Le ransomware Gunra Fortinet représente une menace particulièrement préoccupante pour les organisations qui exposent leurs équipements VPN et pare-feu à Internet. Selon l’alerte conjointe des autorités américaines et sud-coréennes citée dans les informations fournies, les opérateurs associés à Gunra exploitent des vulnérabilités connues de produits Fortinet afin d’obtenir un accès initial aux environnements ciblés, avant de voler des données et de déployer le ransomware.
Cette stratégie combine plusieurs techniques : exploitation de vulnérabilités, compromission de comptes, contournement de l’authentification multifacteur (MFA), mouvement latéral et exfiltration massive de données.
Deux vulnérabilités Fortinet sont particulièrement importantes dans cette campagne : CVE-2024-55591 et CVE-2025-24472. La première est notamment documentée par la National Vulnerability Database du NIST comme une faille critique de contournement d’authentification pouvant permettre à un attaquant distant d’obtenir des privilèges élevés.
Gunra, une opération de ransomware en pleine évolution
Gunra est apparu en 2025 comme une menace utilisant le modèle de double extorsion. Son fonctionnement repose sur une méthode désormais classique dans l’écosystème des ransomwares : les attaquants ne se contentent pas de chiffrer les fichiers.
Ils cherchent d’abord à voler les données sensibles de leurs victimes. Ils déploient ensuite le chiffreur afin de rendre les systèmes indisponibles.
Les informations fournies indiquent également que l’opération aurait évolué vers un modèle de Ransomware-as-a-Service (RaaS), permettant à différents affiliés de participer aux attaques.
Cette évolution est importante car elle transforme le ransomware en véritable modèle économique criminel : certains acteurs recherchent les accès initiaux, tandis que d’autres prennent en charge l’intrusion, l’exfiltration ou le chiffrement.
Deux vulnérabilités Fortinet au cœur de la menace
CVE-2024-55591 : un contournement d’authentification critique
La vulnérabilité CVE-2024-55591 affecte certaines versions de FortiOS et FortiProxy.
Le NIST lui attribue un score CVSS 3.1 de 9,8, dans la catégorie critique. La vulnérabilité permet à un attaquant distant d’obtenir des privilèges élevés via des requêtes spécialement conçues. Elle figure également dans le catalogue des vulnérabilités exploitées connues de la CISA.
Les organisations utilisant des versions vulnérables doivent donc vérifier rapidement leur niveau de correctif et leur exposition Internet.
CVE-2025-24472 : une autre faille d’authentification
La seconde vulnérabilité citée, CVE-2025-24472, concerne également un mécanisme de contournement d’authentification dans FortiOS et FortiProxy.
Elle figure elle aussi dans le catalogue KEV de la CISA, ce qui signifie que les organisations doivent considérer son exploitation comme un risque concret plutôt que comme une menace purement théorique.
Ces deux vulnérabilités montrent pourquoi les équipements de sécurité exposés à Internet constituent des cibles prioritaires pour les groupes de ransomware.
Le contournement de la MFA change la donne
L’un des aspects les plus préoccupants de la campagne Gunra concerne le contournement de l’authentification multifacteur.
La MFA est généralement considérée comme une barrière importante contre le vol de mots de passe. Cependant, elle ne peut pas compenser une compromission du mécanisme d’authentification lui-même.
D’après les informations communiquées dans l’avis cité, certains opérateurs auraient modifié des mécanismes d’authentification afin qu’une valeur spécifique soit systématiquement acceptée comme code à usage unique.
Autrement dit, le problème ne serait plus simplement de voler le second facteur : il s’agirait de manipuler le système chargé de vérifier ce facteur.
Cette distinction est essentielle pour les entreprises. Une politique MFA robuste doit être accompagnée d’une protection stricte des composants qui gèrent l’authentification.
Une fois à l’intérieur, les attaquants cherchent à se déplacer
L’accès initial n’est que la première étape.
Les opérateurs de Gunra s’appuieraient ensuite sur différents outils légitimes ou open source pour explorer l’environnement et récupérer des identifiants.
Parmi les outils cités figurent notamment des composants de la suite Impacket, utilisés dans les environnements Windows pour interagir avec différents services réseau.
Les attaquants peuvent ainsi chercher à :
- récupérer des identifiants ;
- compromettre des comptes supplémentaires ;
- se déplacer latéralement ;
- atteindre des serveurs critiques ;
- compromettre des contrôleurs de domaine ;
- préparer le déploiement du ransomware.
Cette approche explique pourquoi une simple vulnérabilité sur un équipement VPN peut finalement conduire à une compromission beaucoup plus large du système d’information.
