Gunra ransomware guruhi qisqa vaqt ichida oddiy ransomware oilasidan yirik tashkilotlarning axborot infratuzilmasiga jiddiy xavf tug‘dirayotgan, ko‘p bosqichli va professional kiberjinoyat operatsiyasiga aylandi. Uning hujumlarida asosiy maqsad faqat fayllarni shifrlash emas, balki tashkilotning tashqi tarmoq qurilmalaridan boshlab ichki virtual infratuzilma, Active Directory, administrator hisoblari va zaxira nusxalarigacha bo‘lgan butun raqamli muhitni nazorat ostiga olishdan iborat.
2026-yil avgust oyida AQSh va Janubiy Koreya kiberxavfsizlik idoralari Gunra faoliyati bo‘yicha ogohlantirishlar bergani tahdidning ko‘lami oshayotganini ko‘rsatmoqda. Hozirgi kampaniyalarda guruh davlat idoralari, sog‘liqni saqlash, moliya, ishlab chiqarish, transport, kommunal xizmatlar va boshqa muhim infratuzilma tashkilotlariga qarshi hujumlar uyushtirmoqda.
Gunra qanday shakllandi?
Gunra ransomware dastlab 2025-yil aprelida Windows muhitlarida kuzatilgan. Keyinchalik guruh o‘z imkoniyatlarini Linux tizimlariga ham kengaytirdi. 2025-yil iyulida aniqlangan Linux varianti ransomware’ning ko‘p platformali hujumlarga moslashayotganini ko‘rsatdi. Ushbu versiya fayllarni bir vaqtning o‘zida 100 tagacha oqimda shifrlashi, qisman shifrlashni qo‘llab-quvvatlashi va hujum parametrlarini moslashtirish imkoniyatiga ega ekani qayd etilgan.
Gunra faoliyatining yana bir muhim jihati — uning Conti ransomware bilan texnik bog‘liqligidir. Tadqiqotchilar Gunra kod va operatsion usullarida 2022-yilda sizdirilgan Conti manba kodining ta’sirini ko‘rmoqda. 2026-yilda esa guruh Ransomware-as-a-Service (RaaS) modelini yanada rivojlantirib, ransomware vositalari, boshqaruv paneli va tayyor shifrlovchi modullarni hamkorlarga taqdim eta boshlagan. Ayrim manbalarda Gunra bilan bog‘liq yangi nomlardan biri sifatida Golden Community ham tilga olinadi.
Bu model hujumlarni yanada xavfli qiladi. Chunki ransomware’ni ishlab chiqish uchun yuqori malakaga ega bo‘lmagan jinoyatchilar ham tayyor infratuzilmadan foydalanib, alohida tashkilotlarga hujum uyushtirishi mumkin.
Hujum oddiy fayl shifrlashdan boshlanmaydi
Gunra hujumlarining eng xavfli tomoni shundaki, ransomware odatda tarmoqqa kirgan zahoti ishga tushirilmaydi. Hujumchilar avval tashkilotning tashqi chegarasini buzadi, keyin ichki muhitni o‘rganadi, imtiyozlarni oshiradi, hisob ma’lumotlarini qo‘lga kiritadi va shundan so‘ng eng muhim tizimlarga yetib boradi.
Kuzatilgan hujumlarda dastlabki kirish uchun internetga ochiq firewall, VPN va boshqa chekka tarmoq qurilmalaridagi zaifliklardan foydalanilgan. Jumladan, Gunra faoliyati bilan CVE-2024-55591 va CVE-2025-24472 kabi FortiOS va FortiProxy’dagi autentifikatsiyani chetlab o‘tish zaifliklari bog‘langan.
CVE-2024-55591 FortiOS va FortiProxy’da autentifikatsiyani chetlab o‘tish imkonini beruvchi kritik zaiflik bo‘lib, masofadan turib hujumchiga superadministrator huquqlarini qo‘lga kiritish imkonini berishi mumkin. NIST ushbu zaiflikni CISA’ning Known Exploited Vulnerabilities (KEV) katalogiga kiritgan.
