Gunra, il ransomware derivato da Conti che ora sfrutta firewall e VPN esposti

L’avviso congiunto e l’evoluzione della minaccia

La CISA ha pubblicato il 10 agosto 2026 l’advisory AA26-222A sul ransomware Gunra, rilevato di recente anche nella rassegna del 14 agosto. Il documento è firmato, oltre che dalla CISA, da FBI, DoD Cyber Crime Center, NSA, U.S. Secret Service e National Police Agency della Corea del Sud.

Gunra è una famiglia ransomware a doppia estorsione. Gli operatori sottraggono i dati prima di cifrare i sistemi e minacciano successivamente di pubblicarli o venderli se la vittima non paga.

L’FBI aveva osservato il gruppo per la prima volta nell’aprile 2025. Il malware sembra derivare, o essere fortemente influenzato, dal codice sorgente di Conti trapelato nel 2022. Inizialmente l’attività si concentrava soprattutto sugli ambienti Windows, ma informazioni raccolte a metà del 2025 indicavano lo sviluppo di una variante Linux e un’espansione verso infrastrutture multipiattaforma.

Da gennaio 2026 Gunra opera anche come programma ransomware-as-a-service. Il gruppo pubblicizza il servizio sui forum del dark web e fornisce agli affiliati un pannello di gestione, un builder configurabile, payload per sistemi diversi e documentazione operativa.

Gli operatori usano anche l’alias Golden Community. Per ottenere l’accesso iniziale reclutano penetration tester, ethical hacker e altri initial access broker, offrendo loro una quota dei riscatti in cambio dell’ingresso nelle reti aziendali.

Vittime distribuite in numerosi settori

Le organizzazioni pubblicate sul dedicated leak site di Gunra si trovano nelle Americhe, in Europa, in Medio Oriente, in Africa e nell’area Asia-Pacifico. Non è noto il numero complessivo delle vittime né l’ammontare dei riscatti richiesti o pagati.

L’elenco dei settori colpiti comprende:

• sanità e salute pubblica;
• banche, finanza e assicurazioni;
• manifattura critica ed edilizia;
• trasporti e logistica;
• amministrazioni e strutture governative;
• utility;
• università e ricerca;
• media e comunicazioni;
• retail;
• servizi professionali e organizzazioni non profit.

Il modello operativo combina furto e cifratura. Dopo l’esfiltrazione, il ransomware blocca i file e lascia una nota in ogni directory interessata. Il messaggio contiene le istruzioni per raggiungere tramite Tor un portale di negoziazione, al quale la vittima accede con un Client ID e una password iniziale.

Le trattative proseguono attraverso qTox, un’applicazione di messaggistica cifrata. La finestra indicata per il pagamento è generalmente compresa fra cinque e sette giorni. In assenza di accordo, gli operatori minacciano la pubblicazione o la vendita dei dati sul sito di fuga.

L’accesso passa da apparati esposti e credenziali compromesse

Secondo l’FBI, Gunra sfrutta soprattutto vulnerabilità note presenti su dispositivi raggiungibili da Internet, inclusi firewall e appliance VPN. L’advisory collega questa fase alla tecnica MITRE ATT&CK T1190, Exploit Public-Facing Application.

Le due vulnerabilità indicate sono:

• CVE-2024-55591, bypass dell’autenticazione classificato come CWE-288, che interessa specifiche versioni di FortiOS e FortiProxy;
• CVE-2025-24472, anch’essa un bypass dell’autenticazione CWE-288, relativo a specifiche versioni di FortiOS e FortiProxy.

Le versioni e le build esatte coinvolte non sono state rese note nel materiale disponibile. Non sono quindi sufficienti il nome del prodotto o del vendor per stabilire se un apparato sia vulnerabile: occorre confrontare la versione installata con le indicazioni di Fortinet.

La gravità operativa delle due falle è elevata. CVE-2024-55591 ha un punteggio CVSS di 9.8, con vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. È nel catalogo CISA KEV dal 14 gennaio 2025; per le agenzie federali statunitensi la scadenza di remediation era il 21 gennaio 2025.

