Autoridades dos Estados Unidos e da Coreia do Sul emitiram um alerta sobre o avanço do Gunra, uma operação de ransomware que vem atingindo organizações em diferentes regiões do mundo. O grupo utiliza vulnerabilidades conhecidas em equipamentos expostos à internet, incluindo dispositivos de segurança da Fortinet, para obter acesso inicial às redes e posteriormente roubar dados e criptografar sistemas.
O alerta chama atenção principalmente porque os ataques atingem setores considerados críticos, como saúde, serviços financeiros, indústria, transporte, governo e utilities. A campanha também demonstra como falhas antigas continuam sendo utilizadas por criminosos quando permanecem sem correção.
Gunra utiliza modelo de dupla extorsão
O Gunra opera no modelo conhecido como ransomware de dupla extorsão.
Nesse tipo de ataque, os criminosos não se limitam a bloquear os arquivos da vítima. Antes ou durante a criptografia, também procuram copiar informações importantes da organização.
Depois, utilizam o roubo de dados como instrumento de pressão: caso o resgate não seja pago, ameaçam publicar ou vender as informações.
Segundo informações reunidas pelas autoridades e pesquisadores, o Gunra já foi observado roubando documentos corporativos, bancos de dados, informações pessoais e comunicações internas.
Vulnerabilidades da Fortinet estão entre as portas de entrada
Um dos principais pontos de preocupação é o uso de vulnerabilidades conhecidas em dispositivos conectados à internet.
Entre as falhas destacadas pelas autoridades estão as CVE-2024-55591 e CVE-2025-24472, relacionadas a produtos Fortinet.
Esses equipamentos costumam atuar na borda das redes corporativas, controlando conexões externas e acessos remotos. Por isso, quando comprometidos, podem oferecer aos invasores um caminho privilegiado para dentro da infraestrutura.
A campanha também mostra por que corrigir vulnerabilidades em firewalls e equipamentos VPN deve ser tratado como prioridade.
No Brasil, o Gabinete de Segurança Institucional já alertou para campanhas de comprometimento de dispositivos Fortinet expostos à internet. Em junho, o órgão informou ter identificado uma campanha denominada FortiBleed, associada à exposição de credenciais de dispositivos FortiGate em dezenas de milhares de equipamentos espalhados por diversos países.
Ataque não termina na invasão inicial
Depois de conseguir acesso à rede, os criminosos precisam avançar até os sistemas que realmente possuem valor.
O Gunra utiliza ferramentas legítimas do próprio ambiente Windows para realizar parte dessas atividades, uma técnica conhecida como Living off the Land.
Entre os recursos observados estão ferramentas da suíte Impacket, incluindo psexec.py e smbclient.py, utilizadas para movimentação lateral por meio do protocolo SMB.
A estratégia permite que o invasor aproveite ferramentas já existentes no ambiente, reduzindo a necessidade de instalar programas claramente maliciosos.
Isso pode dificultar a identificação da atividade por soluções de segurança que dependem exclusivamente de assinaturas de malware.
Criminosos também apagam rastros
Outro aspecto destacado no alerta é a tentativa de reduzir os vestígios deixados durante a invasão.
O grupo já foi observado apagando logs de acesso e históricos de comandos, dificultando investigações posteriores.
Essa técnica aumenta o tempo necessário para determinar como ocorreu a invasão e quais sistemas foram comprometidos.
Para equipes de segurança, isso reforça a importância de manter registros em sistemas separados e protegidos contra alterações feitas por invasores que obtenham privilégios administrativos.
Saúde e bancos estão entre os alvos
O Gunra não está concentrado em apenas um segmento.
As autoridades identificaram vítimas ou tentativas de ataque contra organizações de diferentes setores, incluindo:
- saúde;
- serviços financeiros;
- indústria;
- transporte;
- governo;
- utilities;
- organizações de infraestrutura crítica.
A diversidade dos alvos indica que a operação busca principalmente organizações que possuam dados valiosos, operações essenciais ou capacidade financeira para negociar um resgate.
No setor de saúde, por exemplo, a indisponibilidade de sistemas pode afetar diretamente o funcionamento de hospitais e clínicas. Já no setor financeiro, uma interrupção pode atingir serviços essenciais e gerar impactos econômicos em cadeia.
Caso na Coreia do Sul revela estratégia dos invasores
Um caso analisado pela Agência Nacional de Polícia da Coreia do Sul (KNPA) mostra como a invasão pode evoluir depois do acesso inicial.
