Non capita spesso che sei agenzie di due continenti firmino insieme un avviso su un singolo gruppo ransomware. È successo il 10 agosto con l'advisory AA26-222A della serie #StopRansomware: FBI, CISA, NSA, il Cyber Crime Center del Dipartimento della Difesa, il Secret Service statunitense e la polizia nazionale sudcoreana (KNPA) hanno messo nero su bianco tattiche, strumenti e indicatori di compromissione di Gunra, un'operazione ransomware-as-a-service in rapida espansione che ha già colpito sanità, finanza e assicurazioni, manifattura, trasporti, pubblica amministrazione, media, retail e utility in Europa, Americhe, Asia-Pacifico, Medio Oriente e Africa.

Da variante Conti a franchising criminale

Gunra è comparso nell'aprile 2025 come ransomware a doppia estorsione derivato dal codice sorgente di Conti, trapelato nel 2022: i dati vengono prima esfiltrati e poi cifrati, con la minaccia di pubblicazione su un sito di leak raggiungibile via Tor se il riscatto — negoziato entro cinque-sette giorni tramite un portale dedicato o il client di messaggistica qTox, con richieste iniziali anche di decine di milioni di dollari — non viene pagato. A metà 2025 è arrivata la variante Linux; a gennaio 2026 il salto di qualità: un programma di affiliazione RaaS sui forum del dark web con pannello di gestione, builder configurabile e documentazione per gli affiliati, promosso anche con il nuovo marchio "Golden Community".

Il dettaglio che meglio fotografa l'evoluzione del settore è un altro: il gruppo recluta apertamente penetration tester ed "ethical hacker" da impiegare come broker di accesso iniziale, offrendo una quota dei riscatti in cambio di accessi a reti aziendali. E secondo una ricerca di AhnLab richiamata dalla stampa specializzata, alcune tecniche e infrastrutture di Gunra si sovrappongono a quelle di gruppi statali nordcoreani: criminalità finanziaria e operazioni di stato che condividono strumenti, se non obiettivi.

Come entra: firewall e VPN, di nuovo

L'accesso iniziale documentato dall'FBI passa per due vulnerabilità note di FortiOS e FortiProxy, CVE-2024-55591 e CVE-2025-24472: bypass di autenticazione corretti da tempo, ma ancora presenti su molti dispositivi esposti. Sfruttandoli, gli attaccanti creano sul firewall un utente persistente con privilegi di super amministratore dal nome insospettabile, forticloud-sync, con password predefinita dagli stessi attaccanti. In altri casi osservati dalla polizia sudcoreana l'ingresso è avvenuto tramite credenziali predefinite sull'interfaccia di amministrazione di appliance SSL-VPN prive di blocco account dopo tentativi falliti.

Una volta dentro, il repertorio è quello delle intrusioni mature: movimento laterale via SMB e RDP con gli strumenti Impacket, tunnel SSH verso server di comando, estrazione degli hash delle password dal file NTDS dei domain controller con secretsdump per attacchi pass-the-hash. In un caso ricostruito nell'advisory gli attaccanti hanno manipolato il traffico di un'appliance SSL-VPN per intercettare le credenziali e i cookie di sessione degli utenti di un portale VDI aziendale, dirottando le sessioni per impersonare utenti legittimi. Ancora più insidiosa la tecnica usata per neutralizzare l'autenticazione a più fattori: la modifica dei file del portale di autenticazione VDI affinché un codice OTP scelto dagli attaccanti risultasse sempre valido — una backdoor persistente che rende la MFA puramente decorativa.

La fase finale unisce esfiltrazione ed effetto distruttivo. I dati — fino a decine di terabyte per una singola vittima — vengono raccolti anche da OneDrive e SharePoint con un eseguibile dedicato e caricati su servizi come Mega tramite Rclone e FileZilla. La cifratura usa ChaCha20 con chiavi RSA-4096, architettura multi-thread, estensione .ENCRT e nota di riscatto R3ADM3.txt in ogni cartella. Prima di cifrare, gli attaccanti cancellano le shadow copy di Windows via WMI; in almeno un caso hanno eliminato i backup sia nel data center primario sia nel sito di disaster recovery, prima e dopo il rilascio del ransomware.

Cosa significa per le aziende italiane

Fortinet è tra i vendor di sicurezza perimetrale più diffusi in Italia, dalle PMI agli enti locali, e le due CVE sfruttate hanno patch disponibili da oltre un anno: chi non le ha applicate non è esposto a un rischio teorico, ma a exploit già industrializzati da un franchising criminale. Il caso FortiBleed ha mostrato a giugno quanto sia vasta la superficie FortiGate compromessa o compromissibile, e i numeri di luglio sul ransomware confermano che l'Italia resta tra i paesi più colpiti in Europa.

Il modello a doppia estorsione ha poi una conseguenza giuridica che molte aziende continuano a sottovalutare: l'esfiltrazione di dati personali è un data breach ai sensi del GDPR, con notifica al Garante entro 72 ore e comunicazione agli interessati nei casi di rischio elevato, indipendentemente dal fatto che i sistemi vengano ripristinati dai backup. Per i soggetti NIS2 si aggiungono il preallarme al CSIRT Italia entro 24 ore e la notifica entro 72. E l'episodio dei backup cancellati anche nel sito di disaster recovery smonta un'illusione diffusa: la replica non è una strategia di backup. Se il ransomware raggiunge entrambi i siti con le stesse credenziali di dominio, la ridondanza geografica non protegge nulla.

Cosa fare subito

  • Aggiornare FortiOS e FortiProxy alle versioni corrette per CVE-2024-55591 e CVE-2025-24472; se l'aggiornamento è arrivato tardi, presumere la compromissione e verificare la presenza dell'utente forticloud-sync o di altri account amministrativi non riconosciuti.
  • Disabilitare l'amministrazione dei firewall dall'interfaccia WAN e applicare MFA e blocco account su tutti gli accessi VPN e RDP esposti.
  • Backup offline e immutabili, separati dal dominio Active Directory e testati con ripristini periodici: l'advisory documenta la cancellazione dei backup anche nel sito di disaster recovery.
  • Segmentare la rete per limitare SMB e RDP tra le zone; monitorare l'uso di Impacket, Rclone, AnyDesk e altri strumenti RMM non autorizzati.
  • Scaricare gli indicatori di compromissione in formato STIX pubblicati da CISA con l'advisory e caricarli su SIEM ed EDR.
  • Presidiare i portali di autenticazione VDI e SSL-VPN: un OTP che risulta sempre valido o sessioni anomale fuori orario sono segnali di compromissione, non malfunzionamenti.

Gunra non introduce tecniche fantascientifiche: sfrutta patch mancanti, credenziali predefinite e backup mal progettati. È esattamente questo a renderlo pericoloso — e a rendere le contromisure alla portata di qualsiasi organizzazione decida di applicarle prima, e non dopo, la nota di riscatto.