CVE-2025-24472 ha un CVSS di 8.1, con vettore CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H. È stata aggiunta al KEV il 18 marzo 2025, con scadenza fissata all’8 aprile 2025 per le agenzie federali USA.

Entrambe risultano associate a campagne ransomware. Per CVE-2024-55591 la CISA richiede di applicare le mitigazioni indicate dal vendor oppure interrompere l’utilizzo del prodotto se non esistono contromisure disponibili. Per CVE-2025-24472 indica inoltre di seguire le prescrizioni applicabili della BOD 22-01 per i servizi cloud.

Il rischio non riguarda soltanto le CVE. La KNPA ha osservato accessi ottenuti tramite credenziali esposte e vulnerabilità nei controlli SSH di gateway VPN pubblicati su Internet. Un apparato non aggiornato può quindi diventare il punto di ingresso anche quando l’organizzazione non ha rilevato un attacco diretto contro i server interni.

Il quadro degli ultimi mesi mostra ulteriori problemi per gli stessi vendor: CVE-2025-68686 è entrata nel catalogo KEV il 27 luglio 2026. Il dato non implica che Gunra la stia sfruttando, ma conferma la necessità di trattare le tecnologie Fortinet esposte come asset prioritari per la gestione delle vulnerabilità.

Dalla cifratura al movimento laterale

Una volta ottenuto l’accesso, gli operatori cercano di ampliare il controllo sulla rete prima di avviare la cifratura. Per il movimento laterale utilizzano regolarmente le librerie Impacket, in particolare gli strumenti psexec.py e smbclient.py.

L’attività sfrutta il protocollo Server Message Block ed è associata alla tecnica MITRE ATT&CK T1021.002. Sistemi Windows con condivisioni SMB accessibili, credenziali riutilizzate o privilegi eccessivi possono quindi favorire la propagazione verso altri host.

Il cifratore Windows usa API native del sistema operativo per individuare i dati. Per enumerare file e directory sulle unità disponibili ricorre a FindFirstFileW e FindNextFileW, scandendo le lettere di unità da A a Z. Questa modalità è ricondotta alla tecnica T1106 – Native API.

Gli indicatori tecnici non si limitano ai file cifrati. Telemetria su accessi anomali a firewall e VPN, uso inatteso di SMB, esecuzione di strumenti Impacket e scansioni estese delle unità può aiutare a intercettare la fase di preparazione dell’attacco.

Le attività difensive prioritarie

Le organizzazioni che gestiscono apparati FortiOS o FortiProxy dovrebbero verificare immediatamente le versioni installate, applicare le patch o le mitigazioni del vendor e rimuovere dalla rete i dispositivi per i quali non esistono correzioni utilizzabili.

La verifica dovrebbe includere:

1. firewall, VPN e altri apparati esposti direttamente a Internet;
2. gateway con accesso SSH pubblico;
3. account privilegiati e credenziali eventualmente pubblicate o riutilizzate;
4. log di autenticazione e configurazione degli apparati Fortinet;
5. connessioni SMB anomale e uso inatteso di psexec.py o smbclient.py;
6. sistemi RDP e infrastrutture pubblicate senza adeguata segmentazione.

La CISA mette a disposizione gli indicatori di compromissione dell’advisory in formato STIX: un file XML da 54 KB e un file JSON da 61 KB. Gli IOC possono essere importati nei sistemi SIEM, EDR e di network security monitoring per correlare domini, indirizzi, hash o altri artefatti associati all’operazione.

Patch e rilevamento devono essere accompagnati da backup offline e immutabili, conservati in una posizione fisicamente separata e segmentata. La segmentazione limita invece la propagazione da un endpoint compromesso verso server, hypervisor, sistemi ERP e risorse di produzione.

Il ransomware continua a colpire anche l’industria: nel secondo trimestre del 2026 Dragos ha contato 1.140 incidenti contro organizzazioni industriali, 747 dei quali nel comparto manifatturiero. Non sono stati rilevati casi di manipolazione diretta degli ICS, ma gli attacchi hanno interrotto le attività attraverso sistemi IT, ERP e piattaforme di virtualizzazione.