Wprowadzenie do problemu / definicja
Gunra to aktywna rodzina ransomware działająca w modelu podwójnego wymuszenia, w którym atakujący nie tylko szyfrują zasoby ofiary, ale wcześniej wykradają dane, aby zwiększyć presję na zapłatę okupu. Najnowsze obserwacje pokazują, że grupa wykorzystuje podatności w urządzeniach brzegowych oraz komponentach środowisk przemysłowych, aby uzyskać początkowy dostęp do infrastruktury organizacji.
Taki sposób działania wpisuje się w rosnący trend nadużywania systemów wystawionych do internetu jako punktu wejścia do sieci przedsiębiorstw. Szczególnie niebezpieczne są tu urządzenia VPN, zapory, proxy bezpieczeństwa oraz elementy OT i ICS, które po kompromitacji mogą stać się furtką do dalszej eskalacji ataku.
W skrócie
- Gunra atakuje organizacje z wielu sektorów, w tym infrastrukturę krytyczną, ochronę zdrowia, usługi publiczne i finanse.
- W analizowanych incydentach wykorzystywano luki CVE-2025-24472 w FortiOS i FortiProxy oraz CVE-2024-5559 w Schneider Electric PowerLogic P5.
- Po uzyskaniu dostępu napastnicy prowadzili eskalację uprawnień, kradzież poświadczeń, ruch boczny przez SMB oraz eksfiltrację danych.
- Końcowa faza obejmowała usuwanie logów, niszczenie kopii zapasowych i szyfrowanie kluczowych systemów.
Kontekst / historia
Gunra pojawiła się w krajobrazie zagrożeń w 2025 roku i z czasem rozwinęła działalność w kierunku modelu RaaS, umożliwiającego współpracę z afiliantami. Według dostępnych informacji grupa koncentrowała się na podmiotach z Azji Wschodniej, Europy i Australii, jednak jej kampanie miały charakter globalny.
Znaczenie zagrożenia wzrosło wraz z ostrzeżeniami dotyczącymi ataków na podmioty o wysokim znaczeniu operacyjnym, w tym organizacje związane z infrastrukturą krytyczną. To pokazuje, że współczesne kampanie ransomware coraz częściej wykraczają poza klasyczne środowiska biurowe i obejmują także systemy przemysłowe oraz energetyczne.
Analiza techniczna
W opisywanych incydentach początkowy dostęp był uzyskiwany przez wykorzystanie podatności w rozwiązaniach Fortinet oraz Schneider Electric. W przypadku CVE-2025-24472 chodzi o obejście uwierzytelnienia w FortiOS i FortiProxy, które w określonych warunkach może pozwolić zdalnemu, nieuwierzytelnionemu napastnikowi na uzyskanie wysokich uprawnień administracyjnych. To szczególnie groźny scenariusz dla urządzeń perymetrycznych, ponieważ umożliwia wejście do środowiska bez użycia legalnych kont.
Druga z luk, CVE-2024-5559, dotyczy Schneider Electric PowerLogic P5. Problem ma charakter kryptograficzny i może prowadzić do odmowy usługi, restartu urządzenia lub nawet pełnego przejęcia kontroli nad przekaźnikiem po wykorzystaniu specjalnie przygotowanego tokenu resetu. Obecność tej podatności w łańcuchu ataku pokazuje, że operatorzy ransomware coraz śmielej sięgają po komponenty środowisk OT.
Po wejściu do infrastruktury Gunra stosowała klasyczny zestaw technik post-exploitation. Obserwowano użycie narzędzi z pakietu Impacket do zdalnego wykonywania poleceń przez SMB oraz pozyskiwania danych uwierzytelniających z kontrolerów domeny. Atakujący przejmowali hashe z bazy NTDS, uzyskiwali dostęp do kont uprzywilejowanych i poruszali się lateralnie pomiędzy kolejnymi systemami.
W części przypadków wykorzystywano także dostęp do środowisk VDI personelu IT, co umożliwiało kradzież dokumentacji konfiguracyjnej oraz informacji o topologii sieci. Dodatkowo opisywano manipulowanie ruchem na urządzeniach SSL-VPN w celu przechwycenia poświadczeń i informacji o sesjach użytkowników. Skradzione ciasteczka sesyjne mogły następnie posłużyć do przejęcia aktywnych sesji i podszycia się pod legalnych użytkowników.
