Gunra colpisce infrastrutture critiche con doppio exploit…

CISA, FBI, NSA e polizia sudcoreana hanno emesso l'advisory AA26-222A su Gunra: 51 vittime certificate, bypass MFA e persistenza che sopravvive alle patch.

Il 10 agosto 2026 le agenzie di cybersecurity di cinque paesi hanno pubblicato il joint advisory AA26-222A su Gunra, un'operazione ransomware-as-a-service che ha già elencato 51 vittime certificate dal suo esordio nell'aprile 2025. Il dossier governativo — firmato da CISA, FBI, NSA, USSS, DC3 e dalla polizia nazionale sudcoreana KNPA — documenta una catena di attacco inedita per sofisticazione: due vulnerabilità Fortinet con exploit pubblici servono solo come porta d'ingresso, mentre il danno strutturale avviene attraverso la compromissione persistente dell'infrastruttura di autenticazione, incluso il bypass sistematico dell'MFA. L'angolo operativo più disturbante, emerso dalle indagini sul campo, è che le organizzazioni che hanno correttamente patchato i dispositivi Fortinet rimangono esposte se non hanno verificato la presenza di meccanismi di persistenza installati prima dell'aggiornamento.

Punti chiave

Gunra opera come RaaS dal gennaio 2026 con programma affiliati strutturato; 51 vittime certificate su data leak site, concentrate in Asia-Pacifico ed Europa
L'accesso iniziale sfrutta CVE-2024-55591 (CVSS 9.6, bypass autenticazione super-admin via websocket Node.js) e CVE-2025-24472 (bypass via richieste proxy CSF con conoscenza del serial number)
Il gruppo bypassa l'MFA alterando i file di elaborazione dell'autenticazione VDI per accettare un valore OTP predefinito da Gunra, non il token legittimo dell'utente
La persistenza include tunnel SSH, raccolta credenziali da server di controllo accessi Hiware e attività notturna programmata tra le 22:00 e le 06:00 ora della vittima
Il modello double-extortion combina crittografia ChaCha20/Salsa20 con esfiltrazione su scala di decine di terabyte tramite OneDrive, SharePoint e MEGA

La doppia falla Fortinet come chiave maestro

CVE-2024-55591 è classificata come CWE-288 (autenticazione alternativa mancante) con punteggio CVSS 3.1 di 9.6 secondo il record ufficiale CVE.org: attacco remoto senza autenticazione, complessità bassa, impatto totale su confidenzialità, integrità e disponibilità. La vulnerabilità risiede nella gestione delle richieste websocket in Node.js che, opportunamente craftate, concedono privilegi super-admin su FortiOS 7.0.0-7.0.16 e FortiProxy 7.0.0-7.0.19, 7.2.0-7.2.12. CVE-2025-24472, la seconda falla nel repertorio di Gunra, abilita l'elevazione a super-admin attraverso richieste proxy CSF (Central Management) quando l'attaccante conosce il numero seriale del dispositivo bersaglio.

Entrambe le vulnerabilità dispongono di exploit pubblici. Secondo l'advisory AA26-222A, Gunra le utilizza in sequenza o alternativa per ottenere il primo punto d'appoggio sui network target. Il dato che disturba gli analisti non è la criticità delle falle — entrambe note da mesi — ma la constatazione che la loro correzione non invalida automaticamente un accesso già conquistato.

Il bypass MFA che rende il patching insufficiente

L'elemento più sofisticato della catena Gunra emerge nella fase di movimento laterale e consolidamento. Il gruppo non si limita a sfruttare credenziali rubate: modifica direttamente i file di elaborazione dell'autenticazione VDI (Virtual Desktop Infrastructure) per forzare l'accettazione di un valore OTP designato da Gunra, indipendentemente dal token generato dall'apparato MFA legittimo. Questo meccanismo, documentato nel joint advisory con mapping MITRE ATT&CK, trasforma l'infrastruttura di autenticazione stessa in un portale aperto per gli operatori.

Jacob Krell di Suzu Labs, citato da Infosecurity Magazine, ha sintetizzato il problema: «Patching fixes the entry point. It does nothing about an authentication backdoor already embedded in the MFA flow. I've seen organizations close the vulnerability and declare themselves clean while the attacker's persistence mechanism sat untouched in the auth stack». La fonte non specifica la frequenza di questo scenario nei casi Gunra analizzati, ma la presenza del meccanismo in advisory governativo conferma che la persistenza post-patch è un pattern osservato, non teorico.

Il gruppo rafforza il controllo installando tunnel SSH, estraendo credenziali enterprise dai server di controllo accessi Hiware (sistema di gestione identità diffuso in ambienti industriali asiatici), e distribuendo varianti ransomware su database server e NAS. L'advisory CISA descrive esplicitamente: «The Gunra actors then leveraged enterprise server credentials stolen from a system access control server to deploy ransomware to encrypt key assets, including database servers and network-attached storage (NAS) systems».