CVE-2025-24472 esa Security Fabric yoqilgan muhitlarda ma’lum shartlar bajarilganda masofaviy, autentifikatsiyasiz hujumchiga downstream qurilmada superadministrator huquqlarini egallash imkonini berishi mumkin.
Shu sababli internetga ochiq firewall yoki VPN qurilmasi oddiy tarmoq komponenti emas, balki butun korporativ infratuzilmaga olib kiruvchi asosiy darvozaga aylanishi mumkin.
O‘g‘irlangan sessiya — ko‘rinmas kalit
Gunra operatsiyalarida alohida e’tibor talab qiladigan jihat — o‘g‘irlangan sessiya ma’lumotlari va mavjud administrator hisoblaridan foydalanish.
Hujumchilar ayrim hollarda yangi zararli dastur o‘rnatishdan ko‘ra, tashkilotda allaqachon mavjud bo‘lgan qonuniy masofaviy boshqaruv vositalari va hisob qaydnomalaridan foydalanishni afzal ko‘radi. Bunday yondashuv hujumni an’anaviy antivirus yoki imzo asosidagi himoya vositalari uchun sezishni qiyinlashtiradi.
Masalan, administrator ish stansiyasiga kirishdan keyin hujumchilar SSL-VPN boshqaruv konsoliga yetib borgan va foydalanilmayotgan hisob qaydnomasining konfiguratsiyasini o‘zgartirgan. Natijada mazkur hisob uchun majburiy parol almashtirish talabi bekor qilingan.
Tashqaridan qaraganda bu kichik konfiguratsiya o‘zgarishidek ko‘rinishi mumkin. Aslida esa u hujumchiga ichki tarmoqqa qayta-qayta kirish imkonini beruvchi barqaror kirish nuqtasini yaratib beradi.
Bu holat tashkilotlar uchun muhim saboqdir: xavfsizlik monitoringida faqat yangi administrator hisoblari yaratilishini emas, balki mavjud hisoblarning parol siyosati, autentifikatsiya talablari, sessiyalari va imtiyozlaridagi o‘zgarishlarni ham kuzatish zarur.
RDP orqali ichki tarmoqqa chuqur kirib borish
Gunra hujumlarida Remote Desktop Protocol (RDP) alohida ahamiyatga ega.
Hujumchilar o‘g‘irlangan sessiya ma’lumotlaridan foydalanib, tashkilotning Virtual Desktop Infrastructure (VDI) muhitiga kirishi, undan esa VDI autentifikatsiya serverlari, Active Directory va IT xodimlarining virtual ish stansiyalariga yetib borishi mumkin.
Bu juda xavfli bosqichdir.
Active Directory (AD) ko‘plab Windows asosidagi korporativ tarmoqlarning markaziy boshqaruv mexanizmi bo‘lib, unda foydalanuvchilar, kompyuterlar, guruhlar, xizmatlar va ularning huquqlari haqidagi ma’lumotlar saqlanadi. Hujumchi AD muhitini nazorat qila boshlasa, alohida bir kompyuterdagi hujum tezda butun tashkilot miqyosidagi muammoga aylanishi mumkin.
Gunra bilan bog‘liq kuzatuvlarda hujumchilar IT xodimlarining VDI muhitlariga ulanib, tizim va tarmoq konfiguratsiyasiga oid maxfiy hujjatlarni yig‘gani qayd etilgan.
Shunday qilib, hujumning mantiqiy zanjiri quyidagicha ko‘rinishga ega:
Internetga ochiq qurilma → administrator huquqi → VPN → o‘g‘irlangan sessiya → VDI → RDP → Active Directory → imtiyozlarni kengaytirish → ma’lumotlarni o‘g‘irlash → ransomware.
Aynan shu ketma-ketlik Gunra’ni oddiy fayl shifrlovchi dasturdan ko‘ra ancha xavfli tahdidga aylantiradi.
