🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Agências de segurança cibernética e inteligência da Coreia do Sul e dos EUA alertaram sobre ataques de ransomware Gunra direcionados a setores e organizações de infraestrutura crítica em todo o mundo.
Os alvos desses ataques incluem cuidados de saúde e saúde pública, serviços financeiros, serviços e instalações governamentais e serviços profissionais e sem fins lucrativos.
“Gunra é outra variante na tendência contínua de ataques de ransomware que causam perturbações e danos às organizações dos EUA e internacionais”, disse Chris Butera, Diretor Assistente Executivo Interino de Segurança Cibernética da CISA.
Os ataques que implantam o ransomware aproveitaram falhas de segurança nos dispositivos Schneider Electric PowerLogic P5 (CVE-2024-5559) e Fortinet FortiOS e FortiProxy (CVE-2025-24472) voltados para a Internet para obter acesso inicial e, em seguida, implantar o ransomware Gunra como parte de um modelo de extorsão dupla que combina exfiltração de dados e criptografia de dados para impacto máximo.
As vítimas que se recusam a pagar no prazo de cinco a sete dias têm os seus dados publicados num site de fuga de dados. De acordo com dados publicados no Ransomware.Live, Gunra listou um total de 51 vítimas desde que emergiu no cenário de ameaças em abril de 2025, sendo a maioria delas provenientes da Coreia do Sul, Brasil, Espanha, Tailândia e Hong Kong.
O que é notável sobre o ator da ameaça é que a maioria dos alvos está localizada na Austrália, no Leste Asiático e na Europa. Apenas três vítimas foram relatadas no Canadá e nos EUA até agora.
“O grupo usa o phishing como principal vetor de ataque para entregar peças maliciosas aos seus alvos e realizar negociações em um painel de bate-papo com tema do WhatsApp”, disse o pesquisador de segurança Rakesh Krishnan em uma análise publicada no ano passado. “O grupo é capaz de criptografar arquivos enormes (9 TB) em um período de tempo limitado usando criptografia de cifra de fluxo avançada, como Salsa20 ou ChaCha20.”
Diz-se que a operação derivada do Conti lançou um programa formal de afiliados RaaS em fóruns da dark web em janeiro de 2026, fornecendo aos afiliados acesso a um painel de gerenciamento, um construtor de ransomware configurável, cargas úteis de bloqueio de plataforma cruzada e documentação estruturada de afiliados.
O grupo oferece variantes de seu armário para Windows e Linux, embora uma análise divulgada pela Breakglass Intelligence em março de 2026 tenha identificado uma “fraqueza criptográfica catastrófica” nas compilações do Linux que tornou possível recuperar a chave de criptografia e recuperar o acesso aos arquivos.
De acordo com o Federal Bureau of Investigation (FBI) dos EUA, a Gunra foi observada adotando novos pseudônimos de marca, como Golden Community, para expandir suas operações, ao mesmo tempo em que toma medidas para monetizar sua plataforma, recrutando testadores de penetração e hackers éticos para servir como corretores de acesso inicial, aos quais é oferecida uma parte dos lucros do resgate em troca de acesso à rede corporativa.
Sabe-se que as cadeias de ataque aproveitam as bibliotecas Impacket "psexec.py" e "smbclient.py" para movimento lateral usando o protocolo Server Message Block (SMB). Outro utilitário Impacket, "secretsdump.py", é usado para realizar despejo de credenciais em controladores de domínio comprometidos e extrair hashes de senha de contas de usuário do arquivo NT Directory Services (NTDS).
Para encobrir vestígios de atividades maliciosas, o grupo é conhecido por excluir logs de acesso ao sistema/rede, limpar o histórico de comandos e, principalmente, realizar atividades maliciosas e reconhecimento de infraestrutura interna entre 22h e 22h. e 6h. A exfiltração de dados do Microsoft OneDrive e SharePoint é realizada por meio de um executável chamado "main.exe".
Em casos selecionados, os agentes da ameaça foram observados criando arquivos compactados contendo terabytes de dados e exfiltrando-os para o serviço de compartilhamento de arquivos MEGA. Além de coletar documentos críticos para os negócios, o grupo teria se conectado aos ambientes de infraestrutura de desktop virtual (VDI) do pessoal de TI e coletado documentos confidenciais contendo informações de configuração de sistema e rede.
“Os atores do Gunra então aproveitaram credenciais de servidor corporativo roubadas de um servidor de controle de acesso ao sistema para implantar ransomware para criptografar ativos importantes, incluindo servidores de banco de dados e sistemas de armazenamento conectado à rede (NAS)”, disse a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA).
Em um caso detectado pela Agência Nacional de Polícia da Coreia do Sul (KNPA), os invasores foram flagrados manipulando a funcionalidade de controle de tráfego de rede de um dispositivo SSL-VPN para interceptar credenciais e informações de sessão transmitidas por usuários autenticados em um portal corporativo de autenticação VDI. Esses cookies de sessão roubados foram então usados para conduzir o sequestro de sessão e se passar por usuários legítimos para obter acesso à rede interna.
