(11) 91331-5792
Visão Geral
O grupo de ransomware Gunra está explorando vulnerabilidades conhecidas em dispositivos Fortinet expostos à internet. Após obter acesso inicial, os invasores podem roubar credenciais, movimentar-se pela rede, exfiltrar dados e criptografar arquivos.
A campanha utiliza o modelo de dupla extorsão: os dados são roubados antes da criptografia e, posteriormente, os criminosos ameaçam publicá-los caso o resgate não seja pago.
O Gunra surgiu em 2025 e passou a operar como ransomware-as-a-service (RaaS), permitindo que afiliados utilizem sua infraestrutura para realizar invasões.
Vulnerabilidades exploradas
As principais falhas associadas à campanha são:
| Vulnerabilidade | Tipo | Consequência |
|---|---|---|
CVE-2024-55591 | Desvio de autenticação | Acesso administrativo não autorizado |
CVE-2025-24472 | Desvio de autenticação | Obtenção de privilégios elevados |
Essas vulnerabilidades afetam versões específicas do FortiOS e do FortiProxy. Como firewalls e gateways de VPN ficam expostos à internet, eles são alvos frequentes de varreduras e tentativas de exploração.
Quando um dispositivo de borda é comprometido, o invasor pode alterar configurações, criar contas administrativas e alcançar serviços internos.
Como o ataque acontece?
1. Comprometimento do dispositivo
O Gunra procura equipamentos Fortinet vulneráveis ou utiliza credenciais expostas, contas padrão e configurações inseguras para obter acesso inicial.
2. Criação e abuso de contas
Após invadir o dispositivo, os criminosos podem criar contas administrativas ou reativar contas antigas. A conta forticloud-sync foi citada em investigações, mas sua presença isolada não confirma um comprometimento.
Também podem ser alteradas configurações que impedem a troca obrigatória de senhas ou prolongam a validade do acesso.
3. Contorno do MFA
Em um caso analisado, os invasores modificaram arquivos responsáveis pela autenticação de um ambiente VDI. Com isso, um código OTP controlado por eles passou a ser aceito como válido.
Nesse cenário, o MFA não foi quebrado matematicamente. O sistema responsável por validar o segundo fator foi alterado para aceitar uma credencial adicional.
4. Movimentação lateral
Com credenciais obtidas, os invasores podem utilizar ferramentas e protocolos como:
psexec.py;smbclient.py;secretsdump.py;- SMB;
- RDP;
- túneis SSH.
Esses recursos podem permitir acesso a servidores, compartilhamentos administrativos e controladores de domínio. Também foram observados casos de roubo de cookies de sessão e informações de autenticação da VDI.
Exfiltração e criptografia
Antes de executar o ransomware, o grupo coleta informações corporativas, bancos de dados, documentos, e-mails e arquivos de configuração.
Os investigadores observaram o uso de um executável chamado main.exe para copiar dados do OneDrive e do SharePoint. Os arquivos eram compactados e enviados para serviços externos, como o Mega.
Também foram utilizados programas legítimos, incluindo:
- 7-Zip;
- RClone;
- FileZilla;
- WinRAR.
Após a exfiltração, o ransomware criptografa arquivos usando ChaCha20 e RSA-4096. Os arquivos recebem a extensão: .ENCRT.
A operação também cria o arquivo:
R3ADM3.txtEsse arquivo contém instruções de negociação e pode direcionar a vítima para serviços hospedados na rede Tor ou para o aplicativo qTox.
Indicadores para investigação
A presença de um único indicador não confirma uma infecção. É necessário analisar os eventos em conjunto.
| Indicador | Motivo da investigação |
|---|---|
Arquivos .ENCRT | Possível criptografia pelo Gunra |
Arquivo R3ADM3.txt | Possível nota de resgate |
Conta forticloud-sync | Conta associada a atividades investigadas |
Execução inesperada de main.exe | Possível coleta de dados em nuvem |
| Uso incomum de 7-Zip, RClone ou FileZilla | Possível preparação de exfiltração |
| Alterações em arquivos de autenticação | Possível persistência |
| Logins administrativos fora do horário | Possível atividade dos invasores |
| Acessos SMB ou RDP incomuns | Possível movimentação lateral |
Como proteger a organização?
- Atualize imediatamente os dispositivos Fortinet e confirme a aplicação das correções para CVE-2024-55591 e CVE-2025-24472.
- Revise os serviços expostos à internet, principalmente VPNs, firewalls, interfaces administrativas e servidores RDP.
- Restrinja o acesso administrativo usando redes de gerenciamento separadas, listas de endereços permitidos e controles adicionais.
- Remova contas padrão, antigas ou sem uso e investigue contas administrativas criadas recentemente.
- Altere as credenciais após qualquer suspeita de comprometimento, incluindo senhas de VPN, domínio, VDI, contas de serviço e dispositivos de rede.
- Mantenha o MFA habilitado, mas monitore alterações nos servidores e arquivos responsáveis pela validação da autenticação.
- Segmente a rede para impedir que uma VPN comprometida permita acesso direto a controladores de domínio, servidores de arquivos, bancos de dados e backups.
- Mantenha backups offline ou imutáveis, armazenados fora da rede principal. Teste regularmente os procedimentos de restauração.
- Monitore a criação de arquivos compactados e transferências anormais, especialmente envolvendo OneDrive, SharePoint, Mega, FTP ou outros serviços externos.
- Centralize e proteja os logs de firewalls, VPNs, VDI, Active Directory, endpoints e serviços em nuvem.
Em caso de suspeita, isole os equipamentos afetados, preserve os logs, investigue a extensão do acesso e faça a rotação das credenciais a partir de um dispositivo confiável. Aplicar apenas uma atualização não garante que o invasor tenha sido removido.