Impacket, SMB va lateral harakat
Ichki tarmoqqa kirgach, Gunra operatorlari bir kompyuter bilan cheklanib qolmaydi. Ular tarmoq bo‘ylab lateral movement, ya’ni yonlama harakatni amalga oshiradi.
Buning uchun hujumlarda Impacket to‘plamidagi vositalar, xususan psexec.py
va smbclient.py
kabi skriptlar qo‘llangani qayd etilgan. Ular SMB orqali boshqa tizimlarga ulanish va masofadan boshqarish jarayonlarida foydalanilishi mumkin.
Shuningdek, ayrim holatlarda OpenSSH tunnellaridan foydalanish kuzatilgan. Bu esa hujumchilarga ichki tarmoqdagi tizimlar o‘rtasida aloqa o‘rnatish va o‘z faoliyatini odatiy ma’muriy trafik orasiga yashirish imkonini beradi.
Domain Controller’lar buzilganidan keyin esa hujumchilar parol xeshlarini olishga urinishi mumkin. Bunday ma’lumotlar keyinchalik Pass-the-Hash yoki Pass-the-Ticket kabi usullar orqali boshqa tizimlarga kirishda ishlatilishi ehtimolini oshiradi.
Natijada bitta foydalanuvchi hisobining buzilishi butun domen bo‘ylab boshqa hisoblar va tizimlarning ham xavf ostida qolishiga sabab bo‘ladi.
MFA ham chetlab o‘tilishi mumkin
Gunra faoliyatidagi yana bir xavotirli jihat — ko‘p faktorli autentifikatsiyani (MFA) to‘g‘ridan-to‘g‘ri buzishdan ko‘ra, allaqachon autentifikatsiyadan o‘tgan sessiya yoki autentifikatsiya mexanizmining o‘zini manipulyatsiya qilishga urinishdir.
Kuzatilgan holatlarda VDI portalining autentifikatsiya fayllari o‘zgartirilib, hujumchi tanlagan bir martalik parolning qayta ishlashiga sharoit yaratilgani haqida ma’lumotlar mavjud.
Bu yerda muhim xulosa shuki, MFA mavjudligi o‘z-o‘zidan mutlaq himoya degani emas. Agar hujumchi sessiyani o‘g‘irlasa yoki autentifikatsiyadan keyingi jarayonni buzsa, oddiy parolni himoyalashga qaratilgan mexanizm kutilgan samarani bermasligi mumkin.
Shuning uchun tashkilotlar imkon qadar phishingga chidamli MFA, sessiyalarni qisqa muddatli boshqarish, qurilmaga bog‘langan autentifikatsiya va administrator hisoblari uchun kuchaytirilgan nazorat mexanizmlaridan foydalanishi lozim.
Ma’lumotlarni o‘g‘irlash — shifrlashdan oldingi asosiy bosqich
Gunra hujumining asosiy maqsadi faqat tizimlarni ishlamay qoladigan holatga keltirish emas.
Guruh ikki tomonlama tovlamachilik — double extortion modelidan foydalanadi. Avval maxfiy ma’lumotlar o‘g‘irlanadi, keyin tizimlar shifrlanadi. Agar tashkilot to‘lovni amalga oshirmasa, o‘g‘irlangan ma’lumotlarni oshkor qilish yoki sotish bilan tahdid qilinadi.
Hujumchilar biznes hujjatlari, ma’lumotlar bazalari, shaxsga doir ma’lumotlar va ichki elektron pochta yozishmalarini izlagani qayd etilgan.
Ayrim hujumlarda ma’lumotlar hajmi o‘nlab terabaytga yetgan. 2025-yilda Dubaydagi shifoxonalardan biriga aloqador hodisada Gunra taxminan 40 TB ma’lumotni qo‘lga kiritgani haqida xabarlar tarqalgan. Bu raqam mustaqil ravishda to‘liq tasdiqlangan zarar miqdori sifatida emas, balki tahdid guruhi faoliyati haqidagi xabar qilingan ko‘rsatkich sifatida qaralishi kerak.
