Un avis conjoint du FBI et de l’Agence pour la cybersécurité et la sécurité des infrastructures (CISA) a confirmé que le groupe de ransomware Gunra a compromis au moins 51 hôpitaux, agences gouvernementales et institutions financières, principalement en exploitant des pare-feu Fortinet non corrigés. L’avis révèle également une faiblesse importante dans le logiciel malveillant Linux de Gunra : un générateur de nombres aléatoires défaillant qui permet aux victimes de récupérer leurs fichiers chiffrés sans payer de rançon.

Ces conclusions constituent l’une des analyses publiques les plus détaillées des opérations de Gunra à ce jour, associant les schémas de ciblage d’infrastructures à des pistes techniques exploitables par les défenseurs. Pour les organisations qui utilisent encore des équipements réseau exposés ou obsolètes, l’avis est un signal clair que l’écart entre une vulnérabilité connue et un incident de ransomware à part entière ne cesse de se réduire.

Comment le ransomware Gunra a compromis 51 hôpitaux et réseaux gouvernementaux

Selon l’avis, la liste des victimes de Gunra comprend des prestataires de soins de santé, des administrations publiques et des institutions financières, des secteurs qui détiennent généralement des données sensibles et ne peuvent souvent pas tolérer des interruptions prolongées. Cette combinaison en fait des cibles attractives pour les opérateurs de ransomware cherchant à faire pression pour obtenir un paiement rapide.

Le groupe a été suffisamment actif pour attirer une attention soutenue des forces de l’ordre internationales. Plus tôt cette année, les autorités sud-corénnes et américaines ont annoncé une enquête conjointe sur les activités du gang alors qu’il s’étendait aux secteurs de la finance, de la santé et de l’industrie. Le dernier décompte de 51 victimes suggère que malgré cet examen minutieux, Gunra a continué à opérer et à trouver de nouveaux points d’entrée dans les réseaux d’entreprises et d’institutions.

La vulnérabilité non corrigée des pare-feu Fortinet exploitée par les attaquants

L’avis désigne les pare-feu Fortinet non corrigés comme le principal vecteur d’accès initial aux intrusions de Gunra. Les pare-feu se situent à la périphérie du réseau, ce qui en fait une cible de grande valeur : une fois compromis, les attaquants peuvent souvent se déplacer latéralement dans les systèmes internes, collecter des identifiants et préparer les charges utiles du ransomware avec relativement peu de résistance.

Il s’agit d’un schéma familier dans les campagnes de ransomware en général. Les attaquants privilégient souvent les vulnérabilités connues et non corrigées sur les équipements de périphérie plutôt que des techniques d’ingénierie sociale plus laborieuses, tout simplement parce que scanner Internet à la recherche de pare-feu exposés et obsolètes est plus rapide et moins coûteux que d’élaborer des courriels d’hameçonnage. L’avis conjoint de la CISA et du FBI sur les tactiques de double extorsion de Gunra décrit comment le groupe associe cette méthode d’accès au vol de données, menaçant de divulguer les fichiers dérobés en plus de les chiffrer, une approche de double extorsion désormais standard qui accentue la pression sur les victimes pour qu’elles paient.

Pourquoi la faille de chiffrement Linux de Gunra permet aux victimes d’éviter la rançon

Le détail le plus exploitable de l’avis concerne la variante Linux de Gunra. Les chercheurs ont découvert que le logiciel malveillant utilise un générateur de nombres aléatoires faible pour créer les clés de chiffrement servant à verrouiller les fichiers des victimes. Comme ce générateur est prévisible et peut être reconstitué à partir des données laissées sur le système infecté, les chercheurs en sécurité ont pu rétroconcevoir le processus de chiffrement suffisamment pour récupérer les fichiers sans payer les attaquants.

Il s’agit d’une découverte significative pour toute organisation utilisant des serveurs Linux qui aurait été touchée par Gunra. Le déchiffrement d’un ransomware est rarement simple, et la plupart des souches utilisent des implémentations de chiffrement qui sont, du moins en théorie, impossibles à casser sans la clé privée de l’attaquant. Un générateur de nombres aléatoires faible ou réutilisé est une véritable erreur d’implémentation, pas une faiblesse théorique, et cela donne aux défenseurs une véritable alternative à la négociation avec des criminels.

Cela dit, l’exploitation de cette faille nécessite généralement une expertise technique, un accès médico-légal au système compromis et une manipulation soigneuse des éventuels artefacts restants après l’attaque. Les organisations qui soupçonnent une infection par Gunra doivent préserver les systèmes concernés dans leur état actuel plutôt que de tenter une récupération par leurs propres moyens, car une manipulation inappropriée pourrait détruire les artefacts mêmes nécessaires à la reconstitution des clés de chiffrement.

Corriger plutôt que payer : leçons de sécurité pour les institutions et les particuliers

Le thème récurrent de cet avis est que tant la brèche initiale que la solution de contournement finale découlent de lacunes techniques évitables. Les pare-feu Fortinet exploités pour l’accès initial n’étaient pas corrigés, ce qui signifie qu’un correctif connu existait mais n’avait pas été appliqué à temps. Et la variante Linux du ransomware n’a échoué qu’en raison d’un raccourci de programmation dans son propre processus de chiffrement. Aucun de ces résultats n’a nécessité l’exploitation sophistiquée de failles zero-day.

Pour les hôpitaux, les agences gouvernementales et les institutions financières en particulier, cela renforce une leçon que les professionnels de la sécurité répètent depuis des années : la gestion des correctifs sur les équipements de périphérie tels que les pare-feu et les appliances VPN n’est pas optionnelle. Ces systèmes sont souvent le premier point de contact pour les opérateurs de ransomware qui scrutent Internet à la recherche de cibles faciles.

Ce que cela signifie pour vous

Si vous gérez une infrastructure informatique, en particulier dans les secteurs de la santé, du gouvernement ou des services financiers, l’avis Gunra est un appel direct à auditer vos équipements Fortinet et à confirmer qu’ils exécutent un micrologiciel à jour avec tous les correctifs de sécurité appliqués. Si vous avez déjà été touché par le ransomware Gunra et exploitez des systèmes Linux, ne vous précipitez pas pour payer. Consultez des professionnels de la réponse aux incidents à propos de la faiblesse de chiffrement connue avant d’envisager un paiement de rançon.

Pour les utilisateurs ordinaires et les petites organisations, l’enseignement plus large est similaire : les groupes de ransomware réussissent de plus en plus non pas par des techniques exotiques, mais par la négligence des fondamentaux. Maintenir le matériel réseau à jour, surveiller les schémas d’accès inhabituels et conserver des sauvegardes hors ligne restent les défenses les plus fiables pour éviter de devenir la prochaine entrée dans un tel avis.

Réflexions finales

La faille de déchiffrement du ransomware Linux de Gunra est une rare bonne nouvelle dans un avis par ailleurs préoccupant concernant 51 hôpitaux, agences et institutions financières compromis. Elle n’annule pas les dégâts déjà causés, mais elle offre une voie de sortie aux victimes qui pourraient autrement se sentir contraintes de payer. Combinée à la pression continue des forces de l’ordre sur le groupe, cette affaire souligne une simple vérité : corriger les vulnérabilités connues avant que les attaquants ne les trouvent est toujours moins coûteux, plus rapide et plus sûr que de négocier après coup.