{ "title_fr": "Ransomware Gunra : le gang contourne l'authentification multifacteur en exploitant des failles Fortinet", "excerpt_fr": "Les agences américaines et sud-coréennes publient une alerte conjointe détaillant les tactiques du groupe Gunra, un ransomware dérivé de Conti qui exploite des vulnérabilités critiques sur les appareils Fortinet et contourne l'MFA en manipulant les portails d'authentification VDI.", "content_fr": "## Une alerte conjointe inédite
Le 10 août 2026, le FBI, la CISA, la NSA, le U.S. Secret Service, le Department of Defense Cyber Crime Center (DC3) et la National Police Agency de Corée du Sud (KNPA) ont publié une alerte conjointe — référencée AA26-222A — consacrée au ransomware Gunra. Ce document technique détaille les tactiques, techniques et procédures (TTP) d'un groupe apparu en avril 2025 et qui a depuis considérablement étendu ses opérations, notamment via un programme RaaS (Ransomware-as-a-Service) lancé en janvier 2026 sur des forums du dark web.
« Gunra est une autre variante dans la tendance continue des attaques de ransomware causant des perturbations et des dommages aux organisations américaines et internationales », a déclaré Chris Butera, directeur exécutif adjoint par intérim de la CISA pour la cybersécurité.
Les secteurs ciblés incluent la santé, les services financiers, les infrastructures critiques, les services gouvernementaux, les transports, l'énergie, le commerce de détail et les services professionnels. Selon les données de Ransomware.Live, 51 victimes ont été recensées depuis l'apparition du groupe, principalement en Corée du Sud, au Brésil, en Espagne, en Thaïlande et à Hong Kong, avec une concentration en Australie, Asie de l'Est et Europe.
Des failles Fortinet comme porte d'entrée
D'après l'advisory de la CISA, les acteurs de Gunra obtiennent leur accès initial principalement en exploitant des vulnérabilités connues sur des appareils exposés à Internet, notamment des firewalls et des passerelles VPN. Deux CVE spécifiques sont mentionnés :
- CVE-2024-55591 — une vulnérabilité de contournement d'authentification affectant certaines versions de FortiOS et FortiProxy (CWE-288).
- CVE-2025-24472 — une seconde vulnérabilité de contournement d'authentification, également sur FortiOS et FortiProxy.
The Hacker News signale par ailleurs que le groupe aurait également exploité la faille CVE-2024-5559 affectant les appareils Schneider Electric PowerLogic P5 exposés à Internet, un vecteur qui n'apparaît pas explicitement dans l'advisory de la CISA mais qui a été observé dans certaines campagnes.
Dans certains cas, la KNPA a également observé les attaquants exploiter des informations d'identification par défaut sur des appliances SSL-VPN lorsque les contrôles de verrouillage de compte n'étaient pas activés.
Le contournement d'MFA : une technique particulièrement sophistiquée
L'un des aspects les plus préoccupants de l'alerte concerne les techniques employées par Gunra pour contourner l'authentification multifacteur (MFA). La KNPA a documenté plusieurs méthodes :
- Interception de trafic SSL-VPN : les attaquants ont manipulé la fonctionnalité de contrôle du trafic réseau d'une appliance SSL-VPN pour intercepter les identifiants et les informations de session transmis par les utilisateurs s'authentifiant sur un portail d'authentification VDI d'entreprise.
- Détournement de session : les cookies de session volés ont été utilisés pour mener des attaques de session hijacking, en se faisant passer pour des utilisateurs légitimes afin d'accéder au réseau interne.
- Modification des fichiers d'authentification : les attaquants ont altéré les fichiers de traitement de l'authentification sur le serveur du portail VDI de sorte qu'une valeur OTP spécifique désignée par Gunra déclenche une authentification réussie — un contournement permanent et silencieux de l'MFA.
Cette approche montre que les acteurs ne se contentent pas d'exploiter des vulnérabilités réseau : ils comprennent suffisamment l'architecture d'authentification cible pour la saboter de l'intérieur après avoir obtenu un premier accès.
Une fois à l'intérieur : mouvement latéral et exfiltration massive
Le schéma d'attaque de Gunra est méthodique. Après l'accès initial, les attaquants utilisent la suite Impacket — notamment psexec.py et smbclient.py — pour se déplacer latéralement via le protocole SMB. L'outil secretsdump.py est employé pour extraire les hachages de mots de passe depuis le fichier NTDS des contrôleurs de domaine compromis, permettant des attaques de type pass-the-hash ou pass-the-ticket.
Les activités malveillantes sont menées de 22h00 à 06h00 pour échapper à la détection, et les attaquants nettoient systématiquement les journaux d'accès et l'historique de commandes. Dans un cas documenté, les acteurs se sont connectés aux environnements VDI du personnel informatique pour y collecter des documents de configuration réseau et système sensibles.