Ma’lumotlarni yig‘ish va chiqarib ketishda RClone, FileZilla, arxivlash dasturlari hamda bulutli xizmatlardan foydalanish kabi usullar hujumchilar faoliyatini oddiy ma’muriy jarayonlarga o‘xshatib ko‘rsatishi mumkin.
Shu sababli xavfsizlik monitoringi faqat “zararli fayl ishga tushdimi?” degan savol bilan cheklanmasligi kerak. Qaysi foydalanuvchi qancha ma’lumotni qayerga va qanday tezlikda uzatayapti? — degan savol ham doimiy nazoratda bo‘lishi lozim.
Gunra shifrlash jarayonini ham tezlashtirgan
Ma’lumotlar o‘g‘irlangach, hujumning eng vayronkor bosqichi boshlanadi — shifrlash.
Gunra’ning Windows varianti fayllarni parallel ravishda qayta ishlaydi va ChaCha20 hamda RSA-4096 kabi kriptografik mexanizmlardan foydalanadi. Linux varianti esa yanada moslashuvchan bo‘lib, 100 tagacha parallel shifrlash oqimini qo‘llab-quvvatlashi, qaysi fayl turlarini shifrlashni tanlash va faylning faqat ma’lum qismini shifrlash imkoniyatini berishi aniqlangan.
Linux varianti fayllarga .ENCRT
kengaytmasini qo‘shishi bilan ham ajralib turadi. Tadqiqotlarda bu versiya ayrim hollarda Windows variantidan farqli ravishda tizimning o‘zida odatiy ransom note qoldirmasligi qayd etilgan.
Bunday yondashuv hujumchilarga shifrlash jarayonini tezlashtirish va aniqlanish oynasini qisqartirish imkonini beradi.
Eng og‘riqli nishon — zaxira nusxalar
Ransomware hujumining muvaffaqiyati ko‘pincha shifrlangan fayllar soniga emas, balki tashkilotning qanchalik tez tiklana olishiga bog‘liq.
Shu sababli Gunra operatorlari ham zaxira nusxalarini yo‘q qilishga yoki ularni foydalanib bo‘lmaydigan holatga keltirishga urinishi mumkin. Ayrim hodisalarda asosiy infratuzilma bilan bir qatorda falokatdan keyingi tiklash (disaster recovery) muhitidagi ma’lumotlar ham nishonga olingani haqida ma’lumotlar mavjud.
Agar hujumchi bir vaqtning o‘zida ishlab turgan tizimlar va zaxira nusxalarini shifrlasa, tashkilotning tiklanish imkoniyati keskin kamayadi.
Shu bois zaxira nusxasi oddiy “backup” emas, balki ransomware’ga qarshi mudofaaning eng muhim qatlamlaridan biri sifatida ko‘rilishi kerak. CISA, FBI va NSA ham ransomware’ga qarshi kurashda offline, o‘zgartirib bo‘lmaydigan (immutable) zaxira nusxalar, tarmoq segmentatsiyasi, MFA va muntazam tiklash sinovlarini tavsiya qiladi.
Gunra faoliyatidan qanday xulosa chiqarish mumkin?
Gunra hujumlari zamonaviy ransomware qanday o‘zgarayotganini yaqqol ko‘rsatmoqda. Hozirgi ransomware operatsiyasida zararli faylning o‘zi ko‘pincha hujumning oxirgi bosqichi, xolos.
Asosiy xavf undan ancha oldin boshlanadi:
- internetga ochiq qurilmadagi zaiflikdan foydalanish;
- administrator huquqlarini egallash;
- VPN va masofaviy xizmatlarga kirish;
- sessiyalar yoki hisob ma’lumotlarini o‘g‘irlash;
- VDI va RDP orqali ichki tarmoqqa kirish;
- Active Directory muhitini o‘rganish;
- imtiyozlarni kengaytirish;
- SMB orqali yonlama harakatlanish;
- maxfiy ma’lumotlarni o‘g‘irlash;
- zaxira nusxalarini zaiflashtirish;
- shundan keyingina ransomware’ni ishga tushirish.
