Agências de segurança cibernética dos Estados Unidos e da Coreia do Sul emitiram novos alertas sobre ataques associados ao ransomware Gunra, uma operação criminosa que vem mirando organizações de diferentes setores e utilizando vulnerabilidades conhecidas, roubo de credenciais e movimentação lateral para comprometer redes corporativas.
Entre os setores afetados estão saúde, serviços financeiros, governo, serviços profissionais e organizações sem fins lucrativos. A operação também chama atenção pela presença de vítimas em diferentes regiões, incluindo Ásia, Europa, Oceania e América Latina.
O Gunra apareceu no cenário de ameaças em abril de 2025 e utiliza o modelo de dupla extorsão. Além de criptografar sistemas, os invasores roubam informações antes da etapa final do ataque e ameaçam publicar o material caso o resgate não seja pago.
A estratégia aumenta a pressão sobre as vítimas porque transforma um incidente de indisponibilidade em um possível vazamento de dados, com consequências regulatórias, financeiras e reputacionais.
Vulnerabilidade da Fortinet foi explorada nos ataques
Uma das principais vulnerabilidades relacionadas às invasões é a CVE-2025-24472, que afeta produtos FortiOS e FortiProxy da Fortinet.
A falha pode permitir que um atacante remoto obtenha acesso privilegiado em determinadas configurações. A vulnerabilidade recebeu pontuação CVSS 9,6 da Fortinet e possui evidências de exploração.
Equipamentos desse tipo são particularmente importantes porque normalmente estão posicionados na borda da infraestrutura corporativa. Uma vulnerabilidade explorável em dispositivos VPN ou de segurança pode oferecer ao atacante um primeiro caminho para dentro da organização.
Depois do acesso inicial, os operadores do Gunra avançam para outras etapas da invasão, buscando credenciais, servidores importantes e sistemas responsáveis por armazenar dados corporativos.
Schneider Electric também aparece nas investigações
Os ataques também foram relacionados à CVE-2024-5559, vulnerabilidade encontrada no Schneider Electric PowerLogic P5.
Nesse caso, existe uma diferença técnica importante. O alerta oficial publicado pela CISA classifica o vetor da vulnerabilidade como físico e atribui pontuação CVSS 6,1 ao problema.
Por isso, a presença da vulnerabilidade nas investigações não deve ser interpretada automaticamente como evidência de que dispositivos PowerLogic P5 expostos à internet possam ser comprometidos remotamente por meio dessa falha específica.
A Schneider Electric disponibilizou atualizações de firmware para os produtos afetados.
A distinção é relevante principalmente para ambientes industriais, onde informações sobre vulnerabilidades precisam ser analisadas considerando o produto, a versão instalada e o vetor real de exploração.
Gunra utiliza ferramentas conhecidas para avançar pela rede
Depois de comprometer o ambiente, os atacantes utilizam diferentes ferramentas para movimentação lateral e coleta de credenciais.
Entre elas aparecem componentes do Impacket, conjunto amplamente utilizado por administradores e profissionais de segurança, mas também aproveitado por criminosos durante invasões.
Ferramentas como psexec.py e smbclient.py podem ser utilizadas para movimentação por meio do protocolo SMB. Já o secretsdump.py permite extrair informações de autenticação de sistemas comprometidos, incluindo hashes associados a contas de usuários.
Controladores de domínio estão entre os principais alvos dessa etapa.
Ao conseguir credenciais privilegiadas, os invasores aumentam significativamente sua capacidade de alcançar servidores, sistemas de armazenamento e outros ativos críticos antes da implantação do ransomware.
OneDrive e SharePoint entram na fase de exfiltração
A operação do Gunra não se limita à criptografia. Investigações identificaram a coleta de informações armazenadas em ambientes corporativos como Microsoft OneDrive e SharePoint. Em alguns ataques, grandes volumes de arquivos foram compactados antes da transferência para serviços externos de armazenamento.
Também houve casos envolvendo a coleta de documentos relacionados à configuração de sistemas e redes corporativas.
Essas informações podem oferecer aos criminosos conhecimento adicional sobre a infraestrutura da vítima e, ao mesmo tempo, aumentar a capacidade de extorsão.
Mesmo quando uma empresa consegue restaurar seus servidores utilizando backups, os dados previamente roubados continuam sob controle dos invasores.
Backups são eliminados antes da criptografia
Outra característica observada nos ataques é a tentativa de comprometer a infraestrutura responsável pelas cópias de segurança.
Os operadores do Gunra foram associados à exclusão de dados armazenados em sistemas de backup tanto no datacenter principal quanto em ambientes destinados à recuperação de desastre.
O objetivo é reduzir as alternativas disponíveis para a vítima após a implantação do ransomware.
Esse comportamento reforça a importância de manter cópias imutáveis e isoladas da infraestrutura de produção. Backups acessíveis pelas mesmas credenciais administrativas utilizadas no restante da rede podem ser comprometidos antes mesmo que a criptografia dos servidores comece.
Ataques também tentam contornar MFA
Casos investigados na Coreia do Sul revelaram técnicas mais avançadas envolvendo sistemas VPN e ambientes de desktop virtual.
Em uma das situações analisadas, os invasores manipularam funcionalidades relacionadas ao tráfego de um equipamento SSL VPN para interceptar credenciais e informações de sessão utilizadas durante a autenticação em um portal corporativo de VDI.
Cookies de sessão roubados foram posteriormente utilizados para sequestrar sessões e assumir a identidade de usuários legítimos.
Os atacantes também teriam modificado arquivos responsáveis pelo processamento da autenticação no servidor do portal VDI. A alteração permitia que uma senha temporária específica, definida pelos próprios invasores, fosse aceita durante o processo de autenticação.
