Gunra e sabotaggi OT alzano il rischio sulle infrastrutture critiche

🛡️ Executive Summary

• FBI, CISA e partner avvertono che Gunra opera come RaaS contro governi e infrastrutture critiche sfruttando VPN esposte, furto dati e doppia estorsione.
• CERT Polska ricostruisce un attacco che attraversa una rete APN privata e raggiunge i sistemi OT di una centrale di cogenerazione.
• Gli attaccanti fermano turbina e trattamento acqua senza interrompere le forniture, mostrando il rischio di considerare automaticamente affidabili reti industriali private.

Due allarmi sulle infrastrutture critiche mostrano quanto il confine tra reti IT, accessi remoti e sistemi operativi industriali sia diventato determinante. Negli Stati Uniti FBI, CISA, NSA, Defense Cyber Crime Center, Secret Service e polizia sudcoreana hanno pubblicato un advisory congiunto su Gunra, ransomware-as-a-service che utilizza vulnerabilità nei sistemi esposti, credenziali compromesse e doppia estorsione contro organizzazioni pubbliche e private. In Polonia, CERT Polska ha invece ricostruito un sabotaggio molto più vicino al processo fisico: gli attaccanti sono passati da un impianto eolico a una centrale di cogenerazione sfruttando una rete cellulare APN privata, arrivando fino a PLC Siemens e dispositivi industriali. I due casi condividono lo stesso punto debole: infrastrutture considerate perimetrali o fidate possono diventare il ponte verso gli asset più critici.

Gunra diventa un ransomware-as-a-service per obiettivi critici

L’FBI osserva Gunra dall’aprile 2025, quando il gruppo operava principalmente contro sistemi Windows e aveva già creato un data leak site sulla rete Tor. Nel gennaio 2026 l’operazione si è trasformata formalmente in un programma Ransomware-as-a-Service, con pannello di gestione per gli affiliati, builder configurabile, payload multipiattaforma e documentazione dedicata. Il gruppo ha utilizzato anche il nome Golden Community e, secondo le autorità statunitensi, ha cercato di reclutare penetration tester ed ethical hacker come initial access broker, promettendo una quota dei riscatti in cambio di accessi alle reti enterprise. L’advisory congiunto #StopRansomware dedicato a Gunra descrive un modello di doppia estorsione nel quale i dati vengono prima sottratti e successivamente cifrati; alle vittime viene quindi concesso generalmente un periodo di cinque-sette giorni per avviare la trattativa prima della pubblicazione o della vendita dei file rubati. La trasformazione di Gunra conferma l’evoluzione dell’ecosistema ransomware-as-a-service e della doppia estorsione, dove sviluppo del malware, accesso iniziale, esfiltrazione e negoziazione possono essere gestiti da soggetti differenti.

Firewall e VPN esposti diventano il primo ingresso di Gunra

Le autorità hanno osservato gli affiliati Gunra ottenere accesso principalmente attraverso vulnerabilità note nei dispositivi esposti a Internet, soprattutto firewall e gateway VPN. Tra le falle indicate compaiono CVE-2024-55591 e CVE-2025-24472, entrambe vulnerabilità di authentication bypass che interessano specifiche versioni di FortiOS e FortiProxy. La polizia sudcoreana ha inoltre documentato compromissioni legate a esposizione delle credenziali e debolezze nei controlli SSH dei gateway VPN. Una volta entrati, gli operatori utilizzano strumenti come psexec.py e smbclient.py di Impacket per il movimento laterale via SMB, mentre OpenSSH viene impiegato per creare tunnel e mantenere connessioni tra sistemi compromessi. Il modello rende particolarmente rilevante il problema delle credenziali appartenenti a decine di migliaia di VPN Fortinet esposte e delle successive segnalazioni CISA legate a FortiBleed: un apparato perimetrale non rappresenta soltanto un punto di ingresso, ma può diventare il mezzo attraverso il quale rubare sessioni, raggiungere Active Directory e aggirare ulteriori livelli di autenticazione.

