Gunra fidye yazılımı, internetten erişilebilen Schneider Electric ve Fortinet ürünlerindeki güvenlik açıklarını kullanarak kurum ağlarına ilk erişimi sağlıyor. Hedefte sağlık, kamu, finans, devlet hizmetleri ile profesyonel ve kâr amacı gütmeyen kuruluşlar bulunuyor; kampanya dünya genelinde kritik altyapı sektörlerini vuruyor.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nda (CISA) görev yapan geçici İcra Yardımcı Direktörü Chris Butera, Gunra’nın ABD ve uluslararası kuruluşlarda kesinti ve zarara yol açan fidye yazılımı eğiliminin bir başka varyantı olduğunu söyledi. Kurumun uyarısında, saldırıların veriyi önce dışarı aktarıp ardından şifreleyerek baskıyı artıran çift aşamalı bir şantaj modeline dayandığı aktarıldı.
Saldırganların giriş için kullandığı açıklar arasında Schneider Electric PowerLogic P5 üzerindeki CVE-2024-5559 ile Fortinet FortiOS ve FortiProxy cihazlarını etkileyen CVE-2025-24472 yer alıyor. Zafiyetler internetten erişilebilen sistemlerde istismar edildikten sonra Gunra yükü devreye sokuluyor. İlgili kayıtlar için NVD bağlantıları şöyle: CVE-2024-5559 ve CVE-2025-24472.
Kurbanlar beş ila yedi gün içinde ödeme yapmazsa çalınan verilerin sızıntı sitesinde yayımlandığı belirtiliyor. Ransomware.Live verilerine göre Gunra, Nisan 2025’te ortaya çıktığından bu yana 51 kurbanı listeledi. Bunların çoğu Güney Kore, Brezilya, İspanya, Tayland ve Hong Kong’dan geldi.
İsimlerin dağılımı da çarpıcı. Kayıtlara geçen hedeflerin büyük bölümü Avustralya, Doğu Asya ve Avrupa’da yer alıyor. Kanada ve ABD’den bildirilen kurban sayısı ise şimdilik üçte kaldı.
Güvenlik araştırmacısı Rakesh Krishnan’ın geçen yıl yayımladığı incelemeye göre grup, hedeflere kötü amaçlı içerik ulaştırmak için ana saldırı vektörü olarak oltalama e-postalarına yaslanıyor. Aynı operasyonlarda WhatsApp temalı bir sohbet paneli üzerinden pazarlık yürüttükleri de saptandı. Krishnan, grubun Salsa20 ve ChaCha20 gibi akış şifreleriyle çok büyük dosyaları, 9 terabaite kadar, kısa sürede şifreleyebildiğini yazdı.
Conti kökenli operasyonun ocak 2026’da karanlık ağ forumlarında resmî bir RaaS, yani fidye yazılımı hizmeti ortağı programı başlattığı da bildirildi. Bu program, iş ortaklarına yönetim paneli, yapılandırılabilir fidye yazılımı oluşturucu, çapraz platform kilitleyici yükler ve ayrıntılı ortak dokümantasyonu sağlıyor.
Grubun hem Windows hem Linux sürümleri bulunuyor. Ancak Breakglass Intelligence’ın mart 2026’da yayımladığı analiz, Linux derlemelerinde “felaket düzeyinde” bir kriptografik zayıflık buldu ve bunun şifreleme anahtarının geri kazanılmasını, dolayısıyla dosyalara yeniden erişim sağlanmasını mümkün kıldığını ortaya koydu.
ABD Federal Soruşturma Bürosu’na göre Gunra, faaliyetlerini genişletmek için Golden Community gibi yeni marka adları da kullanıyor. Aynı zamanda sızma testçileri ve etik hackerları, ilk erişim aracı olarak çalışmaları için devşirmeye yöneliyor. Bu kişilere kurumsal ağa erişim karşılığında fidye gelirinden pay teklif ediliyor.
Saldırı zincirinde yanal hareket için Impacket kütüphanesindeki psexec.py ve smbclient.py araçları kullanılıyor. Bu araçlar SMB protokolü üzerinden bir sistemden diğerine geçiş için iş görüyor; güvenlik ekipleri aynı araçları kendi ağlarındaki zayıf noktaları test etmek için meşru denetimlerde de kullanabiliyor. Impacket içindeki secretsdump.py ise ele geçirilmiş etki alanı denetleyicilerinden kimlik bilgisi dökümü almak ve NTDS dosyasındaki parola karmalarını çıkarmak için devreye giriyor.
Grubun izlerini kapatmak için sistem ve ağ erişim günlüklerini sildiği, komut geçmişini temizlediği ve faaliyetlerini çoğunlukla gece 22.00 ile sabah 06.00 arasında yürüttüğü biliniyor. Microsoft OneDrive ve SharePoint’ten veri sızdırma işlemi main.exe adlı yürütülebilir dosya ile gerçekleştiriliyor.
Bazı vakalarda saldırganların terabaytlarca veriyi sıkıştırılmış arşivler halinde hazırlayıp MEGA dosya paylaşım servisine aktardığı görüldü. Ayrıca iş açısından kritik belgelerin yanında, BT personeline ait sanal masaüstü altyapısı, yani VDI ortamlarına bağlanıldığı ve sistem ile ağ yapılandırma bilgileri içeren hassas dökümanların toplandığı aktarıldı.
