Gunra, il ransomware RaaS che prende di mira reti esposte e infrastrutture critiche

Un’operazione basata sul codice di Conti

Un advisory pubblicato il 10 agosto 2026 da FBI, CISA, DC3, NSA, USSS e dalla National Police Agency della Repubblica di Corea descrive la minaccia Gunra.

Il ransomware è comparso nell’aprile 2025 come variante derivata dal codice sorgente trapelato di Conti. Dall’inizio del 2026 è distribuito anche attraverso un modello ransomware-as-a-service (RaaS), promosso nei forum del dark web e rivolto ad affiliati criminali motivati finanziariamente.

Gunra applica una strategia di doppia estorsione: prima cifra i dati dell’organizzazione colpita, poi minaccia di pubblicarli su un proprio dedicated leak site (DLS). La trattativa sul riscatto avviene tramite un portale personalizzato accessibile attraverso Tor.

Accessi iniziali e conseguenze operative

Gli attacchi possono sfruttare sistemi raggiungibili da Internet, in particolare:

• gateway VPN;
• infrastrutture accessibili tramite Remote Desktop Protocol (RDP);
• reti aziendali con dati suscettibili di esfiltrazione.

Dopo la compromissione iniziale, gli operatori possono tentare il movimento laterale verso altri sistemi della rete. L’impatto comprende l’indisponibilità provocata dalla cifratura, la sottrazione di informazioni e la possibile divulgazione pubblica dei dati.

Sono inoltre possibili interruzioni operative, problemi nell’erogazione di servizi essenziali e pressioni economiche legate alla richiesta di riscatto. Il rischio è considerato alto per la combinazione tra doppia estorsione, modello RaaS e selezione di obiettivi strategici.

I settori maggiormente esposti

Gunra può colpire enti governativi, infrastrutture critiche e organizzazioni di numerosi comparti, tra cui:

• sanità e salute pubblica;
• finanza e assicurazioni;
• manifattura critica e costruzioni;
• trasporti e logistica;
• utility;
• università e ricerca;
• media e comunicazioni;
• commercio al dettaglio;
• servizi professionali e organizzazioni non profit.

Non sono stati indicati vendor commerciali né specifiche versioni software coinvolte.

Misure di difesa e indicatori disponibili

Le organizzazioni dovrebbero applicare rapidamente le patch relative alle vulnerabilità note e sfruttate nei sistemi esposti a Internet, dando priorità a gateway VPN e infrastrutture RDP.

È consigliabile inoltre:

• mantenere backup offline e immutabili, separati fisicamente e segmentati dalla rete principale;
• verificare periodicamente il ripristino dei backup;
• segmentare le reti per contenere il movimento laterale;
• integrare gli indicatori di compromissione nei sistemi di rilevamento e risposta;
• monitorare con particolare attenzione accessi anomali a VPN, RDP e sistemi contenenti dati sensibili.

Gli indicatori associati all’advisory AA26-222A sono disponibili in formato STIX XML da 54 KB e STIX JSON da 61 KB. Non sono riportati identificativi CVE né singoli indicatori nel testo dell’advisory.