Gunra non è più solo un ransomware da encryption: è diventato un servizio criminale che compra accessi iniziali e si appoggia a dispositivi esposti verso Internet per entrare nelle reti. Il punto cieco non è il binary in sé, ma la catena di accesso e di estorsione che lo circonda, con impatto su ambienti che espongono VPN, firewall e RDP.
L’avviso congiunto di agenzie USA e sudcoreane descrive un gruppo che recluta penetration tester e ethical hacker come initial access broker, poi passa a double extortion con un sito di leak e un portale Tor di negoziazione. Gunra ha colpito più settori e aree geografiche, e l’uso di CVE note su sistemi edge mostra che l’ingresso avviene spesso prima del payload.
Per chi difende reti esposte, questo sposta l’attenzione dal solo contenimento del ransomware alla difesa del perimetro e degli accessi brokerati. La variante Linux, se davvero affetta da un difetto fatale, può ridurne l’efficacia su host Linux; il modello RaaS e l’abuso degli edge, però, restano il segnale da leggere come tendenza in crescita.