Le recenti campagne di Gunra ransomware stanno attirando l’attenzione di enti di cybersecurity e intelligence per la capacità di colpire infrastrutture critiche e organizzazioni in diversi paesi. I settori più esposti includono sanità e servizi pubblici, servizi finanziari, strutture e servizi governativi, oltre a realtà professionali e nonprofit.
Il punto chiave è che gli attaccanti combinano furto di dati e cifratura dei sistemi in un modello di doppia estorsione, aumentando la pressione sulle vittime con la minaccia di pubblicazione dei file sottratti.
Per ottenere l’accesso iniziale, Gunra sfrutta vulnerabilità su sistemi esposti in rete. Tra i vettori citati figurano falle in Schneider Electric PowerLogic P5 e in Fortinet FortiOS e FortiProxy, utilizzate per entrare nelle reti aziendali e avviare la catena di compromissione. Una volta dentro, gli operatori possono muoversi lateralmente e preparare la fase finale di cifratura. In caso di mancato pagamento entro pochi giorni, i dati vengono pubblicati su siti di leak, con impatti reputazionali e legali significativi.
Dal punto di vista operativo, la minaccia è stata associata a un ecosistema in stile RaaS (ransomware as a service), con programmi per affiliati che includono pannelli di gestione, builder configurabili e payload multipiattaforma. Sono state osservate varianti per Windows e Linux, e analisi tecniche hanno evidenziato che alcune build Linux possono presentare debolezze crittografiche gravi, un dettaglio importante per i team di incident response che valutano opzioni di recupero.
Le tecniche post-compromissione includono strumenti per l’escalation e il movimento laterale su SMB, oltre a dumping di credenziali da controller di dominio. Per ridurre la visibilità, gli attaccanti possono cancellare log e cronologia dei comandi e operare in fasce orarie notturne. L’esfiltrazione dati può coinvolgere servizi come OneDrive e SharePoint, oltre a trasferimenti massivi tramite archivi compressi e piattaforme di file sharing. In alcuni casi emergono anche tentativi di aggirare MFA tramite manomissione di componenti di autenticazione e uso di session hijacking.
Per ridurre il rischio di Gunra ransomware, la priorità è la gestione delle patch su sistemi internet-facing, segmentazione di rete, controllo degli accessi privilegiati e backup immutabili conservati offline o in sedi separate.