L'exfiltration de données s'effectue via un exécutable nommé main.exe qui cible Microsoft OneDrive et SharePoint. Dans au moins un cas, les attaquants ont créé des archives compressées contenant jusqu'à plusieurs téraoctets de données et les ont téléversées vers le service MEGA. Les outils open source 7-Zip, RClone et FileZilla ont également été utilisés.
Le chiffrement : ChaCha20 + RSA-4096
Le binaire Windows de Gunra utilise une architecture multithread permettant le chiffrement parallèle de plusieurs fichiers avec ChaCha20 + RSA-4096. Le ransomware parcourt tous les lecteurs accessibles (A à Z), en filtrant les répertoires système critiques (C:\Windows, C:\Program Files) et certaines extensions (.exe, .dll, .sys). Les fichiers chiffrés reçoivent l'extension .ENCRT (et .CRYPT dans un échantillon de juillet 2025), et une note de rançon nommée R3ADM3.txt est déposée dans chaque répertoire affecté.
Avant le chiffrement, les attaquants suppriment les clichés instantanés de volume via WMI et n'hésitent pas à détruire les sauvegardes dans le centre de données principal comme dans le centre de reprise d'activité.
Un héritage Conti et une possible connexion nord-coréenne
Gunra est basé sur — ou fortement influencé par — le code source de Conti, le ransomware dont les sources ont fuité en 2022. Depuis, le groupe a lancé un programme RaaS structuré, offrant aux affiliés un panneau de gestion, un constructeur de ransomware configurable, des charges utiles multiplateformes (Windows et Linux) et une documentation affiliée.
Le FBI a également observé le groupe adopter un nouvel alias, « Golden Community », et recruter activement des pentesters et des hackers éthiques comme courtiers en accès initial, en échange d'une part des profits de la rançon.
Un point particulièrement intéressant soulevé par The Hacker News : des analyses d'AhnLab suggèrent des points communs entre Gunra et un groupe d'État-nation non identifié lié à la Corée du Nord. Des campagnes de type watering hole ont exploité une faille zero-day dans le logiciel de signature de certificats AnySign4PC, et certains payloads distribués — Struggle (alias SIGNBT 3.0) et Brandoor (alias COPPERHEDGE) — sont associés au Lazarus Group. Bien que Gunra et les groupes d'État-nation semblent être des acteurs distincts avec des objectifs différents, ces similitudes suggèrent un partage possible de techniques, d'outils ou d'infrastructure.
Ce type de collaboration n'est pas inédit : dès octobre 2024, Palo Alto Networks Unit42 avait observé le sous-cluster Andariel (Lazarus) s'associer au groupe Play ransomware. Depuis septembre 2025, Lazarus et Moonstone Sleet ont également été attribués à des attaques utilisant les ransomwares Qilin et Medusa.
Par ailleurs, en mars 2026, Breakglass Intelligence avait identifié une « faiblesse cryptographique catastrophique » dans les versions Linux de Gunra, permettant de récupérer la clé de chiffrement et de retrouver l'accès aux fichiers — une faille que le groupe a peut-être depuis corrigée.
Recommandations
La CISA recommande aux organisations de :
- Corriger en priorité les vulnérabilités connues et exploitées sur les systèmes exposés à Internet, notamment les passerelles VPN et les infrastructures RDP ;
- Mettre en œuvre et tester des sauvegardes hors ligne, immuables, stockées dans un emplacement physiquement séparé et segmenté ;
- Segmenter les réseaux pour limiter le mouvement latéral depuis un dispositif initialement compromis ;
- Surveiller l'utilisation d'outils légitimes détournés par Gunra : Impacket, Mimikatz, AnyDesk, RClone, FileZilla, Sliver, entre autres.
L'advisory complet, incluant les indicateurs de compromission (IOC) au format STIX, est disponible sur le site de la CISA.
En résumé
L'alerte conjointe sur Gunra illustre un ransomware mature, dérivé d'un code éprouvé (Conti), qui combine des exploits de vulnérabilités connues avec des techniques sophistiquées de contournement d'MFA. Le fait que six agences — américaines et sud-coréennes — se coordonnent pour publier ce document montre l'ampleur de la menace. Les organisations disposant d'appliances Fortinet exposées à Internet doivent s'assurer que les correctifs pour CVE-2024-55591 et CVE-2025-24472 sont bien appliqués, car ces failles restent le vecteur d'entrée privilégié du groupe.", "image_path": "/uploads/20260812_ff9e9997573a.jpg", "source_urls": ["https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-222a", "https://thehackernews.com/2026/08/gunra-ransomware-exploits-fortinet-and.html", "https://www.bleepingcomputer.com/news/security/", "https://therecord.media/", "https://www.darkreading.com/cyberattacks-data-breaches/gunra-ransomware-gang-fortinet-flaws-bypasses-mfa"] }