Para contornar a autenticação multifator (MFA), Gunra teria adulterado os arquivos de processamento de autenticação no cor
Os alvos desses ataques incluem cuidados de saúde e saúde pública, serviços financeiros, serviços e instalações governamentais e serviços profissionais e sem fins lucrativos.
“Gunra é outra variante na tendência contínua de ataques de ransomware que causam perturbações e danos às organizações dos EUA e internacionais”, disse Chris Butera, Diretor Assistente Executivo Interino de Segurança Cibernética da CISA.
Os ataques que implantam o ransomware aproveitaram falhas de segurança nos dispositivos Schneider Electric PowerLogic P5 (CVE-2024-5559) e Fortinet FortiOS e FortiProxy (CVE-2025-24472) voltados para a Internet para obter acesso inicial e, em seguida, implantar o ransomware Gunra como parte de um modelo de extorsão dupla que combina exfiltração de dados e criptografia de dados para impacto máximo.
As vítimas que se recusam a pagar no prazo de cinco a sete dias têm os seus dados publicados num site de fuga de dados. De acordo com dados publicados no Ransomware.Live, Gunra listou um total de 51 vítimas desde que emergiu no cenário de ameaças em abril de 2025, sendo a maioria delas provenientes da Coreia do Sul, Brasil, Espanha, Tailândia e Hong Kong.
O que é notável sobre o ator da ameaça é que a maioria dos alvos está localizada na Austrália, no Leste Asiático e na Europa. Apenas três vítimas foram relatadas no Canadá e nos EUA até agora.
“O grupo usa o phishing como principal vetor de ataque para entregar peças maliciosas aos seus alvos e realizar negociações em um painel de bate-papo com tema do WhatsApp”, disse o pesquisador de segurança Rakesh Krishnan em uma análise publicada no ano passado. “O grupo é capaz de criptografar arquivos enormes (9 TB) em um período de tempo limitado usando criptografia de cifra de fluxo avançada, como Salsa20 ou ChaCha20.”
Diz-se que a operação derivada do Conti lançou um programa formal de afiliados RaaS em fóruns da dark web em janeiro de 2026, fornecendo aos afiliados acesso a um painel de gerenciamento, um construtor de ransomware configurável, cargas úteis de bloqueio de plataforma cruzada e documentação estruturada de afiliados.
O grupo oferece variantes de seu armário para Windows e Linux, embora uma análise divulgada pela Breakglass Intelligence em março de 2026 tenha identificado uma “fraqueza criptográfica catastrófica” nas compilações do Linux que tornou possível recuperar a chave de criptografia e recuperar o acesso aos arquivos.
De acordo com o Federal Bureau of Investigation (FBI) dos EUA, a Gunra foi observada adotando novos pseudônimos de marca, como Golden Community, para expandir suas operações, ao mesmo tempo em que toma medidas para monetizar sua plataforma, recrutando testadores de penetração e hackers éticos para servir como corretores de acesso inicial, aos quais é oferecida uma parte dos lucros do resgate em troca de acesso à rede corporativa.
Sabe-se que as cadeias de ataque aproveitam as bibliotecas Impacket "psexec.py" e "smbclient.py" para movimento lateral usando o protocolo Server Message Block (SMB). Outro utilitário Impacket, "secretsdump.py", é usado para realizar despejo de credenciais em controladores de domínio comprometidos e extrair hashes de senha de contas de usuário do arquivo NT Directory Services (NTDS).
Para encobrir vestígios de atividades maliciosas, o grupo é conhecido por excluir logs de acesso ao sistema/rede, limpar o histórico de comandos e, principalmente, realizar atividades maliciosas e reconhecimento de infraestrutura interna entre 22h e 22h. e 6h. A exfiltração de dados do Microsoft OneDrive e SharePoint é realizada por meio de um executável chamado "main.exe".
Em casos selecionados, os agentes da ameaça foram observados criando arquivos compactados contendo terabytes de dados e exfiltrando-os para o serviço de compartilhamento de arquivos MEGA. Além de coletar documentos críticos para os negócios, o grupo teria se conectado aos ambientes de infraestrutura de desktop virtual (VDI) do pessoal de TI e coletado documentos confidenciais contendo informações de configuração de sistema e rede.
“Os atores do Gunra então aproveitaram credenciais de servidor corporativo roubadas de um servidor de controle de acesso ao sistema para implantar ransomware para criptografar ativos importantes, incluindo servidores de banco de dados e sistemas de armazenamento conectado à rede (NAS)”, disse a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA).
Em um caso detectado pela Agência Nacional de Polícia da Coreia do Sul (KNPA), os invasores foram flagrados manipulando a funcionalidade de controle de tráfego de rede de um dispositivo SSL-VPN para interceptar credenciais e informações de sessão transmitidas por usuários autenticados em um portal corporativo de autenticação VDI. Esses cookies de sessão roubados foram então usados para conduzir o sequestro de sessão e se passar por usuários legítimos para obter acesso à rede interna.
Para contornar a autenticação multifator (MFA), Gunra teria adulterado os arquivos de processamento de autenticação no cor
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #gunra #ransomware #explora #falhas #da #fortinet #e #da #schneider #electric #para #violar #redes
💡 Compartilhe e ajude nosso projeto a crescer!
Postar um comentário