O grupo Gunra deixou de ser apenas mais uma operação emergente de ransomware para se transformar em uma ameaça internacional estruturada. Autoridades dos Estados Unidos e da Coreia do Sul divulgaram um alerta conjunto detalhando ataques contra organizações de infraestrutura crítica e confirmando que o grupo opera atualmente por meio de um modelo de Ransomware-as-a-Service (RaaS).
O documento reúne informações da CISA, FBI, NSA, Serviço Secreto dos Estados Unidos e órgãos sul-coreanos. As autoridades alertam que afiliados do Gunra vêm explorando vulnerabilidades conhecidas em equipamentos expostos à internet para obter acesso às redes corporativas.
A operação já atingiu organizações nas Américas, Europa, Oriente Médio, África e região Ásia-Pacífico, envolvendo mais de dez setores.
Gunra funciona como ransomware-as-a-service
O modelo adotado pelo Gunra amplia significativamente sua capacidade operacional.
Em uma estrutura de Ransomware-as-a-Service, os responsáveis pelo malware disponibilizam infraestrutura, ferramentas e mecanismos de extorsão para afiliados que realizam os ataques. Dessa forma, diferentes grupos podem utilizar a mesma plataforma criminosa para comprometer organizações.
O Gunra surgiu publicamente em 2025 e acelerou suas operações ao longo de 2026. O grupo emprega dupla extorsão: primeiro rouba informações e depois criptografa os sistemas. Caso a vítima se recuse a pagar, os criminosos ameaçam divulgar os dados.
Falhas da Fortinet são exploradas nos ataques
Um dos pontos mais importantes do alerta está no vetor de entrada utilizado pelos criminosos.
As autoridades identificaram exploração das vulnerabilidades CVE-2024-55591 e CVE-2025-24472, que afetam produtos Fortinet FortiOS e FortiProxy.
As duas falhas permitem contornar mecanismos de autenticação em determinadas configurações, abrindo caminho para que um invasor obtenha privilégios administrativos em dispositivos vulneráveis.
O aspecto preocupante é que não se trata de vulnerabilidades recém-descobertas. Correções já estavam disponíveis, reforçando um problema recorrente em ambientes empresariais: equipamentos de borda permanecendo sem atualização mesmo depois da divulgação de falhas críticas.
Credenciais roubadas também são utilizadas
Explorar vulnerabilidades não é a única maneira pela qual afiliados do Gunra entram nas organizações.
As investigações também identificaram utilização de credenciais previamente comprometidas, além de ataques envolvendo mecanismos de acesso remoto.
Depois de estabelecer uma posição inicial na rede, os invasores buscam ampliar seu alcance e atingir recursos internos de maior valor.
Entre os alvos observados estão ambientes de Active Directory, infraestrutura de desktops virtuais e sistemas utilizados pelas próprias equipes de TI.
O objetivo é obter privilégios suficientes para controlar uma parcela maior da infraestrutura antes da etapa final do ataque.
Criminosos roubam dados antes da criptografia
O comportamento documentado pelas autoridades mostra que o ransomware é apenas a etapa final da operação.
Antes de criptografar os sistemas, os afiliados procuram informações armazenadas em serviços corporativos, inclusive plataformas em nuvem.
Entre os ambientes observados estão Microsoft OneDrive e SharePoint. Em alguns incidentes investigados, dezenas de terabytes de informações teriam sido retiradas das organizações comprometidas.
Essa estratégia aumenta consideravelmente a pressão sobre as vítimas.
Mesmo que uma organização possua backups capazes de restaurar seus sistemas sem pagar pelo descriptografador, os criminosos ainda podem ameaçar publicar informações confidenciais.
Infraestruturas críticas estão entre os alvos
A campanha ganhou atenção especial das autoridades porque envolve organizações consideradas críticas para o funcionamento da sociedade.
Ataques associados ao Gunra já foram observados contra setores como saúde, serviços financeiros, governo, serviços profissionais e organizações sem fins lucrativos, entre outros.
Esse perfil aumenta o potencial impacto do ransomware.
Uma invasão contra hospitais, órgãos públicos ou empresas responsáveis por serviços essenciais pode ultrapassar o prejuízo financeiro e provocar interrupções operacionais relevantes.
É justamente por isso que CISA e FBI estão recomendando que operadores de infraestrutura crítica tratem a ameaça como prioridade.
Ataques mostram importância dos equipamentos de borda
O caso Gunra também chama atenção para um dos pontos mais explorados atualmente pelos grupos de ransomware: equipamentos diretamente conectados à internet.
Firewalls, VPNs, gateways e outros dispositivos de borda são especialmente atraentes porque funcionam como portas de entrada para redes corporativas.
Quando uma vulnerabilidade nesses equipamentos é explorada, o invasor pode ultrapassar parte das defesas convencionais e iniciar sua operação já dentro da infraestrutura.
O Gunra não é exceção. Diferentes grupos criminosos e operações de espionagem vêm priorizando vulnerabilidades em appliances de rede justamente pelo acesso privilegiado que esses equipamentos podem proporcionar.
Como as organizações podem reduzir o risco
O alerta oficial recomenda que empresas priorizem a correção de vulnerabilidades conhecidas exploradas ativamente, principalmente em sistemas expostos à internet.
Também é importante manter autenticação multifator resistente a phishing, revisar contas administrativas, limitar serviços acessíveis externamente e monitorar atividades incomuns envolvendo autenticação e movimentação lateral.
Outro ponto essencial é a segmentação da rede. Uma estação ou dispositivo comprometido não deveria permitir acesso irrestrito aos demais sistemas críticos da organização.
Backups precisam ser mantidos de forma isolada e testados regularmente, mas o modelo de dupla extorsão demonstra que backup sozinho não resolve o problema: impedir a exfiltração de informações tornou-se tão importante quanto conseguir restaurar arquivos criptografados.
Gunra mostra evolução do mercado criminoso de ransomware
A transformação do Gunra em uma estrutura RaaS representa uma tendência que há anos modifica o ecossistema do cibercrime.
Desenvolver ransomware, encontrar vulnerabilidades, invadir redes, movimentar-se internamente, roubar dados, negociar pagamentos e administrar sites de vazamento exige diferentes competências.
O modelo de serviço divide essas tarefas entre operadores e afiliados.
Isso reduz a barreira técnica para criminosos e permite que uma mesma infraestrutura de ransomware sustente múltiplas campanhas simultaneamente.
Para as empresas, significa enfrentar não necessariamente um único grupo, mas uma rede de operadores utilizando ferramentas e infraestrutura compartilhadas.
Alerta também é relevante para empresas brasileiras
O comunicado descreve uma campanha internacional, mas não fornece base para afirmar que uma organização brasileira específica tenha sido comprometida.
Ainda assim, as técnicas documentadas são diretamente relevantes para empresas brasileiras que utilizem tecnologias afetadas, especialmente equipamentos Fortinet vulneráveis e serviços expostos à internet.
O principal alerta do caso Gunra é simples: vulnerabilidades conhecidas continuam sendo suficientes para alimentar operações globais de ransomware.
Enquanto empresas demoram semanas ou meses para corrigir sistemas, grupos criminosos automatizam a procura por equipamentos vulneráveis.
Nesse cenário, gestão de vulnerabilidades deixa de ser apenas uma atividade técnica de rotina e passa a representar uma das principais linhas de defesa contra ransomware.