Gunra ruba sessioni, credenziali e decine di terabyte prima della cifratura

L’advisory mostra una catena molto più ampia della semplice esecuzione del ransomware. In un incidente gli operatori hanno compromesso un account amministrativo di un’appliance SSL-VPN, quindi utilizzato informazioni di sessione sottratte per entrare nell’infrastruttura VDI, raggiungere server Active Directory e desktop assegnati al personale IT. Attraverso secretsdump.py gli aggressori hanno estratto hash dal database NTDS, rendendo possibili tecniche pass-the-hash e pass-the-ticket. In un altro caso hanno modificato i file che gestivano l’autenticazione di un portale VDI in modo da accettare uno specifico OTP controllato da Gunra, ottenendo di fatto un bypass persistente della MFA. Prima della cifratura vengono raccolti documenti aziendali, database, informazioni personali ed email interne; l’FBI ha osservato anche un eseguibile malevolo utilizzato per esfiltrare dati da OneDrive e SharePoint, con archivi trasferiti su Mega e volumi arrivati a decine di terabyte. È una dinamica che avvicina Gunra alle operazioni nelle quali Clop sfrutta Windchill e FlexPLM per sottrarre proprietà intellettuale industriale e ai casi in cui Stadler ha rifiutato il riscatto dopo un’intrusione con furto di dati.

ChaCha20 e RSA-4096 completano la doppia estorsione

Quando arriva alla fase distruttiva, Gunra utilizza un encryptor multithread capace di cifrare parallelamente numerosi file con ChaCha20 e RSA-4096. La variante Windows enumera unità e directory accessibili, evita alcune cartelle e file indispensabili al funzionamento del sistema e concentra la cifratura su documenti, database, immagini e archivi. I file vengono normalmente rinominati con estensione .ENCRT, mentre in alcuni campioni precedenti era comparsa .CRYPT; la ransom note viene salvata come R3ADM3.txt. Prima della cifratura gli operatori possono eliminare le Volume Shadow Copies attraverso WMI e, in almeno un incidente, hanno cancellato backup sia nel data center primario sia nel disaster recovery center. Le richieste iniziali possono superare decine di milioni di dollari e, in assenza di pagamento, i dati vengono pubblicizzati sul leak site Tor. È il motivo per cui FBI e CISA chiedono non soltanto patching dei sistemi Internet-facing ma anche backup offline e immutabili, segmentazione della rete e verifica concreta della capacità di ripristino, principi centrali anche nella gestione operativa delle vulnerabilità sfruttate contro infrastrutture critiche.

In Polonia emerge un secondo attacco alla centrale di cogenerazione

Il secondo caso non riguarda ransomware ma sabotaggio industriale. L’8 agosto CERT Polska ha rivelato che l’attacco coordinato del 29 dicembre 2025 contro il settore energetico polacco era più ampio di quanto inizialmente noto. Oltre a più di 30 impianti eolici e fotovoltaici e a una grande centrale di cogenerazione, era stata colpita una seconda centrale CHP che fornisce calore a circa 50.000 residenti. L’analisi supplementare pubblicata da CERT Polska spiega che l’azione ha portato all’arresto di una turbina a vapore e del sistema di trattamento dell’acqua di processo, interrompendo temporaneamente la cogenerazione. L’intervento rapido degli operatori ha impedito conseguenze sulla distribuzione di calore ed elettricità agli utenti. Il nuovo episodio completa il quadro dell’attacco al grid energetico polacco del dicembre 2025, che aveva già mostrato una capacità offensiva orientata non alla monetizzazione ma alla modifica e distruzione dei processi OT.

Una rete APN privata diventa il ponte verso i sistemi OT

La scoperta più significativa riguarda il percorso seguito dagli attaccanti. L’accesso iniziale avviene all’interno di una wind farm attraverso un dispositivo FortiGate utilizzato come firewall e concentratore VPN. Nella stessa rete è presente un router cellulare Teltonika RUTX50, collegato a una private APN gestita dal Distribution System Operator per permettere le comunicazioni con gli apparati di telecontrollo. Gli aggressori riescono ad accedere via SSH al router e lo utilizzano per creare un tunnel dentro la rete APN. Dal 18 dicembre iniziano a scansionarla alla ricerca di servizi VNC, HTTP e protocolli industriali come S7 e Modbus. È qui che individuano un WAGO PFC200, controller dotato di modem cellulare e raggiungibile dalla stessa APN, configurato con le credenziali amministrative predefinite. Attraverso il controller WAGO viene creato un secondo tunnel SSH, questa volta direttamente verso la rete OT della centrale. CERT Polska considera questa catena il primo caso reale conosciuto di utilizzo di una private APN come vettore di accesso laterale verso una rete OT. La vicenda dimostra in modo concreto perché la sicurezza industriale di ICS, SCADA e PLC non possa attribuire fiducia automatica a una rete solo perché non è pubblicamente esposta a Internet.

