Ransomware Gunra: alerta da CISA e guia de defesa empresarial

A descoberta mais importante do comunicado sobre o Gunra é como os atacantes entram: eles exploram firewalls e VPNs expostos à internet e sem correção. Segundo o comunicado conjunto, os agentes do Gunra obtiveram acesso inicial principalmente abusando de duas falhas de desvio de autenticação no Fortinet FortiOS e FortiProxy, identificadas como CVE-2024-55591 e CVE-2025-24472. Ambas são falhas de autenticação em nível de projeto e ambas constam no catálogo de Vulnerabilidades Exploradas Conhecidas da CISA, confirmando a exploração no mundo real.

Uma vulnerabilidade de desvio de autenticação é perigosa porque permite que o atacante pule totalmente a etapa de login e atue como um usuário autenticado e confiável no dispositivo de borda que deveria proteger a rede. Uma vez dentro desse equipamento, o atacante já ultrapassou o perímetro.

O desafio para a maioria das empresas não é a conscientização, e sim a gestão da exposição. Os dispositivos de borda costumam ser esquecidos nos ciclos de correção, executam firmware sem suporte ou ficam fora do monitoramento centralizado. Cada concentrador VPN, firewall e gateway de acesso remoto voltado para a internet é um possível ponto de entrada, e organizações com várias unidades frequentemente têm dezenas espalhados por regiões e operadoras. Reduzir essa superfície de ataque exige correções disciplinadas, segmentação rigorosa e visibilidade contínua sobre o que realmente está exposto. Uma conectividade gerenciada e arquitetura de rede resiliente que centralize o controle entre unidades e operadoras torna muito mais fácil manter cada dispositivo de borda corrigido, segmentado e monitorado em vez de deixá-lo como uma porta aberta.

Entender como o Gunra se move por uma rede é a forma mais rápida de saber onde detê-lo. O comunicado descreve uma cadeia de ataque consistente que se desenrola em cinco etapas.

Primeiro, o acesso inicial: os afiliados exploram um firewall ou VPN vulnerável e exposto para alcançar a rede interna. Segundo, o roubo de credenciais: eles extraem o banco de dados NTDS.dit de um controlador de domínio para coletar os hashes de todas as contas do ambiente. Terceiro, o movimento lateral: usando técnicas de pass-the-hash sobre SMB e RDP, deslocam-se de um sistema a outro com credenciais roubadas, escalando rumo ao controle de todo o domínio. Quarto, a exfiltração de dados: antes de criptografar qualquer arquivo, copiam dados do negócio para alimentar a ameaça de extorsão. Quinto, a criptografia: os sistemas Windows são criptografados com os arquivos recebendo as extensões ".ENCRT" ou ".CRYPT", enquanto a variante para Linux acrescenta ".GNRA".

Cada etapa é uma oportunidade de detecção. Uma autenticação incomum a partir de um dispositivo de borda, o acesso ao NTDS em um controlador de domínio e conexões em massa por SMB ou RDP são sinais de alta confiabilidade que aparecem muito antes de a criptografia começar. O problema é que esses sinais só são úteis se alguém, ou algo, estiver observando 24 horas por dia. Esse é exatamente o papel de um SOC gerenciado com SIEM e MDR 24/7, que correlaciona esses eventos, sinaliza a invasão durante a janela de várias horas entre o acesso inicial e a criptografia, e a contém antes de o ransomware ser acionado. Vale destacar que as agências também encontraram uma fragilidade criptográfica no criptografador Linux do Gunra que permitiu a algumas vítimas recuperar arquivos sem pagar, o que reforça por que as vítimas devem preservar as evidências e consultar as autoridades antes de tomar qualquer decisão.

Uma defesa em camadas contra o ransomware protege a receita, a reputação e a conformidade regulatória, não apenas os dados. As empresas que investem antes de um incidente obtêm vantagens concretas e mensuráveis em relação às que reagem após a criptografia.

