Gunra, le ransomware dérivé de Conti qui exploite désormais les pare-feu et VPN exposés

L’alerte conjointe et l’évolution de la menace

La CISA a publié le 10 août 2026 l’alerte AA26-222A consacrée au ransomware Gunra, récemment mentionné également dans la veille du 14 août. Le document est signé par la CISA, le FBI, le DoD Cyber Crime Center, la NSA, les U.S. Secret Service et la National Police Agency de Corée du Sud.

Gunra est une famille de ransomwares à double extorsion. Ses opérateurs exfiltrent les données avant de chiffrer les systèmes, puis menacent de les publier ou de les vendre si la victime ne paie pas.

Le FBI avait identifié le groupe pour la première fois en avril 2025. Le malware semble dériver du code source de Conti divulgué en 2022, ou en être fortement inspiré. Initialement concentrée sur les environnements Windows, l’activité s’est ensuite orientée vers le développement d’une variante Linux et l’extension à des infrastructures multiplateformes, selon des informations recueillies à la mi-2025.

Depuis janvier 2026, Gunra opère également selon un modèle de ransomware-as-a-service. Le groupe fait la promotion de son service sur les forums du dark web et fournit à ses affiliés une console d’administration, un builder configurable, des payloads pour différents systèmes et une documentation opérationnelle.

Les opérateurs utilisent également l’alias Golden Community. Pour obtenir un accès initial, ils recrutent des testeurs d’intrusion, des hackers éthiques et d’autres initial access brokers, auxquels ils proposent une part des rançons en échange d’un accès aux réseaux d’entreprise.

Des victimes réparties dans de nombreux secteurs

Les organisations publiées sur le dedicated leak site de Gunra se trouvent sur le continent américain, en Europe, au Moyen-Orient, en Afrique et dans la région Asie-Pacifique. Le nombre total de victimes ainsi que le montant des rançons demandées ou versées restent inconnus.

Les secteurs touchés comprennent notamment :

• la santé et la santé publique ;
• les banques, la finance et les assurances ;
• l’industrie manufacturière critique et la construction ;
• les transports et la logistique ;
• les administrations et les organismes publics ;
• les services d’utilité publique ;
• les universités et la recherche ;
• les médias et les communications ;
• le commerce de détail ;
• les services professionnels et les organisations à but non lucratif.

Le mode opératoire combine le vol et le chiffrement. Après l’exfiltration, le ransomware chiffre les fichiers et dépose une note dans chaque répertoire concerné. Le message fournit les instructions permettant d’accéder, via Tor, à un portail de négociation, auquel la victime se connecte à l’aide d’un Client ID et d’un mot de passe initial.

Les négociations se poursuivent via qTox, une application de messagerie chiffrée. Le délai de paiement est généralement compris entre cinq et sept jours. En l’absence d’accord, les opérateurs menacent de publier ou de vendre les données sur leur site de fuite.

L’accès passe par des équipements exposés et des identifiants compromis

Selon le FBI, Gunra exploite principalement des vulnérabilités connues sur des équipements accessibles depuis Internet, notamment des pare-feu et des appliances VPN. L’alerte associe cette phase à la technique MITRE ATT&CK T1190, Exploit Public-Facing Application.

Les deux vulnérabilités citées sont les suivantes :

• CVE-2024-55591, contournement de l’authentification classé CWE-288, affectant certaines versions de FortiOS et FortiProxy ;
• CVE-2025-24472, également un contournement de l’authentification CWE-288, affectant certaines versions de FortiOS et FortiProxy.

Les versions et builds exacts concernés n’ont pas été précisés dans les informations disponibles. Le nom du produit ou du fournisseur ne suffit donc pas à déterminer si un équipement est vulnérable : il faut comparer la version installée aux recommandations de Fortinet.

La gravité opérationnelle de ces deux failles est élevée. La CVE-2024-55591 possède un score CVSS de 9,8, avec le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Elle figure dans le catalogue CISA KEV depuis le 14 janvier 2025 ; pour les agences fédérales américaines, la date limite de remédiation était fixée au 21 janvier 2025.

La CVE-2025-24472 possède un score CVSS de 8,1, avec le vecteur CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H. Elle a été ajoutée au catalogue KEV le 18 mars 2025, avec une échéance fixée au 8 avril 2025 pour les agences fédérales américaines.

