Gunra ransomware khai thác lỗ hổng Fortinet và Schneider Electric để xâm nhập mạng
"Gunra ransomware operators are exploiting internet-facing flaws in Schneider Electric PowerLogic P5 (CVE-2024-5559) and Fortinet FortiOS/FortiProxy (CVE-2025-24472) to gain initial access, then using phishing, credential dumping, lateral movement, and data exfiltration to conduct double-extortion attacks. The campaign targets critical infrastructure and other sectors worldwide; mitigations include patching the affected appliances and hardening VPN/VDI, MFA, and credential controls."
Nguy cơ cao do khai thác lỗ hổng Internet-facing, kết hợp đánh cắp thông tin xác thực và mã hóa dữ liệu để tống tiền.
Có thể gây gián đoạn dịch vụ, mất dữ liệu nhạy cảm và phát sinh chi phí khắc phục, đặc biệt với hạ tầng trọng yếu và môi trường VPN/VDI.
Các cơ quan an ninh mạng của Hàn Quốc và Mỹ đã cảnh báo về chiến dịch Gunra ransomware nhắm vào hạ tầng trọng yếu và nhiều tổ chức trên toàn cầu. Nhóm tấn công được cho là khai thác các thiết bị kết nối Internet có lỗ hổng, gồm Schneider Electric PowerLogic P5 (CVE-2024-5559) và Fortinet FortiOS/FortiProxy (CVE-2025-24472), để giành quyền truy cập ban đầu.
Sau khi xâm nhập, kẻ tấn công sử dụng phishing, credential dumping, lateral movement và data exfiltration để thực hiện mô hình double extortion: vừa mã hóa dữ liệu, vừa đe dọa công bố dữ liệu bị đánh cắp. Một số nạn nhân bị yêu cầu trả tiền trong 5 đến 7 ngày trước khi dữ liệu bị đăng lên trang rò rỉ.
Theo các báo cáo, Gunra đã ghi nhận 51 nạn nhân kể từ khi xuất hiện vào tháng 4/2025, với hoạt động đáng chú ý tại Australia, Đông Á và châu Âu. Nhóm này cũng bị ghi nhận dùng Impacket, xóa log, xóa lịch sử lệnh và khai thác VPN/VDI để mở rộng quyền truy cập.
Khuyến nghị: ưu tiên vá bản cập nhật cho thiết bị bị ảnh hưởng, siết chặt MFA, kiểm soát credential, rà soát VPN/VDI, và giám sát dấu hiệu lateral movement cùng rò rỉ dữ liệu.