Gunra Ransomware : CISA et FBI alertent sur Fortinet

Une coalition de cinq agences sonne l'alarme contre un ransomware d'État

Le 11 août 2026, la Cybersecurity and Infrastructure Security Agency (CISA), le Federal Bureau of Investigation (FBI), le Department of Defense Cyber Crime Center (DC3), la National Security Agency (NSA), le Secret Service américain (USSS) et la Korea National Police Agency (KNPA) de la République de Corée ont publié conjointement un advisory d'urgence sous la référence AA26-222A dans le cadre de la campagne #StopRansomware. Ce type d'alerte à signature multiple, associant des agences civiles, militaires et un partenaire étranger, est réservé aux menaces jugées les plus sérieuses — un signal fort que Gunra Ransomware représente une menace systémique et non une simple nuisance opportuniste.

Gunra Ransomware a été identifié pour la première fois par le FBI en avril 2025. Il est issu du code source du ransomware Conti, dont une fuite massive avait alimenté une génération entière de variants depuis 2022. Les développeurs de Gunra ont cependant considérablement modernisé leur base technique : le chiffreur utilise désormais une combinaison ChaCha20 et RSA-4096, capable selon les chercheurs de chiffrer des volumes de données considérables — jusqu'à 9 To — en un temps très court, grâce à un chiffrement par flux multi-threadé. Le modèle d'extorsion est double : les données sont chiffrées ET exfiltrées vers un site de fuite dédié (DLS), accessible via Tor, où elles sont publiées si la rançon n'est pas payée dans le délai imparti par les acteurs via leur portail de négociation personnalisé.

À partir de début 2026, Gunra a formellement structuré ses opérations en modèle Ransomware-as-a-Service (RaaS), proposant sur des forums du dark web une offre complète à ses affiliés : un panneau de gestion en ligne, un constructeur de payload configurable, des loaders cross-platform (Windows et Linux), et une documentation affiliate détaillée. Les affiliés conservent une part importante des rançons collectées, tandis que les développeurs centraux de Gunra perçoivent leur commission. Ce modèle industrialisé permet au groupe de monter en échelle rapidement sans exposer directement son infrastructure principale.

Le vecteur d'intrusion principal documenté dans l'advisory concerne les équipements FortiOS et FortiProxy de Fortinet. Les acteurs Gunra exploitent activement CVE-2024-55591, une faille d'authentification critique permettant à un attaquant distant non authentifié d'obtenir des privilèges super-administrateur sur les équipements FortiOS et FortiProxy via des requêtes malformées vers le module Node.js websocket. Cette vulnérabilité avait déjà été signalée par Fortinet comme exploitée en condition réelle dès janvier 2025. CVE-2025-24472, la seconde faille utilisée, est une variante du même bug affectant également les interfaces de gestion CSF proxy — son correctif avait été publié en février 2025. Des dizaines de milliers d'équipements FortiOS restent accessibles sur Internet avec des versions vulnérables, fournissant à Gunra un terrain de chasse quasi-illimité.

L'advisory mentionne également l'exploitation de failles dans des équipements Schneider Electric exposés sur Internet, ciblant spécifiquement les environnements industriels et les systèmes de contrôle (ICS/SCADA). Ce détail élargit considérablement le périmètre de risque : les opérateurs d'infrastructures critiques utilisant des automates Schneider doivent considérer leur exposition avec la même urgence que les administrateurs d'équipements Fortinet. Une fois dans le réseau cible, les acteurs Gunra s'appuient sur des techniques de Living-off-the-Land (LotL) — utilisation d'outils système légitimes comme PsExec, WMI et PowerShell — pour se déplacer latéralement sans déclencher les alertes antivirus.

Les liens avec la Corée du Nord sont au coeur de la dangerosité stratégique de ce groupe. Les agences signataires ont confirmé que Lazarus Group et les acteurs Gunra ont conduit des campagnes parallèles contre des cibles sud-coréennes entre 2025 et le premier semestre 2026, partageant des infrastructures réseau, des outils d'intrusion et des techniques de persistance. Cette convergence opérationnelle entre un groupe d'espionnage étatique (Lazarus) et un réseau ransomware (Gunra) illustre la stratégie nord-coréenne : maximiser les revenus cybercriminels pour financer le programme d'armement, tout en maintenant une ambiguïté attributive. Gunra a également été observé sous l'alias Golden Community dans ses recrutements dark web, et recrute des testeurs d'intrusion et des ethical hackers comme Initial Access Brokers (IAB).

