Un avis conjoint transpacifique contre Gunra

Le 10 août 2026, un avis conjoint inédit publié sous l'identifiant AA26-222A dans le cadre de la campagne #StopRansomware met en garde les organisations gouvernementales et d'infrastructures critiques du monde entier contre le rançongiciel Gunra. Signé par le FBI, la CISA, le Department of Defense Cyber Crime Center (DC3), la NSA, le U.S. Secret Service (USSS) et la National Police Agency de la République de Corée (KNPA), ce document technique de premier plan cristallise plusieurs mois d'investigations partagées entre Washington et Séoul.

« Gunra est une nouvelle variante dans la tendance continue des attaques par rançongiciel causant des perturbations et des dommages aux organisations américaines et internationales », a déclaré Chris Butera, directeur exécutif adjoint par intérim de la CISA pour la cybersécurité, cité par The Hacker News.

L'alerte vise une gamme étendue de secteurs : santé publique, services financiers et assurances, fabrication critique et construction, transport et logistique, services gouvernementaux, services publics, milieu académique, médias et communications, commerce de détail, et services professionnels ou à but non lucratif. Les victimes identifiées sur le site de fuite (DLS) des attaquants s'étendent sur les Amériques, l'Europe, le Moyen-Orient, l'Afrique et la zone Asie-Pacifique.

D'avril 2025 à janvier 2026 : d'un variant Conti à une plateforme RaaS

Gunra est apparu en avril 2025 en tant que variante de rançongiciel à double-extorsion dérivée du code source de Conti — ce code avait fuité en février 2022, alimentant depuis une nébuleuse de descendants. Le modèle combine chiffrement des données et exfiltration préalable, avec menace de publication sur un site de fuite dédié (DLS) hébergé sur le réseau Tor.

Le tournant structurel intervient en janvier 2026 : Gunra lance un programme formel de ransomware-as-a-service (RaaS) sur des forums du dark web. Les affiliés y accèdent à un panneau de gestion, à un constructeur de rançongiciel configurable, à des charges utiles de verrouillage multiplateformes et à une documentation structurée. Pour accompagner cette expansion, le groupe a adopté un nouvel alias de marque, « Golden Community », et s'est mis à recruter activement des pentesteurs et des hackers éthiques comme courtiers d'accès initial (IAB), en échange d'une part des rançons perçues.

Cette professionnalisation s'accompagne d'un élargissement technique : après des campagnes initialement centrées sur Windows, Gunra a introduit une variante Linux à mi-2025, orientant ses opérations vers le multiplateforme.

Des vecteurs d'entrée connus et exploités

Les autorités mettent en lumière l'exploitation de vulnérabilités déjà identifiées et corrigées dans des équipements exposés à Internet, ce qui rend le patching rapide d'autant plus critique. Le CISA cite nommément :

  • CVE-2024-55591 et CVE-2025-24472 — deux failles critiques de contournement d'authentification affectant FortiOS et FortiProxy (Fortinet) ;
  • l'exploitation de défauts d'exposition d'informations d'identification et de contrôle d'accès SSH dans des passerelles VPN exposées.

De son côté, The Hacker News ajoute que des chaînes d'attaque ont également tiré parti d'une vulnérabilité sur des appareils Schneider Electric PowerLogic P5 (CVE-2024-5559), soulignant la diversité des périphériques périphériques pris pour cible.

Une exfiltration massive, parfois dizaines de téraoctets

Gunra privilégie l'exfiltration avant chiffrement. Les enquêteurs ont observé l'usage d'un exécutable nommé main.exe pour extraire des données depuis Microsoft OneDrive et SharePoint, ainsi que la compression de volumes atteignant des dizaines de téraoctets envoyés vers le service de partage MEGA. Les attaquants récoltent documents critiques, bases de données, informations personnelles identifiables (PII) et communications internes.

Le chiffrement lui-même repose sur une architecture multithreadée utilisant ChaCha20 + RSA-4096, avec des extensions de fichiers .ENCRT (et .CRYPT dans un échantillon de juillet 2025) et une note de rançon statique intitulée R3ADM3.txt. Les victimes sont dirigées vers un portail de négociation Tor et l'application de messagerie chiffrée qTox, avec un délai de 5 à 7 jours avant publication des données. Les demandes initiales démarrent souvent « à des montants arbitrairement élevés, dépassant plusieurs dizaines de millions de dollars américains », selon le CISA.

Pour paralyser la récupération, les attaquants suppriment les copies shadow volume via WMI et, dans au moins un cas, ont détruit les sauvegardes des centres de données principal et de reprise, avant et après le déploiement du rançongiciel.

