Block). Outro utilitário do Impacket, o "secretsdump.py", é usado para realizar dumping de credenciais contra controladores de domínio comprometidos e extrair hashes de senhas de contas de usuários a partir do arquivo NTDS (NT Directory Services).
Para cobrir os rastros da atividade maliciosa, o grupo é conhecido por apagar logs de acesso de sistema e rede, limpar o histórico de comandos e, principalmente, conduzir atividades maliciosas e reconhecimento de infraestrutura interna entre 22h e 6h. A exfiltração de dados do Microsoft OneDrive e SharePoint é feita por meio de um executável chamado "main.exe".
Em casos selecionados, os atores de ameaça foram observados criando arquivos compactados contendo terabytes de dados e exfiltrando-os para o serviço de compartilhamento de arquivos MEGA. Além de coletar documentos críticos para o negócio, o grupo teria se conectado aos ambientes de VDI (Virtual Desktop Infrastructure, infraestrutura de desktop virtual) do pessoal de TI e coletado documentos sensíveis contendo informações de configuração de sistema e rede.
"Os atores do Gunra então aproveitaram credenciais de servidores corporativos roubadas de um servidor de controle de acesso ao sistema para implantar o ransomware e criptografar ativos essenciais, incluindo servidores de banco de dados e sistemas de NAS (Network Attached Storage, armazenamento conectado à rede)", disse a CISA.
Em um caso observado pela KNPA (Agência Nacional de Polícia da Coreia do Sul), os atacantes foram flagrados manipulando a funcionalidade de controle de tráfego de rede de um appliance SSL-VPN para interceptar credenciais e informações de sessão transmitidas por usuários que se autenticavam em um portal de autenticação VDI corporativo. Esses cookies de sessão roubados foram então usados para realizar sequestro de sessão e se passar por usuários legítimos para obter acesso à rede interna.
Para burlar a MFA (autenticação multifator), o Gunra teria adulterado os arquivos de processamento de autenticação no servidor do portal de autenticação VDI corporativo, de forma que a autenticação fosse bem-sucedida quando um valor de OTP (One-Time Password, senha de uso único) específico, designado pelo Gunra, fosse inserido.
