Badan keamanan siber dan intelijen Amerika Serikat — termasuk CISA dan FBI — bersama Korea Selatan mengeluarkan peringatan bersama soal kelompok ransomware Gunra yang aktif menargetkan sektor infrastruktur kritis, layanan kesehatan, dan pemerintahan di seluruh dunia.

Gunra, yang juga dikenal sebagai Golden Community, pertama kali teridentifikasi pada 2025 dan berkembang cepat menjadi kelompok Ransomware-as-a-Service (RaaS) pada 2026. Kelompok ini memakai pemerasan ganda: mencuri data sensitif korban sebelum mengenkripsi sistem, lalu memaksa korban membayar tebusan.

Untuk akses awal, operator Gunra aktif memburu celah pada perangkat edge dan Operational Technology (OT), bukan sekadar mengandalkan phishing. Mereka mengeksploitasi celah FortiOS dan FortiProxy — spesifiknya CVE-2024-55591 dan CVE-2025-24472 — untuk menembus firewall perusahaan dan bahkan mem-bypass autentikasi multi-faktor (MFA). Selain itu, mereka menargetkan kerentanan pada Schneider Electric PowerLogic P5 untuk berpijak di dalam jaringan, lalu mengenkripsi database serta perangkat keras jaringan.

Setelah masuk, operator bergerak cepat: mencuri data dalam jumlah masif yang terkadang mencapai puluhan terabyte dari server dan cloud, bergerak lateral lewat SMB dan RDP dengan teknik Pass-the-Hash dan credential dumping dari NTDS Active Directory, menghancurkan backup lokal maupun jaringan sebelum enkripsi, lalu mengenkripsi file dengan ekstensi .ENCRT dan meninggalkan catatan tebusan bernama R3ADM3 di setiap direktori yang terdampak.

Organisasi diminta segera menambal perangkat Fortinet dan Schneider Electric, memastikan tidak ada appliance manajemen jaringan yang terekspos langsung ke internet, memperkuat MFA administratif — misalnya dengan FIDO2 — menerapkan strategi backup 3-2-1 dengan salinan immutable dan offline, serta mewaspadai tanda peretasan seperti akses tidak wajar ke lsass.exe, pembuatan akun administratif baru, dan lalu lintas SMB/RDP yang tidak biasa antar-server.

Sumber: https://idsirtii.bssn.go.id/news-events/news/ransomware-gunra-eksploitasi-celah-fortinet-dan-schneider-electric-untuk-bobol-jaringan-kritis