Demak, tashkilot ransomware’ni faqat antivirus orqali aniqlashga harakat qilsa, u hujumning eng so‘nggi bosqichini kuzatgan bo‘ladi. Asosiy himoya esa hujumchi tarmoqqa kirganidan keyin nimalar qilayotganini aniqlashga qaratilishi kerak.
Tashkilotlar nimalarga e’tibor qaratishi kerak?
Birinchi navbatda, internetga ochiq FortiOS va FortiProxy qurilmalari to‘liq inventarizatsiya qilinib, ularning versiyalari tekshirilishi va ishlab chiqaruvchi tomonidan taqdim etilgan xavfsizlik yangilanishlari o‘rnatilishi lozim. Ayniqsa, CISA KEV katalogiga kiritilgan zaifliklarga nisbatan kechiktirilgan yangilash siyosati katta xavf tug‘diradi.
Shuningdek:
1. Internetga ochiq boshqaruv interfeyslarini kamaytirish.
Firewall, VPN va boshqa tarmoq qurilmalarining ma’muriy interfeyslarini umumiy internetdan foydalanish imkoniyati bilan qoldirmaslik, ularni ishonchli manbalar yoki maxsus boshqaruv tarmog‘i orqali cheklash kerak.
2. Administrator hisoblarini alohida himoyalash.
Administrator hisoblari uchun kuchli va noyob autentifikatsiya, phishingga chidamli MFA, minimal imtiyozlar va vaqtinchalik ma’muriy huquqlardan foydalanish maqsadga muvofiq.
3. RDP’ni nazorat ostiga olish.
RDP’ni internetga to‘g‘ridan-to‘g‘ri ochib qo‘yishdan qochish, unga kirishni VPN, bastion host yoki boshqa nazorat qilinadigan vositalar orqali amalga oshirish va barcha masofaviy ulanishlarni qayd etish zarur.
4. Active Directory’ni alohida himoya qilish.
Domain Controller’lar oddiy ish stansiyalaridan ajratilishi, administrator hisoblari oddiy foydalanuvchi hisoblaridan alohida bo‘lishi va AD’dagi imtiyozli amallar doimiy monitoring qilinishi kerak.
5. G‘ayritabiiy lateral harakatlarni aniqlash.
Bir foydalanuvchining qisqa vaqt ichida ko‘plab kompyuterlarga SMB yoki RDP orqali ulanishi, administrator huquqlarining keskin o‘zgarishi yoki odatiy bo‘lmagan vaqtda masofaviy ulanishlar xavfsizlik tizimida alohida signal sifatida ko‘rilishi lozim.
6. Ma’lumotlar chiqib ketishini kuzatish.
OneDrive, SharePoint, fayl serverlari yoki boshqa ma’lumot omborlaridan katta hajmdagi ma’lumotlarning qisqa vaqt ichida tashqi manzilga uzatilishi tekshirilishi kerak.
7. Backup’ni ransomware’dan ajratish.
Zaxira nusxalari ishlab turgan domen hisoblaridan mustaqil hisoblar bilan boshqarilishi, imkon qadar offline yoki immutable formatda saqlanishi va tiklash jarayoni muntazam sinovdan o‘tkazilishi kerak. CISA ham backup’larni alohida, segmentlangan va tiklashga tayyor holda saqlashni tavsiya qiladi.
8. Hodisaga javob berish rejasi amalda sinovdan o‘tkazilishi kerak.
Faqat qog‘ozdagi Incident Response rejasi yetarli emas. Tashkilot “administrator hisobi buzildi”, “Domain Controller shubhali faoliyat ko‘rsatmoqda” yoki “backup tizimiga hujum qilindi” kabi ssenariylarni amaliy mashg‘ulotlar orqali sinab ko‘rishi kerak.
