FBI e CISA: Gunra espande il RaaS con exploit Fortinet e bypass…

Il 10 agosto 2026 l'FBI, la CISA, la NSA, il Secret Service, il DC3 e la KNPA sudcoreana hanno pubblicato l'advisory congiunto AA26-222A su Gunra, un programma

{"main_topic":"ransomware","topics":["ransomware","cybersecurity","cve","malware","bigtech"]}

Il 10 agosto 2026 l'FBI, la CISA, la NSA, il Secret Service, il DC3 e la KNPA sudcoreana hanno pubblicato l'advisory congiunto AA26-222A su Gunra, un programma ransomware-as-a-service derivato dal codice sorgente leakato di Conti. Il dossier documenta come il gruppo, osservato per la prima volta nell'aprile 2025, abbia strutturato entro gennaio 2026 un'operazione di affiliazione formale con pannello di gestione, builder configurabile e payload cross-platform. La catena di attacco sfrutta vulnerabilità note da mesi in appliance Fortinet, compromette l'infrastruttura che eroga l'autenticazione a più fattori e conclude con esfiltrazioni fino a decine di terabyte.

Punti chiave

Gunra opera come RaaS strutturato con alias "Golden Community", targeting multi-regione che copre Americhe, Europa, Medio Oriente, Africa e Asia-Pacifico.
L'accesso iniziale si concentra su CVE-2024-55591 (CVSS 9.6, CRITICAL) e CVE-2025-24472 (CVSS 8.1, HIGH), bypass di autenticazione in FortiOS/FortiProxy.
Gli attori bypassano l'MFA modificando file di autenticazione su server VDI, non compromettendo il protocollo ma l'infrastruttura che lo eroga.
La variante Linux supporta fino a 100 thread di crittografia paralleli; le richieste di riscatto iniziali hanno raggiunto decine di milioni di dollari con termine di 5-7 giorni.

Come funziona il modello RaaS di Gunra

L'advisory congiunto descrive Gunra come un'operazione con struttura di affiliazione formalizzata. Entro gennaio 2026 il gruppo ha lanciato su forum dark web un programma che fornisce agli affiliate accesso a un pannello di gestione, a un builder configurabile del ransomware e a payload locker cross-platform. Questa architettura abbassa la soglia di accesso per operatori meno sofisticati, amplificando il volume potenziale di attacchi.

Il gruppo opera anche sotto l'alias "Golden Community". Le vittime documentate sul data leak site coprono Americhe, Europa, Medio Oriente, Africa e Asia-Pacifico. I settori target includono sanità, servizi finanziari, manifattura critica, trasporti, governo, utilities, accademia, media e retail. Secondo l'advisory, questo spettro riflette la logica del RaaS: i target sono selezionati dagli affiliate, non centralmente dal gruppo principale.

La catena di attacco: da Fortinet al bypass MFA

L'accesso iniziale documentato dall'FBI si concentra su due vulnerabilità N-day in dispositivi Fortinet. CVE-2024-55591, con punteggio CVSS 9.6 secondo il record ufficiale su cve.org, consente il bypass dell'autenticazione con privilegi super-admin. CVE-2025-24472 ha punteggio CVSS 8.1 ed è classificata HIGH. Entrambe sono note da mesi: il paradosso è che Gunra le sfrutta sistematicamente contro organizzazioni che non hanno applicato le patch disponibili.

La KNPA ha osservato anche l'uso di credenziali esposte e vulnerabilità SSH in gateway VPN. In un caso documentato, gli attori hanno compromesso un appliance SSL-VPN sfruttando credenziali di default con controlli di blocco assenti. Questo scenario non richiede exploit sofisticati: è l'automazione del RaaS applicata alla superficie di attacco più elementare.

Il movimento laterale utilizza gli strumenti della suite Impacket: psexec.py e smbclient.py via SMB. Il punto di inflessione nella catena è il bypass dell'MFA. Secondo il report, gli attori hanno modificato file di autenticazione sul server VDI aziendale per permettere l'accesso quando veniva inserito un OTP specifico designato da Gunra. Umut Bayram, ingegnere di ricerca di Picus Security, ha sintetizzato il pattern: il gruppo "va a cercare materiale di autenticazione riutilizzabile ad ogni passaggio".