Un détail technique notable soulevé par les chercheurs : les variants Linux (ELF) de Gunra présentent une faiblesse cryptographique dans leur générateur de nombres pseudo-aléatoires, qui utilise srand(time(NULL)) pour initialiser le vecteur d'initialisation du chiffrement. Cette dépendance au timestamp Unix permet théoriquement, dans certaines conditions précises, de reconstruire les clés de déchiffrement sans payer la rançon — une fenêtre exploitée par des initiatives communautaires de développement de décrypteurs. Toutefois, cette vulnérabilité ne s'applique qu'aux systèmes Linux chiffrés par certaines versions des affiliés utilisant des builds non personnalisés du payload, et la fenêtre de récupération reste étroite.

Les agences publient dans leur advisory un ensemble complet d'indicateurs de compromission (IoC) incluant des hashes de fichiers, des adresses IP d'infrastructure C2, des domaines malveillants, des règles de détection YARA et des signatures Snort. Une revue rétrospective des journaux d'authentification FortiOS, des connexions SSL-VPN et des événements PowerShell sur les 6 à 12 derniers mois est fortement recommandée. Le CERT-FR a relayé l'advisory dans ses publications du 11 août et conseille aux opérateurs d'infrastructures critiques français de vérifier en priorité leur exposition aux CVE mentionnés et d'activer la corrélation des IoC dans leurs outils SIEM.

Un modèle d'hybridation État-cybercriminalité qui remodèle la menace mondiale

L'alerte Gunra Ransomware s'inscrit dans une tendance de fond qui préoccupe profondément les analystes en géopolitique cyber : l'hybridation progressive entre cybercriminalité organisée et opérations d'État sponsorisées. La Corée du Nord a été précurseur dans ce modèle. Depuis le hack de Sony Pictures en 2014 et les premiers vols de cryptomonnaies imputés à Lazarus Group à partir de 2017, Pyongyang a systématiquement utilisé la cybercriminalité comme source de revenus para-légaux pour financer son programme nucléaire et balistique, contournant les sanctions internationales. Le vol de l'exchange crypto Bybit de 1,5 milliard de dollars début 2025, attribué à Lazarus par le FBI et l'ONU, reste à ce jour le plus grand braquage de cryptomonnaies de l'histoire.

L'émergence de Gunra comme entité RaaS bénéficiant du soutien opérationnel de Lazarus représente une sophistication supplémentaire. En externalisant les intrusions à des affiliés tiers recrutés sur le dark web — y compris des ethical hackers selon leurs propres termes de recrutement — les acteurs nord-coréens accroissent leur volume d'attaques tout en maintenant une distance juridique plausible vis-à-vis de chaque incident individuel. Cette stratégie complique l'attribution devant les juridictions internationales et réduit le risque de contre-mesures diplomatiques directes. C'est un modèle d'organisation que le Cyber Threat Intelligence Group de Recorded Future décrit comme une évolution majeure par rapport aux opérations nord-coréennes antérieures.

Pour les entreprises françaises et européennes, le risque est concret et immédiat. Les équipements Fortinet sont omniprésents dans les réseaux des PME, des collectivités territoriales, des hôpitaux et des Opérateurs d'Importance Vitale (OIV) soumis à la directive NIS2. L'ANSSI avait déjà émis plusieurs alertes sur l'exploitation des failles FortiOS en 2024 et rappelé l'obligation pour les OIV d'appliquer les correctifs critiques dans des délais stricts. Les organisations qui n'ont toujours pas patché CVE-2024-55591 et CVE-2025-24472 présentent une exposition critique que les affiliés Gunra sont capables d'identifier automatiquement via des outils de scan massif de l'Internet comme Shodan ou FOFA.

La dimension industrielle (OT/ICS) de la menace Gunra — avec l'exploitation de vulnérabilités Schneider Electric — ajoute une couche de complexité pour les opérateurs de secteurs régulés comme l'énergie, l'eau et les transports. Dans ces environnements, un chiffrement ransomware peut avoir des conséquences physiques directes, bien au-delà de l'impact financier classique. Les autorités américaines ont d'ailleurs rappelé dans l'advisory l'importance cruciale de la segmentation réseau entre les systèmes IT et OT pour limiter les mouvements latéraux post-compromission et protéger les systèmes de contrôle industriel.

Ce qu'il faut retenir

• Appliquer immédiatement les correctifs Fortinet pour CVE-2024-55591 et CVE-2025-24472 sur tous les équipements FortiOS et FortiProxy exposés sur Internet — ces failles sont activement exploitées depuis plus d'un an.
• Activer les IoC publiés dans l'advisory CISA AA26-222A dans vos outils SIEM/EDR et lancer une analyse rétrospective (threat hunting) sur les journaux des 6 à 12 derniers mois pour détecter une éventuelle compromission silencieuse.
• Segmenter impérativement les réseaux IT et OT, désactiver les interfaces d'administration Fortinet et Schneider Electric accessibles depuis Internet, et déployer une MFA robuste sur tous les accès VPN.