Une Alerte Conjointe États-Unis-Corée du Sud Nommé un Nouveau Groupe d'Extorsion

Le 10 août 2026, la CISA a publié l'alerte AA26-222A dans le cadre de sa série StopRansomware, rédigée conjointement avec le FBI, la NSA, les services secrets américains, le centre de lutte contre la cybercriminalité du département de la Défense et la police nationale sud-coréenne. L'alerte désigne formellement Gunra comme une opération active de rançongiciel en tant que service et relié sa lignée de code au code source divulgué de la famille de rançongiciels Conti, une origine commune a plusieurs groupes d'extorsion apparus depuis que les opérateurs de Conti eux-mêmes ont dissous cette marque.

Les agences rédactrices décrivent les affiliés de Gunra comme combinant compromission d'identifiants, vol de données et chiffrement rapide dans des campagnes de double extorsion contre des systèmes de santé, des sociétés de services financiers, des administrations publiques, des entreprises de services professionnels et des organisations a but non lucratif, l'accès étant obtenu principalement via des passerelles VPN exposées, des pare-feux et des systèmes accessibles par RDP, plutôt que par une technique d'exploitation inédite.

Les Portes par ou Passé Gunra ont été Fermées il y a 18 Mois

L'alerte identifié deux vulnérabilités précises comme la voie d'entrée principale de Gunra dans les réseaux de ses victimes : la CVE-2024-55591, une faille de contournement d'authentification dans Fortinet FortiOS, et la CVE-2025-24472, la faille équivalente dans FortiProxy. Fortinet a livré les correctifs respectivement en janvier et février 2025, après que les deux failles ont été signalées comme déjà activement exploitées par d'autres acteurs malveillants a cette époque.

Ce calendrier compte plus que le logiciel malveillant lui-même. Gunra n'a pas eu besoin d'une nouvelle faille zéro-day pour compromettre 51 organisations depuis avril 2025 ; il lui a suffi de trouver des appareils Fortinet exposés a internet restés dix-huit mois ou plus sans le correctif disponible. Étant donné la large diffusion de FortiOS et FortiProxy comme infrastructure VPN et de périmètre dans les organisations européennes de taille moyenne et grande, une instance non corrigée n'est pas une trouvaille rare dans un scan externe, mais une trouvaille de routine.

9 Téraoctets, 100 Fils : a l'Intérieur du Mode Opératoire de Chiffrement

Une fois a l'intérieur, les affiliés de Gunra suivent une séquence de double extorsion désormais familière : voler les données, chiffrer les systèmes, puis exiger un paiement a la fois pour la clé de déchiffrement et pour la promesse de ne pas publier ce qui a été dérobé. La variante Linux du groupe est conçue pour la vitesse, avec un support allant jusqu'à 100 fils de chiffrement en parallèle et un chiffrement partiel des fichiers via des chiffrements de flux comme Salsa20 ou ChaCha20, ce qui lui permet de chiffrer des jeux de données allant jusqu'à 9 téraoctets dans une fenêtre limitée plutôt que sur plusieurs jours.

Les victimes qui ne paient pas dans un délai de cinq a sept jours voient leurs données volées publiées sur le site de fuite de Gunra, les négociations se déroulant via un portail basé sur Tor. Les défenses recommandées par l'alerte sont délibérément sans éclat : corriger les passerelles VPN et les pare-feux exposés a internet, maintenir des sauvegardes hors ligne et immuables, et segmenter les réseaux pour qu'un seul appareil compromis ne puisse pas atteindre le reste de l'environnement.

Pourquoi le Retard de Correctifs, et Non le Logiciel Malveillant, est ici le Constat NIS2

Pour une organisation de l'UE qui travaille sur les mesures de gestion des risques de l'article 21 de NIS2, ou un opérateur britannique sous une orientation équivalente du NCSC, la conclusion pratique de cette alerte ne porte pas spécifiquement sur Gunra. Elle est qu'une faille de contournement d'authentification dans une infrastructure de périmètre largement déployée, corrigée il y a plus d'un an et encore décrite dans une alerte fédérale d'août 2026 comme un vecteur d'attaque actif, représente un échec de gestion des vulnérabilités qui précède et survit a n'importe quelle marque de rançongiciel prise isolement.

La réponse pratique consiste a traiter cette alerte comme le déclencheur d'un audit immédiat des versions FortiOS et FortiProxy sur chaque appareil exposé a internet que l'organisation contrôle, pas seulement ceux déjà signalés dans les tableaux de bord de gestion des correctifs existants, car c'est précisément l'appareil oublié ou non géré qu'une faille de retard de correctif comme celle-ci est faite pour trouver.

À lire ensuite: DeadLock héberge son site de fuite dans une blockchain  |  Effacer l'attaquant efface aussi votre logique