Esfiltrazione, crittografia e monetizzazione

L'esfiltrazione dati include documenti business-critical, database, PII ed email interne. In un caso, il volume ha raggiunto decine di terabyte trasferiti via OneDrive e SharePoint al servizio Mega. L'indicatore STIX XML pubblicato da CISA identifica l'eseguibile main.exe come strumento utilizzato per l'esfiltrazione da Microsoft OneDrive e SharePoint.

La crittografia usa ChaCha20 con chiave RSA-4096. La variante Linux, documentata da The Register, supporta fino a 100 thread di crittografia paralleli e implementa la crittografia parziale. Questa architettura tecnica consente la distribuzione su server e infrastrutture cloud, oltre agli endpoint Windows tradizionali.

Le richieste di riscatto iniziali hanno raggiunto decine di milioni di dollari, secondo Cybernews. Le negoziazioni avvengono tramite portale Tor e qTox, con un termine di 5-7 giorni prima della pubblicazione dei dati rubati. Il modello di doppia estorsione è integrato: la minaccia di pubblicazione aggiunge pressione oltre alla cripiazione dei sistemi.

"Le vulnerabilità Fortinet possono aver fornito a Gunra una porta iniziale negli ambienti delle vittime, ma il ransomware non riguarda mai solo la porta. Una volta dentro, questi attaccanti rubano credenziali, si muovono lateralmente, bypassano l'MFA e raggiungono infine sistemi critici prima di distribuire il ransomware" — Etay Maor, VP Threat Intelligence, Cato Networks

Cosa fare adesso

Le organizzazioni con dispositivi Fortinet esposti su Internet devono verificare immediatamente lo stato di patch per CVE-2024-55591 e CVE-2025-24472. L'advisory congiunto fornisce IOC STIX in formato XML e JSON con hash SHA-256, domini onion e indirizzi IP associati all'operazione: questi indicatori devono essere integrati nei sistemi di rilevamento.

Il bypass MFA documentato richiede una revisione dell'architettura di autenticazione. L'autenticazione a più fattori rimane efficace quando il protocollo non è compromesso, ma la sicurezza collassa se l'infrastruttura che lo eroga viene controllata dall'attaccante. È necessario segmentare i server VDI e applicare il principio del minimo privilegio anche ai componenti dell'infrastruttura di autenticazione.

Il monitoraggio del movimento laterale SMB con strumenti come Impacket deve essere prioritarizzato. La suite è legittima ma la sua presenza in ambienti dove non è attività amministrativa pianificata è indicatore di compromissione.

Infine, i backup devono essere isolati dalla rete principale e testati per la capacità di ripristino. Il modello RaaS con variante Linux e crittografia parallela a 100 thread riduce drasticamente la finestra temporale tra infezione e irrecuperabilità dei dati.

Cosa resta fuori dal quadro

L'advisory non identifica la nazione di origine del gruppo. Non emerge alcuna sovrapposizione infrastrutturale che colleghi Gunra ad altre operazioni Fortinet come FortiBleed. L'entità delle percentuali di profitto per gli affiliate non è specificata. La presenza o meno di una patch definitiva per CVE-2025-24472 non risulta verificata nelle fonti disponibili. Il numero esatto totale di vittime non è quantificato ufficialmente.

Il paradosso della difesa perimetrale

Gunra dimostra un meccanismo disturbante: il perimetro non è caduto per mancanza di tecnologia, ma per eccesso di fiducia nella sua applicazione. Le vulnerabilità erano note, le patch esistevano, l'MFA era attiva. Eppure la catena ha funzionato perché il perimetro è stato penetrato, l'autenticazione è stata annullata compromettendo il server che la forniva, e la difesa in profondità si è ridotta a una serie di controlli che fidavano l'uno dell'altro in modo ricorsivo. Il RaaS non rende gli attaccanti più sofisticati: rende scalabile l'uso sistematico di ciò che già funziona.

Domande frequenti

Gunra è collegato al gruppo Conti? No. Conti è defunto dal 2022. Gunra utilizza il codice sorgente leakato di Conti come base tecnica, ma non esistono evidenze di continuità operativa o di personale.

Perché l'MFA è stato bypassato se è considerato sicuro? L'MFA come protocollo non è stato violato. Gli attaccanti hanno compromesso il server VDI che gestisce l'autenticazione, modificando i file di processing per accettare un OTP da loro designato. È un attacco all'infrastruttura, non all'algoritmo.

Qual è la priorità di mitigazione? La verifica dello stato di patch per CVE-2024-55591 è la prima azione, dato il punteggio CVSS 9.6 e l'uso documentato come vettore di accesso iniziale primario.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti