Un avviso congiunto dell'FBI e della Cybersecurity and Infrastructure Security Agency (CISA) ha confermato che il gruppo ransomware Gunra ha violato almeno 51 ospedali, agenzie governative e istituzioni finanziarie, principalmente sfruttando firewall Fortinet non aggiornati. L'avviso ha inoltre rivelato una significativa debolezza nel malware Linux di Gunra: un generatore di numeri casuali difettoso che consente alle vittime di recuperare i file crittografati senza pagare un riscatto.

I risultati rappresentano una delle analisi pubbliche più dettagliate fino ad oggi sulle operazioni di Gunra, combinando i modelli di attacco all'infrastruttura con una tabella di marcia tecnica per i difensori. Per le organizzazioni che gestiscono ancora appliance di rete esposte o obsolete, l'avviso è un chiaro segnale che il divario tra una vulnerabilità nota e un incidente ransomware conclamato continua a ridursi.

Come il ransomware Gunra ha violato 51 ospedali e reti governative

Secondo l'avviso, l'elenco delle vittime di Gunra include fornitori di servizi sanitari, uffici governativi e istituzioni finanziarie, settori che tendono a detenere dati sensibili e spesso non possono tollerare lunghi periodi di inattività. Questa combinazione li rende bersagli attraenti per gli operatori ransomware che mirano a fare pressione sulle vittime affinché paghino rapidamente.

Il gruppo è stato sufficientemente attivo da attirare l'attenzione costante delle forze dell'ordine internazionali. All'inizio di quest'anno, le autorità sudcoreane e statunitensi hanno annunciato un'indagine congiunta sulle attività della banda, che si è estesa ai settori finanziario, sanitario e manifatturiero. L'ultimo conteggio di 51 vittime suggerisce che, nonostante tale attenzione, Gunra ha continuato a operare e a trovare nuovi punti di ingresso nelle reti aziendali e istituzionali.

La vulnerabilità dei firewall Fortinet non patchati sfruttata dagli aggressori

L'avviso indica i firewall Fortinet non aggiornati come principale vettore di accesso iniziale per le intrusioni di Gunra. I firewall si trovano ai margini della rete, il che li rende un bersaglio di alto valore: una volta compromessi, gli aggressori possono spesso muoversi lateralmente nei sistemi interni, raccogliere credenziali e preparare il payload ransomware con una resistenza relativamente bassa.

Si tratta di uno schema familiare nelle campagne ransomware in generale. Gli aggressori spesso preferiscono vulnerabilità note e non risolte nei dispositivi perimetrali rispetto a tecniche di social engineering più laboriose, semplicemente perché scansionare Internet alla ricerca di firewall esposti e obsoleti è più veloce ed economico che creare esche di phishing. L'avviso congiunto CISA e FBI sulle tattiche di doppia estorsione di Gunra descrive come il gruppo associ questo metodo di accesso al furto di dati, minacciando di diffondere i file rubati oltre a crittografarli, un approccio di doppia estorsione ormai standard che aumenta la pressione sulle vittime affinché paghino.

Perché il difetto di crittografia Linux di Gunra consente alle vittime di evitare il riscatto

Il dettaglio più utile nell'avviso riguarda la variante Linux di Gunra. I ricercatori hanno scoperto che il malware si basa su un generatore di numeri casuali debole per creare le chiavi di crittografia utilizzate per bloccare i file delle vittime. Poiché questo generatore è prevedibile e può essere ricostruito a partire dai dati lasciati sul sistema infetto, i ricercatori di sicurezza sono riusciti a decodificare il processo di crittografia in modo sufficiente da recuperare i file senza pagare gli aggressori.

Si tratta di una scoperta significativa per qualsiasi organizzazione che gestisca server Linux e sia stata colpita da Gunra. La decrittazione dei ransomware è raramente semplice e la maggior parte delle varianti utilizza implementazioni crittografiche che, almeno in teoria, sono computazionalmente impossibili da violare senza la chiave privata dell'aggressore. Un generatore di numeri casuali debole o riutilizzato è un vero errore di implementazione, non una debolezza teorica, e offre ai difensori un'alternativa concreta alla trattativa con i criminali.

Detto questo, sfruttare questo difetto richiede in genere competenze tecniche, accesso forense al sistema compromesso e un'attenta gestione di eventuali artefatti residui dell'attacco. Le organizzazioni che sospettano un'infezione da Gunra dovrebbero conservare i sistemi interessati nello stato attuale anziché tentare il recupero in autonomia, poiché una gestione impropria potrebbe distruggere proprio gli artefatti necessari per ricostruire le chiavi di crittografia.

Correggere invece di pagare: lezioni di sicurezza per istituzioni e individui

Il tema ricorrente in questo avviso è che sia la violazione iniziale che l'eventuale soluzione alternativa derivano da lacune tecniche evitabili. I firewall Fortinet sfruttati per l'accesso iniziale non erano aggiornati, il che significa che esisteva una correzione nota ma non è stata applicata in tempo. E la variante ransomware per Linux è fallita solo a causa di una scorciatoia di codifica nel proprio processo di crittografia. Nessuno dei due esiti ha richiesto lo sfruttamento sofisticato di vulnerabilità zero-day.

Per ospedali, agenzie governative e istituzioni finanziarie in particolare, questo rafforza una lezione che i professionisti della sicurezza ripetono da anni: la gestione delle patch sui dispositivi perimetrali come firewall e appliance VPN non è facoltativa. Questi sistemi sono spesso il primo punto di contatto per gli operatori ransomware che scansionano Internet alla ricerca di bersagli facili.

Cosa significa per te

Se gestisci un'infrastruttura IT, in particolare nei settori sanitario, governativo o dei servizi finanziari, l'avviso su Gunra è un invito diretto a verificare i tuoi dispositivi Fortinet e ad accertarti che eseguano firmware aggiornato con tutte le patch di sicurezza applicate. Se sei già stato colpito dal ransomware Gunra e utilizzi sistemi Linux, non affrettarti a pagare. Consulta professionisti della risposta agli incidenti in merito alla nota debolezza di crittografia prima di prendere in considerazione il pagamento di un riscatto.

Per gli utenti comuni e le organizzazioni più piccole, il messaggio più ampio è simile: i gruppi ransomware hanno sempre più successo non grazie a tecniche esotiche, ma a causa di elementi di base trascurati. Mantenere aggiornato l'hardware di rete, monitorare eventuali modelli di accesso insoliti e conservare backup offline rimangono le difese più affidabili per evitare di diventare la prossima voce in un avviso come questo.

Considerazioni finali

Il difetto di decrittazione del ransomware Gunra per Linux è una rara buona notizia in un avviso per il resto preoccupante su 51 ospedali, agenzie e istituzioni finanziarie compromesse. Non annullerà i danni già subiti, ma offre una via d'uscita alle vittime che altrimenti potrebbero sentirsi costrette a pagare. Insieme alla costante pressione delle forze dell'ordine sul gruppo, il caso sottolinea una semplice verità: applicare le patch alle vulnerabilità note prima che gli aggressori le trovino è sempre più economico, veloce e sicuro che negoziare a cose fatte.