Segundo o alerta, criminosos conseguiram acessar ambientes de VDI utilizados por profissionais de TI e coletaram documentos contendo informações sobre configurações de sistemas e redes.
Posteriormente, utilizaram credenciais corporativas obtidas de um servidor de controle de acesso para implantar o ransomware em ativos importantes, incluindo servidores de bancos de dados e dispositivos de armazenamento conectado à rede (NAS).
O episódio demonstra que o ransomware não necessariamente começa com a criptografia.
O invasor pode permanecer dentro da rede por algum tempo, coletar informações, obter credenciais adicionais e só então executar o ataque final.
Gunra cresceu com modelo Ransomware-as-a-Service
A ameaça também ganhou escala depois de adotar uma estrutura de Ransomware-as-a-Service (RaaS).
Nesse modelo, os desenvolvedores do malware fornecem infraestrutura e ferramentas para afiliados, que ficam responsáveis por encontrar e comprometer vítimas.
O grupo passou a oferecer recursos como painel de gerenciamento, construtor de ransomware configurável e versões capazes de atingir diferentes plataformas.
Segundo informações divulgadas pelas autoridades, a operação também passou a utilizar novos nomes, incluindo Golden Community.
Esse modelo reduz a barreira técnica para criminosos interessados em realizar ataques, permitindo que mais participantes entrem no ecossistema.
Exploração de falhas antigas continua sendo um problema
Um dos principais pontos do alerta é que os criminosos não precisam necessariamente encontrar uma vulnerabilidade inédita.
Falhas conhecidas e já documentadas continuam sendo exploradas quando empresas deixam equipamentos sem atualização.
A situação é especialmente preocupante em dispositivos de borda, como firewalls e VPNs, porque eles ficam diretamente expostos à internet.
A CISA tem reforçado que organizações devem priorizar a correção de vulnerabilidades conhecidas e exploradas, além de manter controles de segurança capazes de detectar movimentações suspeitas dentro da rede.
Como empresas podem se proteger?
As autoridades recomendam uma combinação de medidas técnicas e operacionais.
Entre as principais estão:
- corrigir imediatamente vulnerabilidades conhecidas em dispositivos expostos à internet;
- manter firewalls e VPNs atualizados;
- utilizar autenticação multifator;
- restringir o acesso às interfaces administrativas;
- segmentar redes críticas;
- monitorar movimentações laterais;
- proteger e centralizar os logs;
- manter backups offline e imutáveis;
- testar regularmente a recuperação dos backups;
- revisar credenciais e privilégios administrativos;
- monitorar o uso incomum de ferramentas legítimas do Windows.
A recomendação de backups offline e imutáveis é especialmente importante porque impede que invasores simplesmente criptografem ou apaguem as cópias de segurança durante o ataque.
O que o caso representa para empresas brasileiras?
Até o momento, o alerta internacional não significa que uma determinada empresa brasileira esteja sendo atacada pelo Gunra.
No entanto, o episódio serve como um alerta relevante para organizações brasileiras, especialmente aquelas que utilizam Fortinet, VPNs e outros dispositivos de acesso remoto expostos à internet.
O Brasil já apareceu em investigações relacionadas a campanhas de comprometimento de equipamentos Fortinet. Uma recomendação do GSI publicada em junho apontou registros de dispositivos e credenciais afetadas no país durante a campanha FortiBleed.
Por isso, o principal aprendizado não está apenas no Gunra, mas na necessidade de tratar equipamentos de borda como ativos críticos de segurança.
Uma vulnerabilidade corrigida meses atrás continua sendo uma porta aberta se a atualização nunca foi aplicada.
Gunra mostra como ransomware está evoluindo
O avanço do Gunra reforça uma característica cada vez mais comum nos ataques modernos: o ransomware é apenas a etapa final de uma invasão muito mais ampla.
Os criminosos podem começar explorando uma falha em um firewall, passar para servidores internos, roubar credenciais, acessar sistemas estratégicos, copiar dados e apagar registros antes de finalmente criptografar os arquivos.
Esse modelo transforma o ransomware em uma operação de intrusão completa.
Para empresas, a melhor defesa não é apenas possuir um antivírus capaz de detectar o arquivo malicioso. É necessário reduzir as possibilidades de entrada, limitar os privilégios, segmentar a infraestrutura e garantir que os dados possam ser recuperados mesmo após uma invasão.
O alerta sobre o Gunra reforça uma mensagem que continua atual no cenário de cibersegurança: uma vulnerabilidade conhecida pode ser tão perigosa quanto uma falha inédita quando permanece exposta e sem correção.
