Gunra Ransomware Exploits Fortinet and Schneider Electric Flaws to Breach Networks

Menace du Ransomware Gunra : Exploitation de vulnérabilités critiques et double extorsion

Le groupe de ransomware Gunra cible les infrastructures critiques mondiales (santé, services financiers, organismes publics) via un modèle de double extorsion. Actif depuis avril 2025, il recrute des courtiers d’accès initiaux pour infiltrer les réseaux d’entreprises avant de déployer son chiffrement avancé (Salsa20/ChaCha20).

Points clés :

• Mode opératoire : Utilisation de l’hameçonnage (phishing), compromission de comptes SSL-VPN, détournement de sessions VDI et contournement du MFA par manipulation de fichiers d’authentification.
• Mouvements latéraux : Utilisation d’outils Impacket (psexec, secretsdump) pour le vol d’identifiants et l’extraction de données via des services cloud (OneDrive, SharePoint, MEGA).
• Collaboration suspectée : Des indices suggèrent une possible collaboration technique ou infrastructurelle entre les opérateurs de Gunra et des groupes étatiques (notamment liés au groupe Lazarus).
• Faiblesse identifiée : Une vulnérabilité cryptographique dans les versions Linux du ransomware permet théoriquement la récupération des clés de chiffrement.

Vulnérabilités exploitées :

• CVE-2024-5559 : Schneider Electric PowerLogic P5.
• CVE-2025-24472 : Fortinet FortiOS et FortiProxy.

Recommandations de sécurité :

• Gestion des correctifs : Appliquer prioritairement les mises à jour sur tous les systèmes exposés à Internet (firmwares et logiciels).
• Segmentation réseau : Isoler les segments sensibles pour limiter la propagation latérale.
• Gestion des sauvegardes : Maintenir des sauvegardes immuables stockées hors ligne ou dans un environnement physiquement séparé.
• Sécurisation des accès : Auditer les comptes SSL-VPN (supprimer les comptes inutilisés), renforcer le contrôle des accès VDI et surveiller les comportements anormaux durant les heures creuses (22h - 6h).

Source