AS dan Korea Selatan Peringatkan Serangan Ransomware Gunra yang Menargetkan Instansi Pemerintah
Badan keamanan Amerika Serikat dan Korea Selatan memperingatkan organisasi pemerintah serta infrastruktur kritis di berbagai negara mengenai meningkatnya ancaman ransomware Gunra.
Dalam peringatan bersama yang diterbitkan pada Senin, kedua negara menyebut Gunra sebagai ransomware yang telah digunakan untuk menyerang berbagai sektor, termasuk layanan kesehatan dan kesehatan publik, layanan keuangan, serta organisasi pemerintahan.
Gunra pertama kali muncul pada April 2025 dan dikenal sebagai ransomware double-extortion. Malware tersebut dikembangkan berdasarkan source code Conti yang bocor ke publik pada Februari 2022.
Dalam skema double-extortion, pelaku tidak hanya mengenkripsi data korban, tetapi juga mencuri informasi sebelum melakukan enkripsi. Data yang dicuri kemudian dapat digunakan sebagai tekanan tambahan untuk memaksa korban membayar tebusan.
Memanfaatkan Kerentanan Fortinet untuk Masuk ke Jaringan
Salah satu teknik yang digunakan kelompok Gunra adalah mengeksploitasi perangkat Fortinet yang terhubung langsung ke internet untuk mendapatkan akses awal ke jaringan korban.
Pelaku diketahui mengeksploitasi dua kerentanan autentikasi kritis, yaitu CVE-2024-55591 dan CVE-2025-24472, yang memengaruhi FortiOS dan FortiProxy.
Kedua kerentanan tersebut dapat menjadi titik masuk berbahaya bagi organisasi yang masih menjalankan versi perangkat lunak rentan. Karena perangkat seperti firewall dan VPN gateway biasanya berada di perimeter jaringan, kompromi terhadap perangkat tersebut dapat memberikan penyerang akses strategis untuk melanjutkan serangan ke sistem internal.
Gunra juga memanfaatkan kelemahan terkait credential exposure dan kontrol akses Secure Shell (SSH) pada VPN gateway yang dapat diakses melalui internet.
Melalui teknik tersebut, penyerang berupaya mendapatkan remote access ke sistem korban dan kemudian memperluas kendali di dalam jaringan.
Target Gunra Semakin Luas
Pada tahap awal aktivitasnya, Gunra lebih banyak berfokus pada lingkungan Windows. Namun, operasi kelompok tersebut berkembang setelah mereka memperkenalkan varian ransomware untuk Linux pada pertengahan 2025.
Perubahan tersebut memungkinkan Gunra memperluas target ke lingkungan server dan infrastruktur yang menggunakan Linux, sekaligus menunjukkan bahwa kelompok ransomware tersebut semakin berorientasi pada serangan lintas platform.
Target Gunra mencakup organisasi dari berbagai sektor. Selain instansi pemerintah, kelompok ini juga diketahui menyasar sektor kesehatan, layanan publik, keuangan, dan organisasi lain yang memiliki infrastruktur penting.
Perluasan platform dan sektor target membuat Gunra menjadi ancaman yang lebih relevan bagi organisasi dengan lingkungan IT yang heterogen.
Gunra Beralih ke Model Ransomware-as-a-Service
Aktivitas Gunra semakin berkembang pada Januari 2026 setelah kelompok tersebut mulai menjalankan platform ransomware-as-a-service (RaaS).
Melalui model ini, operator ransomware dapat bekerja sama dengan affiliate yang bertugas memperoleh akses ke jaringan korban dan menjalankan serangan. Pembagian peran tersebut memungkinkan kelompok utama memperluas operasi tanpa harus menangani seluruh tahapan serangan secara langsung.
Platform Gunra menyediakan sejumlah komponen bagi affiliate, termasuk management panel, ransomware builder yang dapat dikonfigurasi, payload ransomware lintas platform, serta dokumentasi operasional.
Perkembangan tersebut membuat Gunra lebih menyerupai bisnis kejahatan siber terorganisasi dibandingkan operasi ransomware yang dijalankan oleh kelompok kecil secara mandiri.
