Gunra accélère ses attaques : les priorités pour bloquer le rançongiciel

Le compte rendu d’ITPro daté du 11 août 2026 fait état d’un avertissement d’agences américaines et sud-coréennes face à l’expansion internationale de Gunra. Les opérations recensées concernent des administrations et des infrastructures critiques dans les Amériques, en Europe, au Moyen-Orient, en Afrique et en Asie-Pacifique, avec des victimes dans la santé, la finance, l’industrie, les transports et les services publics.

La chaîne d’attaque documentée combine l’exploitation de systèmes exposés à Internet, la progression interne par SMB, le vol de données et le chiffrement de serveurs ou de stockages réseau. Pour une équipe disposant de peu de ressources, l’ordre de défense est donc clair : fermer les accès vulnérables, limiter les chemins vers les actifs critiques, détecter l’exfiltration, puis garantir une restauration indépendante du réseau compromis.

Une activité relancée par le modèle RaaS

L’étude de S2W publiée le 13 mai 2026 recensait 32 organisations touchées au 9 mars 2026 et décrivait une remontée de l’activité après le recul observé au second semestre 2025. Cette reprise coïncide avec le passage à un modèle de rançongiciel en tant que service, ou RaaS, qui permet à des affiliés d’utiliser l’outillage de Gunra.

Le panneau proposé aux affiliés comprend notamment des fonctions de négociation, de gestion des fichiers et de génération de charges pour Windows et Linux. Ses règles ne prévoyaient pas d’exclusion sectorielle distincte : cela ne prouve pas que tous les secteurs sont ciblés de manière égale, mais empêche de circonscrire l’exposition à une industrie ou à une seule variante du programme.

Priorité 1 : fermer les systèmes exposés

Le premier contrôle vérifiable est l’inventaire des pare-feu, passerelles VPN, interfaces d’administration et autres équipements accessibles depuis Internet. Chaque actif doit être rapproché des avis de son fournisseur et des vulnérabilités connues comme exploitées, puis corrigé ou retiré de l’exposition publique.

Lorsqu’un correctif ne peut pas être appliqué immédiatement, l’interface d’administration doit être limitée à des adresses autorisées ou placée derrière un accès distant contrôlé. L’authentification multifacteur réduit le risque associé aux identifiants volés, mais ne remplace pas un correctif lorsqu’une faille permet de contourner l’authentification.

Les journaux de connexion et d’administration de ces équipements doivent être transférés vers un système séparé. Une conservation exclusivement locale permettrait à un attaquant ayant compromis la passerelle de supprimer la principale trace de son accès initial.

Priorité 2 : bloquer la progression par SMB

Gunra a été associé à l’utilisation de psexec.py et smbclient.py, deux composants d’Impacket permettant d’agir à distance au moyen du protocole SMB. Les signaux utiles comprennent la création inhabituelle de services distants, les sessions SMB entre segments qui communiquent rarement et l’emploi d’un compte privilégié depuis un poste non administratif.

La segmentation doit empêcher un poste utilisateur compromis d’atteindre directement les contrôleurs de domaine, les bases de données, les stockages NAS et l’administration des sauvegardes. Les comptes privilégiés doivent être distincts des comptes ordinaires, limités aux systèmes nécessaires et réservés à des postes d’administration dédiés.

L’analyse technique d’AhnLab ASEC publiée le 30 juillet 2026 décrit des attaques dans lesquelles des vulnérabilités de logiciels de sécurité financière ont conduit au déploiement de Gunra, à l’exfiltration d’informations sensibles et au chiffrement de fichiers. Des outils, vulnérabilités, empreintes de clés SSH et éléments d’infrastructure recoupent ceux d’une campagne attribuée à un acteur étatique, sans que la relation entre les deux groupes puisse être établie définitivement.

Priorité 3 : détecter le vol avant le chiffrement

La double extorsion fait du vol de données un signal d’alerte à part entière, et non une conséquence secondaire du chiffrement. La surveillance doit rapprocher l’accès massif à des répertoires sensibles, l’emploi inhabituel d’outils de transfert ou d’administration et une hausse anormale des volumes sortants.

Les documents opérationnels, bases de données, informations personnelles, courriels internes et fichiers décrivant l’architecture du système figurent parmi les données exposées. Les connexions inhabituelles aux environnements virtuels des équipes informatiques méritent une vigilance particulière, car ces espaces peuvent contenir des configurations détaillées et donner accès à des identifiants étendus.

Les journaux d’authentification, d’accès aux fichiers, de réseau et d’administration doivent être centralisés hors de portée des comptes ordinaires du domaine. Ce contrôle est réussi si une chronologie reste disponible après la mise en quarantaine des machines compromises et la désactivation des comptes suspects.

Priorité 4 : conserver une restauration indépendante

La dernière barrière est une sauvegarde que les identifiants du réseau de production ne permettent ni de modifier ni de supprimer. Les copies critiques doivent être hors ligne ou immuables, administrées avec des comptes séparés et protégées par une authentification distincte.

Une tâche de sauvegarde terminée sans erreur ne suffit pas à valider la reprise. Un test probant restaure des services déterminés dans un environnement propre, vérifie l’absence de contenu malveillant et confirme que les procédures, secrets et contacts nécessaires restent accessibles quand le réseau principal est indisponible.

À ce stade, l’expansion internationale, le modèle d’affiliation et les principales étapes opérationnelles de Gunra sont documentés. Les prochaines évaluations devront préciser les nouvelles voies d’accès utilisées par les affiliés, actualiser les indicateurs techniques et déterminer si de nouvelles marques produites avec le même outillage masquent la continuité de la campagne.