Les deux vulnérabilités sont associées à des campagnes de ransomware. Pour la CVE-2024-55591, la CISA demande d’appliquer les mesures d’atténuation indiquées par le fournisseur ou de cesser d’utiliser le produit lorsqu’aucune contre-mesure n’est disponible. Pour la CVE-2025-24472, elle recommande également de suivre les exigences applicables de la BOD 22-01 concernant les services cloud.

Le risque ne se limite pas aux CVE. La KNPA a constaté des accès obtenus au moyen d’identifiants exposés et de vulnérabilités affectant les contrôles SSH de passerelles VPN publiées sur Internet. Un équipement non mis à jour peut donc devenir un point d’entrée, même si l’organisation n’a détecté aucune attaque directe contre ses serveurs internes.

La situation observée ces derniers mois révèle d’autres problèmes touchant les mêmes fournisseurs : la CVE-2025-68686 a été ajoutée au catalogue KEV le 27 juillet 2026. Cela ne signifie pas que Gunra l’exploite, mais confirme la nécessité de traiter les technologies Fortinet exposées comme des actifs prioritaires dans la gestion des vulnérabilités.

Du chiffrement au déplacement latéral

Après avoir obtenu un accès, les opérateurs cherchent à étendre leur contrôle sur le réseau avant de lancer le chiffrement. Pour se déplacer latéralement, ils utilisent régulièrement les bibliothèques Impacket, notamment les outils psexec.py et smbclient.py.

Cette activité s’appuie sur le protocole Server Message Block et est associée à la technique MITRE ATT&CK T1021.002. Les systèmes Windows dotés de partages SMB accessibles, d’identifiants réutilisés ou de privilèges excessifs peuvent ainsi faciliter la propagation vers d’autres hôtes.

Le chiffreur Windows utilise les API natives du système d’exploitation pour localiser les données. Pour énumérer les fichiers et les répertoires présents sur les lecteurs disponibles, il fait appel à FindFirstFileW et FindNextFileW, en parcourant les lettres de lecteur de A à Z. Ce comportement est associé à la technique T1106 – Native API.

Les indicateurs techniques ne se limitent pas aux fichiers chiffrés. La télémétrie relative aux accès anormaux aux pare-feu et aux VPN, à l’utilisation inhabituelle de SMB, à l’exécution d’outils Impacket et à l’analyse étendue des lecteurs peut contribuer à détecter la phase de préparation de l’attaque.

Les priorités en matière de défense

Les organisations qui gèrent des équipements FortiOS ou FortiProxy doivent vérifier immédiatement les versions installées, appliquer les correctifs ou les mesures d’atténuation du fournisseur et retirer du réseau les appareils pour lesquels aucune correction exploitable n’existe.

La vérification doit notamment couvrir :

1. les pare-feu, VPN et autres équipements directement exposés à Internet ;
2. les passerelles disposant d’un accès SSH public ;
3. les comptes privilégiés et les identifiants éventuellement publiés ou réutilisés ;
4. les journaux d’authentification et de configuration des équipements Fortinet ;
5. les connexions SMB anormales et l’utilisation inhabituelle de psexec.py ou smbclient.py ;
6. les systèmes RDP et les infrastructures publiées sans segmentation adéquate.

La CISA met à disposition les indicateurs de compromission de l’alerte au format STIX : un fichier XML de 54 Ko et un fichier JSON de 61 Ko. Les IOC peuvent être importés dans les systèmes SIEM, EDR et de network security monitoring afin de corréler les domaines, adresses, hachages et autres artefacts associés à l’opération.

Les correctifs et la détection doivent s’accompagner de sauvegardes hors ligne et immuables, conservées dans un emplacement physiquement séparé et segmenté. La segmentation limite quant à elle la propagation depuis un endpoint compromis vers les serveurs, hyperviseurs, systèmes ERP et ressources de production.

Le ransomware continue également de cibler l’industrie : au deuxième trimestre 2026, Dragos a recensé 1 140 incidents visant des organisations industrielles, dont 747 dans le secteur manufacturier. Aucun cas de manipulation directe des ICS n’a été détecté, mais les attaques ont perturbé les activités au moyen de systèmes IT, d’ERP et de plateformes de virtualisation.