CISA, Gunra aktörlerinin sistem erişim kontrol sunucusundan çalınan kurumsal sunucu kimlik bilgilerini kullanarak fidye yazılımını dağıttığını ve veritabanı sunucuları ile NAS, yani ağa bağlı depolama sistemleri gibi kritik varlıkları şifrelediğini bildirdi.
Güney Kore Ulusal Polis Teşkilatı’nın ortaya çıkardığı bir vakada saldırganların, SSL-VPN cihazındaki trafik kontrol işlevini değiştirerek kurumsal VDI doğrulama portalına giriş yapan kullanıcıların kimlik bilgileri ve oturum verilerini araya girip yakaladığı belirtildi. Ele geçirilen oturum çerezleri daha sonra oturum kaçırma saldırılarında kullanıldı ve saldırganlar kendilerini meşru kullanıcı gibi göstererek iç ağa girdi.
Çok faktörlü kimlik doğrulamayı aşmak için de kurumsal VDI doğrulama portalı sunucusundaki kimlik doğrulama işlem dosyalarıyla oynandığı, böylece Gunra’nın belirlediği özel bir tek kullanımlık parola değerinin girilmesi halinde girişin başarılı sayıldığı aktarıldı.
İşlenen diğer davranışlar arasında, SSL-VPN cihazında varsayılan kimlik bilgileriyle yönetici hesabına erişip ardından saldırgan kontrollü bir sunucudan OpenSSH indirmek, böylece ele geçirilen sistemler arasında bağlantı kurup kalıcılık sağlamak yer alıyor. Ayrıca SSL-VPN yönetim web konsolunda bulunan ve hem internete hem iç kurumsal ağa erişimi olan kullanılmayan bir hesabın yapılandırmasının değiştirilerek zorunlu parola yenileme adımının atlandığı, hesabın sonraki işlemler için boşaltıldığı da kayda geçti.
Bir başka vakada, sanal masaüstünden SSH üzerinden Hiware sistem erişim kontrol sunucusuna girildiği ve sunucuda saklanan simetrik şifreleme anahtarının çalındığı anlatıldı. Bu anahtar, veritabanında tutulan kurumsal sunucu hesap parolalarını çözmek ve tüm kurumsal sunucularla ilişkili kimlik bilgilerini dökmek için kullanıldı.
Fidye yazılımı yüklenmeden önce ve yüklendikten sonra, hem ana veri merkezinde hem de felaket kurtarma merkezindeki yedekleme altyapısında tutulan yedeklerin ve arşiv verilerinin silindiği de tespit edilen adımlar arasında yer alıyor. Bu yaklaşım, saldırganların şifreleme sonrasında geri dönüş ihtimalini azaltmak için önce kurtarma kaynaklarını yok etmeye çalıştığını gösteriyor.
Gelişmeler, Güney Kore’nin 2025’ten 2026’nın ilk yarısına uzanan bir siber kampanya hakkında yayımladığı son uyarıyla aynı döneme denk geldi. Uyarıda, adı açıklanmayan devlet destekli bir tehdidin, kimlik avı ve watering hole teknikleriyle kurbanları kötü amaçlı URL’lere yönlendirip bilinmeyen bir finansal güvenlik yazılımındaki açıkları kullandığı belirtildi.
Aynı kampanyadaki bazı olaylarda, finansal güvenlik yazılımındaki aynı açıkların Gunra fidye yazılımını dağıtmak ve kurumsal bilgilere sızmak için de kullanıldığı ifade edildi. ENKI’nin değerlendirmesine göre bazı watering hole saldırıları, AnySign4PC içindeki sıfırıncı gün açığını da kullandı; imza yazılımı yüklü sistemler, açığa sahip sayfaya girildiğinde kötü amaçlı yazılımı alıp çalıştırdı.
Bu kampanyada dağıtılan yükler arasında Struggle, diğer adıyla SIGNBT 3.0, ve Brandoor, diğer adıyla COPPERHEDGE, de yer aldı. Her iki araç da Lazarus Grubu ile ilişkilendiriliyor. AhnLab, bu ortaklıkların devlet destekli tehdit grubu ile Gunra ekibinin hedeflerinin farklı olmasına rağmen bazı teknikleri, araçları ve altyapıyı paylaşmış ya da sınırlı ölçüde birlikte çalışmış olabileceğine işaret ettiğini yazdı.
Gunra’nın çıkış noktası net değil. Ancak Kuzey Kore bağlantılı bir devlet grubu ile fidye yazılımı aktörü arasındaki iş birliği yeni değil. Palo Alto Networks Unit 42, Ekim 2024’te Lazarus alt kümesi Andariel’in Play fidye yazılımı ekibiyle birlikte hareket ettiğini açıklamıştı. Andariel’in geçmişte SHATTEREDGLASS, Maui ve H0lyGh0st gibi özel fidye ailelerini de kullandığı biliniyor.
Lazarus Grubu ve onunla bağlantılı Moonstone Sleet, diğer adıyla Storm-1789 adlı sızma kümesinin de en az Eylül 2025’ten bu yana Güney Kore ve Orta Doğu’daki kuruluşları Qilin ve Medusa fidye yazılımlarıyla hedef aldığı kayda geçti.
Yetkililer, Gunra’ya karşı koruma için işletim sistemlerinin, yazılımların ve firmware’in güncel tutulmasını, internetten erişilebilen sistemlerde bilinen istismar edilen açıkların önce kapatılmasını, ağ segmentasyonunun uygulanmasını ve yedeklerin değiştirilemez biçimde, fiziksel olarak ayrı bir konumda saklanmasını tavsiye ediyor.