Агентства США и Южной Кореи предупредили о новом шифровальщике Gunra, наследнике Conti

Жертвами Gunra становятся организации в самых разных отраслях: здравоохранение и медицина, финансовые услуги и страхование, обрабатывающая промышленность и строительство, транспорт и логистика, государственные учреждения, коммунальное хозяйство, образование, медиа и связь, розничная торговля, профессиональные и некоммерческие услуги. География атак охватывает обе Америки, Европу, Ближний Восток, Африку и Азиатско-Тихоокеанский регион. Злоумышленники используют модель двойного вымогательства: сначала они выгружают конфиденциальные данные с систем жертвы, затем шифруют файлы. Если жертва отказывается платить, данные публикуются на специальном сайте в даркнете либо продаются третьим лицам. Для переговоров используется анонимный мессенджер qTox, а на принятие решения дается пять-семь дней, после чего угроза утечки становится реальной.

Как отмечается в совместном предупреждении ФБР и CISA, начальный доступ злоумышленники получают через эксплуатацию известных уязвимостей в межсетевых экранах и VPN-шлюзах, а также через слабые или похищенные учетные данные. В ряде случаев вымогатели используют учетные записи с небрежно настроенными политиками блокировки: отсутствие ограничений на число попыток входа позволяет перебирать пароли. Оказавшись в сети, злоумышленники применяют стандартные административные протоколы, чтобы перемещаться между компьютерами, крадут базы учетных записей из контроллеров домена и подменяют сеансы пользователей, в том числе обходя многофакторную аутентификацию. Для сбора и выгрузки данных они используют легитимные инструменты, включая архиваторы, клиенты облачных хранилищ и клиенты для передачи файлов. С целью расширения бизнеса операторы Gunra ребрендировали группу под псевдонимом Golden Community и активно вербуют специалистов по тестированию на проникновение в качестве брокеров доступа.

Операторы Gunra активно атакуют корпоративные облачные сервисы. В одном из инцидентов они применили специальную вредоносную программу для выгрузки данных из Microsoft OneDrive и SharePoint, затем упаковали файлы в архивы и отправили в популярный файлообменник Mega. Объем похищенных данных достигал десятков терабайт. Кроме того, для закрепления в сети вымогатели используют легитимные программы удаленного доступа - например, AnyDesk и Google Remote Desktop, которые сложно отличить от обычного административного ПО. Свою активность они маскируют, очищая историю команд и работая преимущественно в ночные часы.

Сам шифратор работает быстро и выборочно: сначала он просматривает все диски и отбирает файлы, содержащие пользовательские данные, пропуская системные каталоги. Для шифрования применяется гибридная схема: файлы защищаются быстрым симметричным алгоритмом, а ключи - надежным асимметричным шифрованием. Это делает подбор ключа перебором практически невозможным. После шифрования файлы получают расширение .ENCRT, а в каждой затронутой папке появляется записка с требованием выкупа в криптовалюте. Для максимального давления вымогатели удаляют системные точки восстановления и резервные копии на основной и резервной площадках, лишая жертву возможности восстановиться без оплаты.

Однако у Gunra есть уязвимое место. В марте 2026 года исследователи обнаружили слабость в Linux-версии шифровальщика: используемые ключи шифрования генерируются на основе предсказуемого значения системного времени. Это позволяет математически восстановить ключи по времени создания зашифрованных файлов и расшифровать их без уплаты выкупа. Данная слабость затрагивает только версии для Linux с расширением .GNRA; для Windows такое восстановление невозможно. Авторы рекомендаций советуют организациям, столкнувшимся с Linux-вариантом Gunra, сохранять зашифрованные файлы, их метки времени и системные логи, чтобы воспользоваться этим методом восстановления.

Авторы предупреждения настаивают на базовых мерах защиты. Приоритет номер один - своевременно устанавливать обновления для интернет-сервисов, особенно для VPN-шлюзов и систем удаленного доступа. Также необходимо хранить офлайн-резервные копии в изолированном физическом сегменте, использовать многофакторную аутентификацию для всех критичных сервисов, сегментировать сеть, чтобы ограничить перемещение злоумышленников. Отдельного внимания требует аудит привилегированных учетных записей: удаление неиспользуемых аккаунтов и отключение избыточных прав снижают вероятность использования украденных данных. Регулярное тестирование защитных механизмов на основе описанных в отчете сценариев атаки помогает выявить слабые места до того, как ими воспользуются злоумышленники.

В случае обнаружения признаков компрометации до запуска шифрования авторы совета рекомендуют немедленно изолировать пораженные хосты, сохранить логи и обратиться в правоохранительные органы. Сбор информации о действиях злоумышленников - журналы сетевых устройств, новые созданные архивы, необычные учетные записи - помогает провести расследование и выработать меры противодействия. Кампания Gunra показывает, как утекший код профессиональных шифровальщиков превращается в доступный инструмент для новых преступных групп. Коммерциализация атак через RaaS и привлечение специалистов по тестированию на проникновение в качестве брокеров начального доступа делают угрозу более масштабной, чем одиночные атаки Conti. Правоохранительные органы разных стран призывают организации сообщать о любых инцидентах, связанных с Gunra, даже если был выплачен выкуп, поскольку информация помогает идентифицировать инфраструктуру и привлекать виновных к ответственности. Обмен информацией об инцидентах между организациями и государственными структурами остается ключевым фактором сдерживания подобных угроз.