Gunra vole les données avant de chiffrer les systèmes
Comme beaucoup d’opérations modernes de ransomware, Gunra aurait recours à la double extorsion.
Avant de lancer le chiffrement, les attaquants recherchent et exfiltrent les informations susceptibles d’avoir une valeur pour la victime.
Les données peuvent notamment être copiées depuis des services de stockage professionnels tels que Microsoft OneDrive ou SharePoint, avant d’être transférées vers une infrastructure contrôlée par les attaquants.
Des outils connus comme 7-Zip, Rclone et FileZilla peuvent être utilisés pour compresser ou transférer les données.
L’utilisation d’outils légitimes complique la détection : leur présence sur un réseau d’entreprise n’est pas nécessairement malveillante. C’est donc davantage leur contexte d’utilisation et leur comportement qui doivent attirer l’attention des équipes de sécurité.
Le chiffrement intervient après l’exfiltration
Une fois les données récupérées, les opérateurs peuvent passer à la phase de chiffrement.
Selon les informations fournies, la charge utile Gunra utilise notamment ChaCha20 et RSA-4096 et ajoute l’extension .ENCRT aux fichiers chiffrés.
Une note de rançon est également déposée dans les répertoires concernés afin de fournir aux victimes les instructions nécessaires aux négociations.
Cette chronologie — intrusion, élévation des privilèges, mouvement latéral, exfiltration puis chiffrement — permet aux défenseurs de comprendre pourquoi il est crucial d’intervenir avant la dernière phase.
Les VPN et pare-feu exposés restent des cibles prioritaires
L’affaire Gunra rappelle une règle fondamentale de sécurité : un équipement de sécurité directement exposé à Internet doit faire l’objet d’une surveillance et d’une gestion des correctifs particulièrement rigoureuses.
Les vulnérabilités CVE-2024-55591 et CVE-2025-24472 sont d’autant plus préoccupantes qu’elles concernent l’authentification.
Une faille située à ce niveau peut potentiellement permettre à un attaquant de franchir une barrière qui devait justement protéger le réseau interne.
Le FortiGuard PSIRT de Fortinet constitue à ce titre une source importante pour suivre les avis de sécurité et les recommandations concernant les produits Fortinet.
Comment se protéger contre les attaques Gunra ?
Les organisations utilisant des équipements Fortinet devraient commencer par identifier toutes les versions de FortiOS et FortiProxy présentes dans leur environnement.
Il est ensuite nécessaire de vérifier ces versions par rapport aux versions corrigées publiées par Fortinet.
Les équipes de sécurité devraient également :
- limiter l’exposition Internet des interfaces d’administration ;
- appliquer rapidement les correctifs de sécurité ;
- contrôler les comptes administrateurs ;
- surveiller la création de nouveaux comptes ;
- vérifier les modifications inattendues des mécanismes d’authentification ;
- surveiller les connexions VPN inhabituelles ;
- segmenter les réseaux ;
- protéger les comptes privilégiés ;
- maintenir des sauvegardes hors ligne et immuables ;
- surveiller les transferts massifs de données ;
- rechercher les signes de mouvement latéral.
La CISA recommande également aux organisations de suivre son catalogue KEV afin de prioriser les vulnérabilités dont l’exploitation est déjà observée dans la nature.
Une MFA seule ne suffit plus
L’une des principales leçons de cette campagne est qu’il ne faut pas considérer la MFA comme une protection absolue.
Une authentification multifacteur correctement déployée reste essentielle, mais elle doit être accompagnée de contrôles supplémentaires : segmentation, moindre privilège, surveillance des comptes, protection des équipements VPN et analyse comportementale.
Dans le cas d’une infrastructure compromise, les équipes doivent également rechercher les signes indiquant qu’un attaquant a pu modifier les mécanismes d’authentification ou créer des accès persistants.
Conclusion
Le ransomware Gunra Fortinet illustre une tendance majeure des cyberattaques modernes : les groupes criminels cherchent de plus en plus à compromettre les équipements périphériques avant de pénétrer dans les réseaux internes.
Les vulnérabilités CVE-2024-55591 et CVE-2025-24472, toutes deux référencées dans le catalogue KEV de la CISA, montrent le niveau de risque associé aux systèmes Fortinet vulnérables exposés à Internet.
Pour les entreprises, la priorité est donc claire : mettre à jour les équipements concernés, réduire leur exposition, contrôler les comptes privilégiés et surveiller les comportements inhabituels.
Une attaque de ransomware ne commence pas nécessairement par le chiffrement des fichiers. Dans une campagne comme celle attribuée à Gunra, elle peut commencer beaucoup plus tôt, par la compromission d’un équipement VPN ou d’un mécanisme d’authentification.
SOURCE : CybersecurityNews