W bardziej zaawansowanych scenariuszach atakujący obchodzili MFA przez modyfikację komponentów odpowiedzialnych za uwierzytelnianie w portalu VDI. Na końcowym etapie prowadzono czyszczenie logów systemowych i sieciowych, usuwanie historii poleceń, eksfiltrację danych z zasobów lokalnych i usług chmurowych, a następnie niszczenie kopii zapasowych przed wdrożeniem modułu szyfrującego.
Konsekwencje / ryzyko
Ryzyko związane z aktywnością Gunra jest wysokie, ponieważ kampanie tej grupy łączą kilka silnie destrukcyjnych elementów: wykorzystanie publicznie dostępnych luk, kradzież danych, przejmowanie tożsamości, niszczenie backupów i szyfrowanie systemów. Nawet jeśli organizacja jest w stanie odtworzyć środowisko z kopii zapasowych, pozostaje problem wycieku informacji i możliwych skutków regulacyjnych, finansowych oraz reputacyjnych.
Skutki incydentu mogą obejmować niedostępność systemów biznesowych, zatrzymanie procesów operacyjnych, utratę dostępu do baz danych, zakłócenie pracy środowisk VDI, kompromitację kont uprzywilejowanych oraz ujawnienie dokumentacji technicznej. W sektorach przemysłowych i energetycznych dodatkowo pojawia się ryzyko wpływu na systemy o znaczeniu fizycznym i operacyjnym.
Rekomendacje
Organizacje powinny priorytetowo zweryfikować, czy używane instancje FortiOS, FortiProxy oraz urządzenia Schneider Electric są podatne na wskazane błędy, a następnie niezwłocznie wdrożyć poprawki i zalecenia producentów. Szczególną uwagę należy poświęcić systemom wystawionym bezpośrednio do internetu.
- Włączyć ścisły monitoring urządzeń perymetrycznych, w tym VPN, firewalli i proxy.
- Przeprowadzić przegląd konfiguracji Security Fabric oraz kont administracyjnych i serwisowych.
- Zweryfikować integralność komponentów odpowiedzialnych za MFA i uwierzytelnianie.
- Ograniczyć ruch lateralny przez segmentację sieci i separację środowisk administracyjnych.
- Monitorować użycie narzędzi takich jak Impacket, PsExec, SMB admin shares i mechanizmy dumpingu poświadczeń.
- Wdrożyć kopie zapasowe niemutowalne, offline i regularnie testowane.
- Objąć OneDrive, SharePoint i środowiska VDI dodatkowymi regułami detekcji anomalii.
- Centralizować logi i zabezpieczyć je przed usunięciem przez napastnika.
- Rotować poświadczenia uprzywilejowane po każdym podejrzeniu kompromitacji urządzeń brzegowych.
- Przeprowadzić threat hunting pod kątem przejętych sesji, nocnych logowań i dużych transferów danych.
W środowiskach OT warto dodatkowo odseparować sieci przemysłowe od IT, ograniczyć zdalny dostęp do kontrolowanych punktów pośredniczących i prowadzić dokładną inwentaryzację firmware’u oraz komponentów zarządzających.
Podsumowanie
Aktywność Gunra potwierdza, że nowoczesne operacje ransomware coraz częściej rozpoczynają się od kompromitacji urządzeń brzegowych i systemów o wysokiej wartości operacyjnej. Wykorzystanie luk w rozwiązaniach Fortinet i Schneider Electric pokazuje, że granica między cyberatakami na klasyczne środowiska IT a systemami przemysłowymi staje się coraz mniej wyraźna.
Dla zespołów bezpieczeństwa oznacza to konieczność równoległego wzmacniania kilku obszarów: zarządzania podatnościami, monitoringu urządzeń perymetrycznych, ochrony tożsamości, segmentacji sieci oraz odporności kopii zapasowych. Im szybciej organizacje ograniczą ekspozycję publicznych usług i poprawią widoczność aktywności w sieci, tym większa szansa na zatrzymanie podobnych kampanii przed etapem szyfrowania danych.
Źródła
- The Hacker News — https://thehackernews.com/2026/08/gunra-ransomware-exploits-fortinet-and.html
- NVD: CVE-2025-24472 — https://nvd.nist.gov/vuln/detail/CVE-2025-24472
- NVD: CVE-2024-5559 — https://nvd.nist.gov/vuln/detail/CVE-2024-5559