Un'Allerta Congiunta USA-Corea del Sud Nomina un Nuovo Gruppo di Estorsione

Il 10 agosto 2026 CISA ha pubblicato l'allerta AA26-222A nell'ambito della sua serie StopRansomware, redatta insieme a FBI, NSA, Secret Service statunitense, Cyber Crime Center del Dipartimento della Difesa e agenzia nazionale di polizia della Corea del Sud. L'allerta nomina formalmente Gunra come operazione attiva di ransomware-as-a-service e ne riconduce la discendenza del codice al codice sorgente trapelato della famiglia di ransomware Conti, un'origine comune a diversi gruppi di estorsione emersi da quando gli stessi operatori di Conti hanno sciolto il marchio.

Le agenzie autrici descrivono gli affiliati di Gunra come una combinazione di compromissione delle credenziali, furto di dati e cifratura rapida in campagne di doppia estorsione contro sistemi sanitari, società di servizi finanziari, agenzie governative, aziende di servizi professionali e organizzazioni no profit, con accesso ottenuto principalmente tramite gateway VPN esposti, apparati firewall e sistemi accessibili via RDP, piuttosto che tramite una tecnica di exploit inedita.

Le Porte da cui Passa Gunra Sono State Chiuse 18 Mesi Fa

L'allerta individua due vulnerabilità specifiche come via principale di Gunra verso le reti delle vittime: CVE-2024-55591, una falla di bypass dell'autenticazione in Fortinet FortiOS, e CVE-2025-24472, la falla equivalente in FortiProxy. Fortinet ha rilasciato le correzioni rispettivamente a gennaio e febbraio 2025, dopo che entrambe erano già state segnalate come attivamente sfruttate da altri attori di minaccia in quel momento.

Questa tempistica conta più del malware stesso. Gunra non ha avuto bisogno di un nuovo zero-day per violare 51 organizzazioni dall'aprile 2025; le è bastato trovare dispositivi Fortinet esposti a internet rimasti diciotto mesi o più senza la patch disponibile. Considerata quanto siano diffusi FortiOS e FortiProxy come infrastruttura VPN e perimetrale nelle organizzazioni europee di medie e grandi dimensioni, un'istanza non aggiornata non è un ritrovamento raro in una scansione esterna, ma uno di routine.

9 Terabyte, 100 Thread: Dentro il Playbook di Cifratura

Una volta dentro, gli affiliati di Gunra seguono una sequenza di doppia estorsione ormai familiare: rubare dati, cifrare i sistemi, poi chiedere il pagamento sia per la chiave di decifratura sia per la promessa di non pubblicare quanto sottratto. La variante Linux del gruppo è costruita per la velocità, con supporto fino a 100 thread di cifratura paralleli e cifratura parziale dei file tramite cifrari a flusso come Salsa20 o ChaCha20, che le permette di cifrare set di dati fino a 9 terabyte in una finestra limitata anziche nell'arco di giorni.

Le vittime che non pagano entro cinque o sette giorni vedono i propri dati rubati pubblicati sul sito di leak di Gunra, con trattative condotte tramite un portale basato su Tor. Le difese raccomandate dall'allerta sono deliberatamente poco appariscenti: applicare le patch ai gateway VPN e agli apparati firewall esposti a internet, mantenere backup offline e immutabili, e segmentare le reti in modo che un singolo dispositivo compromesso non possa raggiungere il resto dell'ambiente.

Perché il Ritardo nelle Patch, non il Malware, è Qui il Problema secondo la NIS2

Per un'organizzazione UE che lavora sulle misure di gestione del rischio dell'articolo 21 della NIS2, o per un operatore britannico secondo le linee guida equivalenti dell'NCSC, la conclusione operativa di questa allerta non riguarda Gunra in se. Riguarda il fatto che una falla di bypass dell'autenticazione in un'infrastruttura perimetrale ampiamente diffusa, corretta oltre un anno fa e ancora descritta in un'allerta federale dell'agosto 2026 come vettore di attacco attivo, rappresenta un fallimento nella gestione delle vulnerabilità che precede e sopravvive a qualsiasi singolo marchio di ransomware.

La risposta pratica è trattare questa allerta come l'occasione per un audit immediato delle versioni di FortiOS e FortiProxy su ogni dispositivo esposto a internet controllato dall'organizzazione, non solo quelli già segnalati nei pannelli di gestione patch esistenti, perché è proprio il dispositivo dimenticato o non gestito quello che una falla da ritardo nelle patch come questa è fatta per trovare.

Da leggere ora: DeadLock nasconde il sito di leak in una blockchain  |  Cancellare l'attaccante cancella anche la logica