IoC: Gunra bilan bog‘liq kuzatilgan indikatorlar
Quyidagi indikatorlar turli tahlillarda Gunra faoliyati bilan bog‘langan bo‘lib, ularni tashkilotning SIEM, EDR, XDR yoki boshqa monitoring vositalarida qo‘shimcha tekshiruv uchun ishlatish mumkin:
| Turi | Indikator | Tavsifi |
|---|---|---|
| Hisob qaydnomasi | forticloud-sync | FortiOS/FortiProxy autentifikatsiya bypass faoliyati bilan bog‘langan doimiy superadministrator hisobi sifatida qayd etilgan |
| Fayl | psexec.py | Impacket vositasi; masofaviy bajarish va lateral harakatlarda foydalanilishi mumkin |
| Fayl | smbclient.py | SMB orqali tizimlarga kirishda foydalaniladigan Impacket skripti |
| Fayl | secretsdump.py | Domain Controller’dan autentifikatsiya ma’lumotlarini olish uchun ishlatiladigan Impacket vositasi |
| Fayl | main.exe | OneDrive va SharePoint’dagi fayllarni yig‘ish bilan bog‘langan bajariluvchi fayl |
| Fayl | R3ADM3.txt | Shifrlangan kataloglarda uchrashi mumkin bo‘lgan ransom note |
| Fayl kengaytmasi | .ENCRT | Gunra Linux varianti bilan bog‘langan shifrlangan fayl kengaytmasi |
Mazkur indikatorlar mustaqil ravishda Gunra hujumi sodir bo‘lganini anglatmaydi. Masalan, Impacket vositalari tizim administratorlari va xavfsizlik mutaxassislari tomonidan qonuniy maqsadlarda ham ishlatilishi mumkin. Shu sababli IoC’larni tarmoq konteksti, foydalanuvchi faoliyati, vaqt, manba IP manzili va boshqa telemetriya bilan birgalikda tahlil qilish lozim.
Gunra ransomware’ning evolyutsiyasi bitta muhim haqiqatni ko‘rsatmoqda: zamonaviy ransomware — bu shunchaki fayllarni shifrlaydigan zararli dastur emas.
Hujumchi avval eshikni ochadi, keyin kalitlarni izlaydi. So‘ngra ichkariga kirib, tashkilotning qaysi xonalarida eng qimmat ma’lumotlar borligini aniqlaydi. Administrator hisoblarini egallaydi, Active Directory’ga yetib boradi, RDP va SMB orqali boshqa tizimlarga tarqaladi, ma’lumotlarni tashqariga olib chiqadi va nihoyat butun infratuzilmani bir vaqtning o‘zida ishdan chiqarishga urinadi.
Gunra’ning xavfi ham aynan shunda — ransomware hujumning boshlanishi emas, balki oldindan puxta tayyorlangan komprometatsiya jarayonining yakuniy bosqichidir.
Shuning uchun tashkilotlar faqat “ransomware’ni qanday to‘xtatamiz?” degan savolni emas, balki “hujumchi tarmog‘imizga kirgan dastlabki daqiqalardan boshlab uni qanday aniqlaymiz, qanday cheklaymiz va tizimlarni qanday tiklaymiz?” degan savolni ham kun tartibiga qo‘yishi kerak.
Gunra misolida esa yana bir jihat yaqqol ko‘rinadi: bitta zaif internetga ochiq qurilma butun tashkilotning raqamli infratuzilmasiga olib boruvchi eshikka aylanishi mumkin. Shu sababli zaifliklarni o‘z vaqtida bartaraf etish, administrator hisoblarini himoyalash, RDP va VPN ulanishlarini qat’iy nazorat qilish, Active Directory’ni segmentlash, shubhali sessiyalarni bekor qilish, ma’lumotlarning tashqariga chiqishini kuzatish hamda offline va immutable zaxira nusxalarini yaratish ransomware’ga qarshi mudofaaning asosiy ustunlari bo‘lib qolmoqda.