La macchina operativa: cronotipi, esfiltrazione e distruzione backup

Gunra opera sotto l'alias «Golden Community» e ha lanciato il programma affiliati RaaS nel gennaio 2026, reclutando penetration tester come broker di accesso iniziale. La struttura organizzativa include supporto tecnico completo per gli affiliati, riducendo la soglia di competenza richiesta per partecipare — come riportano i ricercatori CloudSEK citati da Dark Reading.

Il comportamento temporale è rigido e calcolato: l'advisory conferma che il gruppo conduce attività malevole «primarily between the hours of 10:00 PM and 6:00 AM» ora locale della vittima. Roman Sannikov di iCOUNTER ha commentato: «If your detection coverage drops off overnight, that's exactly the gap this group, now also operating under the alias Golden Community, is built to exploit». La fonte non quantifica il tasso di successo di questa strategia.

L'esfiltrazione sfrutta infrastruttura cloud legittima: Microsoft OneDrive e SharePoint tramite eseguibile denominato 'main.exe', e MEGA per archivi compressi su scala di decine di terabyte — con almeno un caso documentato di esfiltrazione di circa decine di terabyte secondo Infosecurity Magazine. Prima e dopo la distribuzione del payload crittografico, Gunra elimina i backup sia presso i siti primari sia nei centri di disaster recovery. La variante Linux impiega 100 thread di crittografia con schema parziale (Salsa20/ChaCha20 con keystore RSA), secondo l'analisi Trend Micro citata da The Register. Un'indagine di Breakglass Intelligence del marzo 2026 ha identificato nella variante Linux una «catastrophic cryptographic weakness» che consente il recupero delle chiavi — il dossier non specifica se questa debolezza sia stata corretta nelle build attuali.

"Gunra is another variant in the ongoing trend of ransomware attacks causing disruption and harm to U.S. and international organizations" — Chris Butera, CISA Acting Executive Assistant Director for Cybersecurity

Geografia delle vittime e pressione estorsiva

Le 51 vittime certificate su data leak site — secondo i dati Ransomware.Li citati da The Hacker News — presentano una distribuzione geografica sbilanciata: maggioranza assoluta in Australia, Asia orientale ed Europa; Brasile, Spagna, Thailandia e Hong Kong come presenze significative; solo 3 vittime complessive tra Canada e Stati Uniti. Questo profilo suggerisce che Gunra, pur essendo monitorata a livello governativo statunitense, ha concentrato l'attività operativa in regioni con presenza infrastrutturale Fortinet massiccia e, possibilmente, postura di rilevamento notturna meno strutturata.

Le richieste di riscatto partono da cifre arbitrariamente alte, descritte come «tens of millions of dollars» da Infosecurity Magazine, con finestra negoziale di 5-7 giorni prima della pubblicazione su leak site. Il portale di negoziazione è ospitato su Tor. Il dossier non fornisce dati su tassi di pagamento o entrate complessive generate.

Cosa fare adesso

L'advisory AA26-222A fornisce indicazioni operative specifiche per le organizzazioni con apparati Fortinet nel perimetro. Le azioni documentate dalla fonte primaria sono:

Rivedere l'intera catena di autenticazione VDI e Hiware per identificare modifiche ai file di elaborazione OTP non autorizzate, indipendentemente dalla data di patching delle vulnerabilità Fortinet
Ispezionare la presenza di tunnel SSH attivi o di configurazioni residue, verificando connessioni sospette nelle finestre temporali 22:00-06:00
Validare l'integrità dei backup primari e di disaster recovery, controllando che le procedure di restore non siano state alterate o invalidate
Consultare gli IOC (Indicatori di Compromissione) e gli artefatti STIX pubblicati nell'advisory CISA AA26-222A per verifica sui sistemi di rilevamento

Il problema del gap di patch come nuovo standard

L'emergere di Gunra ridefinisce il concetto stesso di "sistema patchato". Se la compromissione dell'infrastruttura di autenticazione sopravvive all'aggiornamento del firmware perimetrale, il patching diventa condizione necessaria ma non sufficiente. L'angolo di lettura più freddo è che le organizzazioni hanno investito in cicli di remediation vulnerabilità-centrati, senza parallelizzare la verifica di integrità dell'intero stack di autenticazione. Gunra sfrutta esattamente questa asimmetria: la prima falla Fortinet costa poco sforzo, ma il vero investimento avviene nella permanenza silenziosa che ne deriva.

La partecipazione della polizia sudcoreana KNPA al joint advisory — insieme alle agenzie statunitensi — sottolinea che il fenomeno ha dimensione transnazionale e impatto industriale misurabile. Il RaaS, con il suo programma affiliati formalizzato, espone a rischio omologo una popolazione di operatori più ampia e meno prevedibile dei gruppi ransomware tradizionali. Il dossier non chiarisce i legami, se esistono, con attori statali nordcoreani: alcune sovrapposizioni strumentali con Lazarus Group sono riportate come voce di corridoio, ma non emergono sovrapposizioni infrastrutturali documentate che colleghino Gunra a Pyongyang nello stato attuale delle indagini.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti