O ransomware Gunra é um RaaS derivado do código-fonte vazado do Conti que evoluiu de uma operação exclusivamente Windows em abril de 2025 para uma plataforma multiplataforma com programa de afiliados anunciado em fóruns da dark web em 2026. O alerta conjunto AA26-222A, publicado em 10 de agosto de 2026 pelo FBI, CISA, NSA, DC3, USSS e pela Agência Nacional de Polícia da Coreia do Sul (KNPA), detalha os vetores de entrada, TTPs mapeados ao MITRE ATT&CK e mitigações específicas para Centros de Operações de Segurança. Esta análise traduz o advisory técnico em sinais de detecção, rotas de movimento lateral e procedimentos de resposta acionáveis para equipes de SOC.
Como o Gunra Obtém Acesso Inicial
O acesso inicial do Gunra concentra-se na exploração de vulnerabilidades conhecidas em dispositivos expostos à internet, particularmente em appliances de firewall e VPN. O FBI identificou a exploração de duas CVEs críticas de bypass de autenticação que afetam versões específicas do FortiOS e FortiProxy: a CVE-2024-55591 e a CVE-2025-24472, ambas classificadas como CWE-288 (Authentication Bypass Using an Alternate Path or Channel). A KNPA também observou atores do Gunra explorando vulnerabilidades de exposição de credenciais e de controle de acesso SSH em gateways VPN expostos para obter acesso remoto não autorizado.
Após comprometer um appliance VPN, os atores localizam contas administrativas com acesso simultâneo às redes externa e interna. Em um caso documentado pelo CISA, os atacantes modificaram a configuração de uma conta inativa para contornar a exigência de troca obrigatória de senha e usaram credenciais padrão quando os controles de bloqueio de conta não estavam ativos. Esse padrão reforça a urgência de auditorias de contas inativas e de políticas rigorosas de bloqueio, um tema coberto em nossa análise sobre detecção de ransomware no SOC.
Movimento Lateral e Roubo de Credenciais
Uma vez dentro do perímetro, os atores do Gunra utilizam bibliotecas Impacket, especificamente psexec.py e smbclient.py, para mover-se lateralmente pela rede via protocolo SMB (T1021.002). Para extração de credenciais, o FBI observou o uso repetido de secretsdump.py contra controladores de domínio comprometidos, extraindo hashes de senha do arquivo NTDS (T1003.003) e habilitando ataques de pass-the-hash (T1550.002) e pass-the-ticket (T1550.003) para alcançar sistemas privilegiados adicionais.
Os atores também demonstraram técnicas avançadas de evasão de MFA. Em uma vítima, modificaram arquivos de processamento de autenticação no servidor do portal VDI corporativo para aceitar um valor OTP específico designado pelo Gunra, permitindo bypass contínuo da autenticação multifator (T1556.006). Adicionalmente, manipularam o tráfego de um appliance SSL-VPN para capturar credenciais e cookies de sessão de usuários autenticando-se no portal VDI (T1040), usando os cookies roubados para sequestro de sessão (T1539) e acesso à infraestrutura interna de virtual desktop.
Sinais de Detecção para o SOC
A detecção eficaz do Gunra exige monitoramento de comportamentos específicos em múltiplas camadas do ambiente. A tabela abaixo resume os indicadores de mais alto valor por tática MITRE ATT&CK:
| Tática MITRE | Indicador de Detecção | Técnica |
|---|---|---|
| Acesso Inicial | Exploração de CVE-2024-55591 / CVE-2025-24472 em FortiOS e FortiProxy | T1190 |
| Movimento Lateral | Execução de psexec.py e smbclient.py via SMB | T1021.002 |
| Acesso a Credenciais | secretsdump.py contra NTDS em controladores de domínio | T1003.003 |
| Acesso a Credenciais | Modificação de arquivos de autenticação VDI para bypass de MFA | T1556.006 |
| Comando e Controle | Túneis SSH (OpenSSH) baixados de servidor externo | T1572 |
No lado Linux, a variante do Gunra anexa a extensão .GNRA aos arquivos criptografados e cria arquivos de nota de resgate chamados R3ADM3.txt em cada diretório afetado. Uma descoberta da Breakglass Intelligence revelou que a variante Linux gera material de chave ChaCha20 usando a função rand() da musl-libc com seed de time(), reduzindo o espaço de chaves a aproximadamente 256 valores por segundo de atividade de criptografia, tornando arquivos potencialmente recuperáveis por força bruta sem pagamento de resgate.
Procedimento de Resposta a Incidentes
O CISA recomenda três ações prioritárias para mitigar o Gunra: aplicar patches em vulnerabilidades conhecidas em sistemas expostos à internet, incluindo gateways VPN e infraestrutura RDP; implementar e testar backups imutáveis offline em local fisicamente separado; e segmentar redes para restringir o movimento lateral a partir de um dispositivo inicialmente comprometido. O procedimento abaixo consolida essas recomendações em um checklist operacional para equipes de SOC:
- Contenção imediata: isole o dispositivo comprometido da rede e bloqueie comunicação com domínios .onion conhecidos associados ao Gunra.
- Preservação de evidências: registre timestamps (mtime/ctime) dos arquivos .GNRA antes de qualquer remediação, essencial para recuperação via PRNG na variante Linux.
- Caça a movimento lateral: audite chaves SSH, jobs cron, configurações PAM e sudoers em todos os hosts Linux; verifique uso de Impacket nos logs de endpoint.
- Rotação de credenciais: force reset de todas as senhas de contas com acesso privilegiado e regenere tickets Kerberos após confirmar comprometimento do NTDS.
- Recuperação: restaure a partir de backups imutáveis testados; para a variante Linux, explore a recuperação por força bruta do seed de PRNG no intervalo de tempo identificado.
A triagem eficiente de alertas é fundamental quando múltiplos indicadores do Gunra disparam simultaneamente. Reduzir o ruído operacional preserva a capacidade do analista de priorizar contenção real, como discutido em nosso guia sobre alert fatigue no SOC.