Merekrut Initial Access Broker
Ekspansi Gunra juga melibatkan perekrutan initial access broker atau pihak yang secara khusus bertugas mendapatkan akses awal ke jaringan perusahaan.
Kelompok tersebut bahkan menawarkan pembagian hasil tebusan kepada penetration tester dan ethical hacker yang bersedia menyediakan akses ke jaringan enterprise.
Strategi ini memungkinkan Gunra memanfaatkan pihak eksternal untuk mencari kelemahan pada target, memperoleh kredensial, atau menemukan jalur masuk sebelum ransomware dijalankan.
Gunra juga mulai menggunakan sejumlah identitas dan branding baru untuk mendukung ekspansi tersebut. Salah satu nama yang dikaitkan dengan operasi terbaru mereka adalah Golden Community.
Model ini meningkatkan risiko bagi organisasi karena serangan dapat dimulai dari pihak ketiga yang telah berhasil memperoleh akses ke jaringan internal.
Pelaku Menghubungi Manajemen Korban
Selain melakukan serangan terhadap infrastruktur korban, operator Gunra juga mencoba berkomunikasi langsung dengan manajemen perusahaan yang menjadi target.
Pelaku mengirim email kepada pihak manajemen untuk meminta pembayaran ransom. Namun, upaya tersebut sejauh ini dilaporkan hanya menghasilkan keberhasilan yang terbatas.
Pendekatan langsung kepada jajaran manajemen menunjukkan bahwa kelompok ransomware semakin mengandalkan tekanan bisnis dan operasional, bukan hanya kemampuan teknis untuk mengenkripsi sistem.
Dengan menggabungkan pencurian data, enkripsi sistem, dan komunikasi langsung dengan pihak pengambil keputusan, pelaku dapat meningkatkan tekanan terhadap organisasi yang menjadi korban.
AS dan Korea Selatan Minta Organisasi Segera Memperkuat Pertahanan
Pemerintah Amerika Serikat dan Korea Selatan meminta administrator jaringan segera melakukan patching terhadap kerentanan yang telah diketahui dieksploitasi pada sistem yang terhubung ke internet.
Sistem seperti VPN gateway, firewall, remote access infrastructure, dan perangkat perimeter lainnya menjadi prioritas karena dapat menjadi jalur masuk langsung bagi penyerang.
Organisasi juga disarankan menerapkan network segmentation untuk membatasi kemampuan penyerang melakukan lateral movement setelah berhasil masuk ke jaringan.
Segmentasi yang tepat dapat membantu mencegah kompromi terhadap satu sistem berkembang menjadi serangan terhadap seluruh lingkungan enterprise.
Selain itu, organisasi perlu memiliki backup offline yang tidak dapat diakses secara langsung dari jaringan produksi. Backup semacam ini menjadi lapisan perlindungan penting ketika ransomware berhasil mengenkripsi atau menghapus sistem utama maupun backup yang terhubung ke jaringan.
Dikaitkan dengan Lazarus Group
Peringatan terbaru mengenai Gunra muncul tidak lama setelah laporan keamanan dari Korea Selatan mengungkap dugaan hubungan antara kelompok ransomware tersebut dengan Lazarus Group.
Lazarus merupakan kelompok peretas yang didukung negara dan diketahui terkait dengan Korea Utara. Temuan tersebut menambah dimensi geopolitik terhadap aktivitas Gunra, meskipun atribusi terhadap kelompok ransomware tetap perlu dilihat berdasarkan bukti teknis dan intelijen yang tersedia.
Perkembangan Gunra sepanjang 2025 hingga 2026 menunjukkan bagaimana kelompok ransomware dapat berevolusi dengan cepat. Dari ransomware yang awalnya berfokus pada Windows, kelompok tersebut berkembang menjadi operasi lintas platform dengan model RaaS, affiliate, serta jaringan initial access broker.
Bagi organisasi pemerintah dan operator infrastruktur kritis, kombinasi eksploitasi perangkat perimeter, pencurian kredensial, lateral movement, serta ransomware lintas platform membuat pengamanan akses eksternal dan segmentasi jaringan menjadi semakin penting.
Sumber: CISA dan lembaga keamanan Korea Selatan
