Le 11 août, la CISA, le FBI, la NSA, les services secrets américains et leurs homologues sud-coréens ont publié un avis conjoint sur le rançongiciel Gunra, dans le cadre de l'initiative #StopRansomware. Apparu en avril 2025, dérivé du code source de Conti divulgué en 2022, Gunra s'est doté en janvier 2026 d'un programme d'affiliation en bonne et due forme : panneaux de gestion, générateurs de charges configurables, versions multiplateformes. Autrement dit, une capacité d'attaque autrefois réservée à un groupe est désormais louée à des affiliés.
Les victimes recensées se concentrent en Australie, en Asie de l'Est et en Europe, avec la Corée du Sud, le Brésil, l'Espagne, la Thaïlande et Hong Kong en tête, et quelques cas au Canada et aux États-Unis. Les secteurs visés sont ceux qui ne peuvent pas s'arrêter : santé, services financiers, administrations publiques, services professionnels et organismes sans but lucratif.
Mais le détail qui devrait retenir l'attention d'un propriétaire de risque n'est ni le nom du groupe ni la géographie. C'est la banalité du point d'entrée.
Aucun zéro-day, seulement des correctifs disponibles
Pour obtenir leur accès initial, les affiliés de Gunra exploitent des failles connues sur des équipements exposés à Internet : deux contournements d'authentification Fortinet (CVE-2024-55591 sur FortiOS, CVE-2025-24472 sur FortiProxy) et une faille de Schneider Electric PowerLogic P5 (CVE-2024-5559). Toutes sont documentées et corrigées depuis des mois, et les failles Fortinet figurent au catalogue des vulnérabilités activement exploitées de la CISA. L'hameçonnage complète le tableau, mais c'est bien le périmètre qui fournit la voie la plus directe.
Il y a une ironie à ne pas manquer : l'équipement compromis est souvent un équipement de sécurité. Un pare-feu, une passerelle VPN, un mandataire d'accès. C'est-à-dire précisément l'actif qui n'apparaît dans aucun cycle de correctifs mensuel, parce qu'il est géré par l'équipe réseau, qu'il ne redémarre pas sans fenêtre de maintenance, et que personne ne veut y toucher un vendredi.
Le correctif n'expulse pas l'attaquant
Le mode opératoire décrit dans l'avis contient un enseignement que beaucoup de programmes de correctifs ignorent. Une fois entrés, les attaquants ont modifié les fichiers de traitement de l'authentification sur le portail d'accès à l'infrastructure de bureaux virtuels, de façon à ce que certaines valeurs de mot de passe à usage unique soient acceptées. L'authentification multifacteur restait en place, visible dans les tableaux de bord, et ne protégeait plus rien.
La suite est classique et efficace : bibliothèques Impacket pour le déplacement latéral et la récupération d'identifiants, exfiltration des données vers un service d'hébergement grand public, puis chiffrement par flux Salsa20 ou ChaCha20, assez rapide pour traiter plusieurs téraoctets dans une seule fenêtre nocturne. Les victimes qui refusent de payer voient leurs données publiées sous cinq à sept jours.
La leçon de gouvernance est directe : appliquer le correctif ferme la porte, mais ne met dehors personne. Après une exposition prolongée d'un équipement de périmètre, la remédiation complète comprend la rotation des identifiants et des secrets, l'invalidation des sessions, la revue des comptes d'administration et la vérification des fichiers de configuration du portail d'authentification. Un programme qui mesure « correctif appliqué » sans mesurer « accès révoqués » peut se déclarer sain tout en restant occupé.
Ce que votre programme devrait retenir
- Inventoriez ce qui est joignable depuis Internet, en continu. On ne corrige pas ce qu'on ne sait pas exposé. La surface d'attaque externe inclut les équipements oubliés d'un site distant, d'une filiale rachetée ou d'un projet clos.
- Donnez aux équipements de périmètre le délai de correction le plus court. Ils sont sans authentification préalable, exposés à tous, et exploités en quelques jours. Ils méritent une voie d'urgence distincte du cycle mensuel, comme nous l'avons détaillé à propos de la gouvernance des vulnérabilités.
- Traitez l'authentification multifacteur comme un contrôle à vérifier, pas comme une case cochée. Si le serveur qui l'applique est compromis, elle ne vous protège plus. Surveillez l'intégrité des composants d'authentification eux-mêmes.
- Segmentez pour que l'entrée ne vaille pas la maison. Un accès obtenu sur une passerelle ne devrait pas ouvrir le chemin des sauvegardes et des contrôleurs de domaine.
- Assurez-vous que les sauvegardes survivent à l'attaquant. Immuables, hors ligne, testées par de vraies restaurations. C'est ce qui transforme la décision de ne pas payer en conclusion logique plutôt qu'en pari, comme le décrit notre article sur le plan de continuité qui survit à une cyberattaque.
La question pour le conseil
Le fait que Gunra soit devenu un service loué à des affiliés change la question à poser. Il ne s'agit plus de savoir si votre organisation intéresse un groupe criminel précis, mais si elle présente une ouverture repérable par un balayage automatisé. La question tient donc en une phrase : « combien d'équipements avons-nous exposés à Internet, quel est le plus ancien correctif non appliqué parmi eux, et qui est responsable de ce chiffre ». Une organisation qui ne peut pas répondre en une journée n'a pas un problème technique, elle a un angle mort de gouvernance.
Où FortaRisks intervient
Le module Surface d'attaque externe de FortaRisks découvre en continu ce que votre organisation expose réellement à Internet, y compris les actifs que personne ne déclare, et le module Renseignement sur les menaces croise ces expositions avec l'exploitation observée sur le terrain, pour que la file de correctifs suive le risque réel. Pour situer votre exposition en quelques minutes, notre score de risque cyber gratuit donne un point de départ chiffré, présentable à un comité de direction.