Techniques d'élévation et contournement de MFA

Le détail technique de l'avis révèle des procédés d'intrusion particulièrement aboutis :

  • Mouvement latéral via les bibliothèques Impacket (psexec.py, smbclient.py) sur SMB, et dumping de credentials avec secretsdump.py contre des contrôleurs de domaine (extraction des hashes NTDS, pass-the-hash / pass-the-ticket) ;
  • Détournement de session : manipulation du contrôle de trafic d'un appareil SSL-VPN pour intercepter les credentials et cookies de session des utilisateurs s'authentifiant à un portail VDI d'entreprise ;
  • Contournement de MFA : modification des fichiers de traitement d'authentification du portail VDI pour qu'une valeur OTP spécifique désignée par Gunra permette une authentification réussie en continu ;
  • Vol de clé symétrique sur un serveur de contrôle d'accès Hiware via SSH, pour déchiffrer les mots de passe des serveurs d'entreprise stockés en base ;
  • Activité concentrée entre 22h et 6h pour échapper aux administrateurs, suppression de journaux et d'historique de commandes.

Ces méthodes rappellent que Gunra ne se contente pas d'un simple « chiffrement de masse » : il procède à une prise de contrôle profonde de l'environnement cible avant l'impact final.

Un échec cryptographique sur la variante Linux

Un élément notable, rapporté par The Hacker News et attribué à une analyse de Breakglass Intelligence publiée en mars 2026 : les builds Linux de Gunra présentaient une « faiblesse cryptographique catastrophique » permettant de récupérer la clé de chiffrement et de restaurer l'accès aux fichiers. Ce défaut pourrait offrir une bouée de sauvetage aux victimes de la variante Linux — une rareté dans le paysage des rançongiciels contemporains.

La piste Lazarus : une collaboration étatique-criminelle ?

L'avis conjoint fait écho à un travail antérieur du cabinet sud-coréen AhnLab, conduit en collaboration avec plusieurs agences gouvernementales sud-coréennes, qui a exposé des liens entre Gunra et le groupe Lazarus, l'unité de cyber-attaque soutenus par la Corée du Nord.

Selon AhnLab, certaines opérations ont impliqué l'exploitation de vulnérabilités dans un logiciel de sécurité financière non identifié — via des attaques par hameçonnage ciblé et watering hole — pour distribuer des malwares, et certaines de ces intrusions ont abouti au déploiement de Gunra. Des attaques watering hole auraient exploité un zero-day dans AnySign4PC (logiciel de signature de certificats), avec des charges utiles comme Struggle (SIGNBT 3.0) et Brandoor (COPPERHEDGE), toutes deux associées à Lazarus.

« Bien que le groupe étatique et le groupe de rançongiciel Gunra semblent être des acteurs distincts avec des objectifs finaux différents, ils ont pu partager certaines techniques, certains outils et infrastructures, ou collaborer de manière limitée pendant les attaques », souligne AhnLab.

Ce scénario n'est pas inédit. Dès octobre 2024, Palo Alto Networks Unit 42 avait documenté le partenariat entre Andariel (sous-cluster de Lazarus) et le groupe Play ransomware. Andariel a par ailleurs déjà déployé ses propres rançongiciels (SHATTEREDGLASS, Maui, H0lyGh0st), et plus récemment Lazarus et l'intrusion set Moonstone Sleet ont été associés à des attaques utilisant Qilin et Medusa ransomware contre des entités sud-coréennes et du Moyen-Orient.

Un bilan mesuré mais géographiquement concentré

Selon les données publiées sur Ransomware.Live, Gunra a listé 51 victimes depuis son émergence en avril 2025, principalement en Corée du Sud, au Brésil, en Espagne, en Thaïlande et à Hong Kong. La majorité des cibles se concentrent en Australie, Asie de l'Est et Europe — seulement trois victimes ont été recensées au Canada et aux États-Unis à ce jour, ce qui suggère une priorisation opérationnelle asiatique et européenne, même si l'avis insiste sur le caractère mondial de la menace.

Recommandations et mesures de protection

Les agences auteures appellent les défenseurs réseau à adopter sans délai plusieurs mesures :

  1. Corriger en priorité les vulnérabilités connues et exploitées sur les systèmes exposés à Internet — en particulier les passerelles VPN et les infrastructures RDP, ainsi que les pare-feu Fortinet et équipements Schneider concernés ;
  2. Implémenter et tester des sauvegardes hors ligne, immuables, stockées dans un emplacement physiquement séparé et segmenté ;
  3. Segmenter les réseaux pour limiter le mouvement latéral depuis un périphérique compromis ;
  4. Durcir la configuration des équipements SSL-VPN (désactivation des comptes inutilisés, contrôle de verrouillage de comptes, rotation des credentials par défaut) ;
  5. Surveiller l'usage inhabituel d'outils légitimes détournés (Impacket, RClone, 7-Zip, FileZilla, AnyDesk, Mimikatz, Sliver, etc.) et les transferts volumineux vers MEGA.

Le CISA met également à disposition des indicateurs de compromission (IOC) au format STIX (XML et JSON) pour aider à la détection. À l'heure où les alliances entre acteurs étatiques et groupes criminels se multiplient, Gunra illustre un nouveau paradigme : la frontière entre cybercrime lucratif et opération d'État se réduit, et la coopération internationale — comme cet avis conjoint américano-sud-coréen — devient l'un des rares contre-feux efficaces.