Um comunicado conjunto do FBI, da CISA, da NSA, do Cyber Crime Center do Departamento de Defesa e de agências de cibersegurança sul-coreanas confirmou que os operadores do ransomware Gunra encontraram uma forma de contornar uma das ferramentas de segurança empresarial mais confiáveis: a autenticação multifator. Em vez de roubar um código de uso único ou fazer phishing de uma sessão de login, os afiliados do Gunra reescreveram arquivos de autenticação diretamente nos servidores das vítimas, desativando efetivamente as proteções de MFA por dentro antes de implantar a criptografia e roubar dados.

O comunicado, emitido este mês, representa uma das confirmações públicas mais claras de que os grupos de ransomware como serviço não tratam mais a MFA como um obstáculo que precisam enganar. Eles a tratam como infraestrutura que podem simplesmente reconfigurar depois de obter uma posição inicial.

Como o Gunra contornou a MFA no nível do servidor

De acordo com o comunicado, os afiliados do Gunra têm explorado vulnerabilidades conhecidas em firewalls e appliances de VPN da Fortinet, além de falhas em sistemas da Schneider Electric, para obter acesso inicial a redes governamentais, de infraestrutura crítica e corporativas. Uma vez lá dentro, em vez de tentar derrotar a MFA no prompt de login, os invasores foram atrás dos arquivos de configuração de autenticação armazenados no próprio servidor.

Ao modificar esses arquivos na origem, os operadores do Gunra conseguiram desativar ou contornar as verificações de MFA que normalmente impediriam logins não autorizados, tudo sem jamais precisar do segundo fator da vítima. Essa é uma distinção significativa em relação às técnicas típicas de desvio de MFA, como SIM swapping ou ataques de fadiga de notificação push, que têm como alvo o usuário. A abordagem do Gunra mira a infraestrutura que aplica a política em primeiro lugar, o que significa que a falha é arquitetural, e não comportamental. Corrigir vulnerabilidades conhecidas em dispositivos de borda, como firewalls e appliances de VPN — os pontos de entrada dos quais o comunicado diz que o Gunra depende — continua sendo a forma mais direta de as organizações fecharem essa porta antes que ela se abra.

O Gunra opera como ransomware como serviço, o que significa que o malware principal é construído e mantido por um grupo enquanto os afiliados realizam ataques individuais, muitas vezes reutilizando código vazado de famílias de ransomware anteriores. Essa estrutura ajudou a operação a se expandir rapidamente por setores e geografias, já que o comunicado observa que ela já atingiu alvos governamentais, de saúde e de infraestrutura crítica em vários países.

Um ponto positivo na variante para Linux

O comunicado também aponta uma fraqueza notável no criptografador baseado em Linux do Gunra. Os pesquisadores descobriram que o processo de criptografia deixa para trás artefatos de carimbo de data/hora de arquivos que podem, em alguns casos, ser usados para reconstruir as chaves de descriptografia sem pagar nada aos invasores. Para organizações que executam servidores Linux atingidos por essa variante específica, isso abre um caminho para recuperar dados criptografados por meio de análise forense, em vez de negociar com um grupo criminoso.

Esse tipo de falha de implementação não é incomum em famílias de ransomware que reutilizam ou adaptam código vazado e não significa que toda vítima do Gunra possa se recuperar gratuitamente. O criptografador do lado do Windows não parece compartilhar a mesma fraqueza, e as organizações devem tratar qualquer tentativa de recuperação como trabalho para respondentes de incidentes experientes, e não como uma correção do tipo faça você mesmo. Ainda assim, é uma rara boa notícia em um cenário de ransomware em que as vítimas geralmente ficam escolhendo entre pagar ou reconstruir a partir de backups.

Essa escolha importa porque as evidências mostram cada vez mais que pagar não resolve o problema de forma confiável. Uma pesquisa da Proofpoint descobriu que pagar gangues de ransomware muitas vezes sai pela culatra, com muitas organizações relatando que ainda perderam dados, sofreram ataques repetidos ou nunca receberam ferramentas de descriptografia utilizáveis mesmo após o pagamento. O comunicado sobre o Gunra reforça esse padrão: a aposta mais segura é prevenção e capacidade de recuperação, não negociação.

O que isso significa para você

A maioria dos leitores deste comunicado não será alvo direto do Gunra, mas a lição subjacente se aplica de forma ampla. A MFA é uma camada crítica de defesa, mas não é infalível, especialmente quando os invasores conseguem alcançar a configuração do lado do servidor que a aplica. Se você gerencia sistemas de TI de uma empresa, hospital, escola ou órgão do governo local, este comunicado é um sinal para verificar se o firmware do seu firewall e dos seus appliances de VPN está atualizado, já que o acesso inicial do Gunra depende muito de vulnerabilidades conhecidas e corrigíveis.

Para usuários comuns, a lição é menos sobre essa família específica de ransomware e mais sobre como você lida com seus próprios dados. Manter backups offline regulares de arquivos importantes continua sendo uma das poucas defesas que funcionam independentemente de como um invasor entra. Quanto tempo você retém cópias de arquivos confidenciais, e onde, também afeta sua exposição se um serviço que você usa for violado; entender seus próprios hábitos de retenção de dados e os das plataformas das quais você depende é um passo prático para limitar o que qualquer violação isolada pode expor.

Principais conclusões

Organizações que executam equipamentos Fortinet ou Schneider Electric expostos devem priorizar a correção imediatamente, já que esse é o ponto de entrada documentado para as intrusões do Gunra. As equipes de TI devem auditar as configurações de autenticação do lado do servidor em busca de alterações não autorizadas, em vez de presumir que a MFA está funcionando simplesmente porque está habilitada. Administradores de Linux atingidos pelo Gunra devem consultar profissionais de resposta a incidentes antes de presumir que os arquivos estão permanentemente perdidos, considerando a falha de recuperação baseada em carimbos de data/hora descrita no comunicado. E, para todos os demais, este comunicado é mais um lembrete de que o ransomware Gunra e grupos semelhantes têm mais sucesso contra infraestrutura desatualizada, tornando o gerenciamento de patches e a disciplina de backup mais valiosos do que qualquer ferramenta de segurança isolada.