Badan keamanan siber Amerika Serikat dan Korea Selatan mengeluarkan peringatan bersama (AA26-222A, 10 Agustus 2026) tentang ransomware Gunra yang mengincar sektor infrastruktur kritis. Kelompok ini beroperasi sebagai ransomware-as-a-service berbasis kode sumber Conti yang bocor, muncul sejak April 2025, dan telah mencantumkan sedikitnya 51 korban di seluruh dunia.
Pintu masuk utama Gunra adalah dua celah keamanan yang sebenarnya sudah diketahui dan sudah ada perbaikannya. Pertama, CVE-2025-24472 — celah authentication bypass dengan skor CVSS 8.1 pada Fortinet FortiOS 7.0.0 hingga 7.0.16 dan FortiProxy — yang memungkinkan penyerang memperoleh hak super-admin dari jarak jauh. Kedua, CVE-2024-5559 (CVSS 6.1) pada relay proteksi Schneider Electric PowerLogic P5 dengan firmware v01.500.104 ke bawah. Penyerang mengandalkan banyak organisasi yang belum memasang pembaruan tersebut.
Setelah berhasil masuk, pelaku tidak langsung mengenkripsi. Mereka mencuri data sensitif, menghapus cadangan di lokasi utama maupun disaster recovery, lalu mengenkripsi sistem produksi — pola pemerasan ganda yang menghilangkan opsi pemulihan tanpa membayar. Korban yang menolak membayar dalam lima hingga tujuh hari akan dipublikasikan datanya di situs kebocoran. Sektor yang disasar meliputi layanan kesehatan, jasa keuangan, pemerintahan, dan manufaktur kritis.
Langkah mitigasi yang direkomendasikan adalah segera memperbarui FortiOS ke versi 7.0.17 atau lebih baru, FortiProxy ke 7.0.20 atau 7.2.13 atau lebih baru, serta firmware relay Schneider Electric. Selain itu, simpan backup secara offline atau immutable, ganti kredensial default pada perangkat yang menghadap internet, dan terapkan arsitektur Zero Trust agar satu perangkat yang rentan tidak membuka jalan ke seluruh jaringan.
Sumber: https://idsirtii.bssn.go.id/news-events/news/ransomware-gunra-eksploitasi-celah-fortinet-dan-schneider-electric-untuk-bobol-jaringan-kritis
