Um Aviso Conjunto EUA-Coreia do Sul Nomeia um Novo Grupo de Extorsao

A 10 de agosto de 2026, a CISA publicou o aviso AA26-222A no ambito da sua serie StopRansomware, redigido em conjunto com o FBI, a NSA, o Servico Secreto dos EUA, o Cyber Crime Center do Departamento de Defesa dos EUA e a policia nacional da Coreia do Sul. O aviso nomeia formalmente o Gunra como uma operação ativa de ransomware como servico e associa a sua linhagem de código ao código-fonte fugido da familia de ransomware Conti, uma origem comum a vários grupos de extorsao surgidos desde que os proprios operadores do Conti dissolveram essa marca.

As agências autoras descrevem os afiliados do Gunra como combinando o comprometimento de credenciais, o roubo de dados e a encriptacao rapida em campanhas de dupla extorsao contra sistemas de saude, empresas de servicos financeiros, agências governamentais, empresas de servicos profissionais e organizações sem fins lucrativos, com o acesso obtido sobretudo atraves de gateways VPN expostos, dispositivos de firewall e sistemas acessiveis por RDP, e não atraves de qualquer técnica de exploracao inédita.

As Portas por Onde o Gunra Entra Foram Fechadas ha 18 Meses

O aviso identifica duas vulnerabilidades concretas como a principal via do Gunra para as redes das vitimas: a CVE-2024-55591, uma falha de bypass de autenticacao no Fortinet FortiOS, e a CVE-2025-24472, a falha equivalente no FortiProxy. A Fortinet lancou as correcoes respetivamente em janeiro e fevereiro de 2025, depois de ambas terem sido ja reportadas como ativamente exploradas por outros agentes de ameaça nessa altura.

Esse calendario importa mais do que o próprio malware. O Gunra não precisou de nenhum dia zero novo para comprometer 51 organizações desde abril de 2025; bastou-lhe encontrar dispositivos Fortinet expostos a internet que tivessem passado dezoito meses ou mais sem a correcao disponivel. Dada a ampla implantação do FortiOS e do FortiProxy como infraestrutura de VPN e perimetro em organizações europeias medias e grandes, uma instância sem correcao não e um achado raro numa verificacao externa, mas sim um achado de rotina.

9 Terabytes, 100 Threads: Dentro do Guião de Encriptacao

Uma vez la dentro, os afiliados do Gunra seguem uma sequência de dupla extorsao ja familiar: roubar dados, encriptar sistemas e depois exigir pagamento tanto pela chave de desencriptação como pela promessa de não publicar o que foi retirado. A variante para Linux do grupo foi concebida para a velocidade, com suporte para ate 100 threads de encriptacao em paralelo e encriptacao parcial de ficheiros atraves de cifras de fluxo como Salsa20 ou ChaCha20, o que lhe permite encriptar conjuntos de dados de ate 9 terabytes numa janela limitada em vez de ao longo de dias.

As vitimas que não pagam num prazo de cinco a sete dias veem os seus dados roubados publicados no site de fugas do Gunra, com as negociacoes conduzidas atraves de um portal baseado em Tor. As defesas recomendadas pelo aviso são deliberadamente pouco vistosas: corrigir gateways VPN e dispositivos de firewall expostos a internet, manter copias de segurança offline e imutáveis, e segmentar as redes para que um único dispositivo comprometido não consiga alcançar o resto do ambiente.

Porque o Atraso na Correcao, e Não o Malware, e Aqui a Conclusao da NIS2

Para uma organização da UE que trabalha nas medidas de gestão de risco do artigo 21 da NIS2, ou um operador britânico sob orientação equivalente do NCSC, a conclusao prática deste aviso não gira em torno do Gunra especificamente. E que uma falha de bypass de autenticacao numa infraestrutura de perimetro amplamente implantada, corrigida ha mais de um ano e ainda descrita num aviso federal de agosto de 2026 como um vetor de ataque ativo, representa uma falha de gestão de vulnerabilidades que precede e sobrevive a qualquer marca de ransomware em particular.

A resposta prática e tratar este aviso como o gatilho para uma auditoria imediata as versões de FortiOS e FortiProxy em cada dispositivo exposto a internet que a organização controla, não apenas os ja assinalados nos painéis de gestão de correcoes existentes, pois e precisamente o dispositivo esquecido ou não gerido que uma falha de atraso na correcao como esta foi feita para encontrar.

Leia a seguir: DeadLock aloja o seu site de fugas numa blockchain  |  Apagar o atacante apaga também a sua lógica