A técnica mostra que a autenticação multifator continua sendo uma camada importante de segurança, mas pode perder eficácia quando o próprio servidor responsável pelo processo de autenticação já está comprometido.
Contas esquecidas também viraram porta de entrada
As investigações encontraram ainda o uso de contas administrativas antigas ou pouco utilizadas.
Em determinados ambientes, os criminosos localizaram contas com acesso simultâneo à internet e à rede corporativa interna. Configurações foram modificadas para evitar requisitos de troca de senha e permitir a continuidade da invasão.
Outro caso envolveu o comprometimento de um servidor de controle de acesso utilizado para armazenar informações relacionadas às credenciais de servidores empresariais.
Depois de acessar o equipamento por SSH, os atacantes conseguiram obter material utilizado para descriptografar senhas armazenadas no sistema.
Com essas credenciais, o grupo ampliou o alcance dentro da infraestrutura e conseguiu atingir ativos mais importantes.
Gunra evoluiu para um modelo de Ransomware as a Service
O crescimento da operação também levou o Gunra ao modelo conhecido como Ransomware as a Service, ou RaaS.
Relatórios publicados em 2026 apontam que o grupo passou a recrutar afiliados e fornecer infraestrutura para terceiros conduzirem ataques utilizando seu ransomware.
O ecossistema inclui painel de gerenciamento, ferramentas para configurar o ransomware, documentação para afiliados e versões destinadas a diferentes sistemas operacionais.
O Gunra possui variantes para Windows e Linux.
Curiosamente, pesquisadores encontraram uma fraqueza criptográfica significativa em determinadas versões para Linux, permitindo em alguns cenários recuperar informações necessárias para restaurar arquivos sem depender dos criminosos.
FBI aponta uso de novas identidades
O FBI também identificou mudanças na forma como os operadores apresentam a organização. O grupo foi observado utilizando outras identidades, incluindo o nome Golden Community, enquanto tentava ampliar suas atividades e recrutar pessoas capazes de fornecer acesso inicial a redes corporativas.
Entre os perfis procurados estão profissionais com conhecimento em testes de invasão e segurança ofensiva.
A proposta é transformar esses operadores em intermediários responsáveis por conseguir acesso às empresas. Em troca, recebem uma parcela dos valores obtidos posteriormente com os ataques.
Esse modelo demonstra como operações modernas de ransomware funcionam cada vez menos como pequenos grupos isolados e mais como ecossistemas especializados.
Possível sobreposição com operações ligadas ao Lazarus
Outra parte das investigações conduzidas na Coreia do Sul chamou atenção para possíveis sobreposições entre ataques envolvendo o Gunra e campanhas anteriormente relacionadas a atores patrocinados por Estados.
Alguns incidentes exploraram vulnerabilidades presentes em softwares de segurança financeira utilizados no país.
Ataques do tipo watering hole também envolveram vulnerabilidades no AnySign4PC, software utilizado para assinatura de certificados. Sistemas vulneráveis poderiam receber malware ao acessar páginas preparadas pelos invasores.
Entre as famílias de malware observadas nas campanhas aparecem Struggle, também conhecido como SIGNBT 3.0, e Brandoor, também chamado de COPPERHEDGE. Ambas já foram relacionadas anteriormente a atividades atribuídas ao Lazarus Group.
Isso, porém, não significa que Gunra e Lazarus sejam a mesma operação.
As evidências apontam para possíveis semelhanças ou compartilhamento de técnicas, ferramentas e infraestrutura. Também existe a possibilidade de algum nível limitado de colaboração entre operadores distintos.
A atribuição definitiva continua sendo uma questão em aberto.
Brasil aparece entre os países atingidos
Dados de plataformas independentes de monitoramento de ransomware colocam o Brasil entre os países onde vítimas associadas ao Gunra já foram registradas.
O número exato varia conforme novas vítimas são adicionadas ou removidas dos sites de vazamento e das plataformas que acompanham essas operações.
Mais importante do que a contagem absoluta é o perfil dos ataques. O Gunra procura justamente componentes encontrados em grande parte das redes empresariais: equipamentos VPN, contas administrativas, servidores Windows e Linux, ambientes de armazenamento, sistemas de backup e infraestrutura de autenticação.
Quando consegue acesso privilegiado, o grupo tenta ampliar o comprometimento antes de iniciar a criptografia.
Correção de vulnerabilidades continua sendo prioridade
As recomendações para reduzir o risco começam pela atualização de sistemas operacionais, aplicações, equipamentos de rede e firmware.
Vulnerabilidades conhecidas e exploradas em sistemas acessíveis pela internet devem receber prioridade.
Também é importante segmentar a rede para impedir que o comprometimento de um equipamento de borda ofereça acesso direto a servidores críticos.
Contas administrativas antigas precisam ser removidas ou desativadas, enquanto credenciais privilegiadas devem possuir controles específicos e monitoramento.
Backups precisam permanecer protegidos contra exclusão e alteração, preferencialmente com cópias isoladas do ambiente principal.
Por fim, registros de segurança devem ser enviados para sistemas centralizados. Os operadores do Gunra já demonstraram interesse em apagar logs e históricos de comandos para dificultar investigações posteriores.
O Gunra pode ser uma operação relativamente nova, mas as técnicas utilizadas mostram um problema bastante conhecido.
Vulnerabilidades sem correção, credenciais privilegiadas expostas, contas esquecidas e backups acessíveis continuam oferecendo aos operadores de ransomware exatamente aquilo que eles precisam.