O primeiro benefício é a continuidade operacional. Backups imutáveis e offline significam que, mesmo que os atacantes criptografem os sistemas de produção, existem cópias limpas que não podem ser alteradas nem excluídas, permitindo a recuperação em horas em vez de semanas. Essa é a defesa mais confiável contra a metade de criptografia da dupla extorsão, e é um resultado central de serviços gerenciados de TI e backup bem projetados.

O segundo benefício é a redução do tempo de permanência. Como o Gunra passa horas se movendo lateralmente antes de criptografar, a detecção e resposta contínuas encurtam drasticamente a janela em que um atacante opera sem ser detectado, muitas vezes interrompendo uma invasão antes que ela se torne uma paralisação em toda a empresa.

O terceiro benefício é a resiliência comprovável. A segmentação de rede, a autenticação multifator obrigatória, a correção disciplinada dos dispositivos de borda e o monitoramento 24/7 reduzem em conjunto tanto a probabilidade quanto o raio de impacto de um ataque. Essa postura também atende aos requisitos dos ciberseguros e às expectativas regulatórias, além de proteger a confiança do cliente que um vazamento público de dados destruiria. Em resumo, uma estratégia de zero trust e detecção gerenciada coordenada transforma o ransomware de uma ameaça existencial em um evento gerenciável e contido.

A HIT Communications ajuda empresas na América Latina, nos Estados Unidos e na Europa a construir defesas especificamente adequadas a ameaças como o Gunra. Com mais de 30 anos em telecomunicações e TI corporativa, a HIT une conectividade e segurança sob um único parceiro responsável, que é exatamente o que uma cadeia de ataque que vai do firewall à criptografia exige.

No lado da prevenção, os serviços de conectividade gerenciada e SD-WAN/SASE da HIT centralizam o controle dos dispositivos de borda em cada unidade e operadora, tornando a correção e a segmentação consistentes algo alcançável e não apenas uma aspiração. No lado da detecção, os serviços de cibersegurança da HIT oferecem um SOC gerenciado com SIEM e MDR, dando à sua organização o monitoramento ininterrupto que detecta o movimento lateral na janela crítica antes da criptografia. E no lado da recuperação, os serviços gerenciados de TI da HIT implementam backups imutáveis e testados para que um evento de criptografia no pior cenário se torne recuperável.

Como essas camadas são entregues em conjunto, não há lacunas entre a equipe de rede, a equipe de segurança e o plano de recuperação, que é justamente onde os operadores de ransomware prosperam. As equipes multilíngues e a presença regional da HIT permitem que empresas na Colômbia, no México, no Panamá, no Brasil, nos EUA e na Espanha tenham expertise local respaldada por ferramentas de nível global.

O comunicado sobre o Gunra é um aviso claro e datado: corrija sua borda exposta à internet, observe o movimento lateral e garanta que seus backups sejam imutáveis. A cadeia de ataque está bem documentada, o que significa que também é defensável, mas apenas para as organizações que agem antes que um afiliado encontre seu dispositivo exposto.

Os próximos passos práticos são simples. Confirme que todos os dispositivos Fortinet e outros equipamentos de borda estejam corrigidos contra as vulnerabilidades exploradas conhecidas e removidos da exposição direta à internet sempre que possível. Verifique se a autenticação multifator está aplicada em todos os lugares, se sua rede está segmentada para frear o movimento lateral e se o seu SOC tem visibilidade sobre a atividade dos controladores de domínio e de SMB/RDP. Por fim, teste sua capacidade de restaurar a partir de backups imutáveis para que a recuperação seja um ensaio, e não uma aposta.

Se você deseja uma avaliação especializada da sua exposição ao Gunra e a operações de ransomware semelhantes, entre em contato com a equipe da HIT Communications para uma consultoria. Uma avaliação breve agora é muito mais barata do que um incidente depois, e é a forma mais direta de transformar um comunicado federal em proteção concreta para o seu negócio.