Gli attaccanti osservano la centrale per una settimana

Raggiunto l’ambiente industriale, gli operatori non passano immediatamente al sabotaggio. Tra il 18 e il 25 dicembre conducono ricognizione sulla rete della centrale, tentando l’accesso all’interfaccia del firewall, scansionando servizi industriali e cercando RDP, VNC, HTTP, HTTPS, Siemens S7, Modbus e CODESYS. Il 25 dicembre stabiliscono connessioni con successo verso tre PLC Siemens, attività che CERT Polska interpreta come probabile preparazione della successiva fase distruttiva. Il 29 dicembre, dalle 5:30 alle 10:10, gli attaccanti utilizzano l’accesso ottenuto attraverso il WAGO per raggiungere il server SCADA e i controller Siemens S7-300, S7-1200 e S7-1500. I PLC vengono messi in modalità STOP e protetti con una nuova password, provocando lo spegnimento della turbina e del sistema per la produzione dell’acqua di processo. L’incidente mostra la differenza fondamentale tra una normale intrusione IT e un attacco OT: in un ambiente industriale la compromissione di credenziali e dispositivi di rete può terminare con la modifica diretta di un processo fisico, rischio già evidenziato dagli attacchi contro PLC, infrastrutture industriali e sistemi di controllo.

Moxa, Siemens e WAGO vengono utilizzati nella stessa catena

Gli aggressori non si limitano ai PLC Siemens. CERT Polska ha ricostruito modifiche alla configurazione di sette Moxa serial device server e tre switch Moxa, riportati alle impostazioni di fabbrica, protetti con password cambiate e configurati con indirizzi IP non raggiungibili come 127.0.0.1, con il probabile obiettivo di rallentare il recovery. Sono inoltre state rilevate connessioni alle interfacce di due inverter ABB ACS e tentativi falliti contro drive Schneider Electric ATV6xx. Alla fine dell’operazione viene danneggiata logicamente anche la tabella delle partizioni del controller WAGO utilizzato come gateway, mentre il router Teltonika e il FortiGate iniziale vengono riportati alle impostazioni di fabbrica, cancellando o degradando parte delle evidenze disponibili. La capacità di attraversare apparati di produttori diversi conferma che il rischio non coincide con una singola CVE o marca: deriva dall’architettura di fiducia che collega dispositivi industriali, gateway cellulari, firewall e reti di telecomunicazioni, lo stesso tema emerso nelle analisi sulla protezione delle infrastrutture energetiche polacche e degli impianti europei.

La rete privata non può più essere considerata una rete sicura

Il passaggio più rilevante dell’indagine polacca riguarda proprio la private APN. La configurazione osservata permetteva ai diversi dispositivi connessi alla rete privata di comunicare tra loro, trasformando un servizio progettato per le telecomunicazioni industriali in una superficie di movimento laterale. CERT Polska ha verificato attraverso consultazioni con altre organizzazioni che configurazioni analoghe erano comuni in Polonia e, secondo le informazioni disponibili al CSIRT, risultano diffuse anche in altri Paesi. L’autorità raccomanda quindi di attivare isolamento tra client, trattare la private APN come una rete non attendibile, applicare segmentazione e allowlist anche verso l’OT, disabilitare interfacce amministrative inutili, eliminare credenziali predefinite, centralizzare i log e includere APN e relativi gateway nei penetration test e nelle revisioni architetturali. È una correzione concettuale importante: un collegamento privato riduce l’esposizione pubblica, ma non sostituisce autenticazione, segmentazione e controllo del traffico.

Ransomware e sabotaggio convergono sullo stesso problema di fiducia

Gunra e l’attacco alla centrale polacca non appartengono allo stesso ecosistema operativo e non esistono elementi nelle fonti che li colleghino. Il primo è un RaaS finanziariamente motivato che cifra e sottrae dati; il secondo è un incidente distruttivo nel settore energetico nel quale CERT Polska ha ricostruito una catena OT molto più complessa del previsto. La convergenza riguarda invece l’architettura delle vittime. Gunra sfrutta firewall, VPN, account amministrativi e sessioni VDI per trasformare un accesso perimetrale nel controllo dei sistemi interni; in Polonia un accesso a una wind farm viene esteso attraverso router cellulare, APN privata e PLC WAGO fino ai controllori della centrale. In entrambi i casi il punto debole non è soltanto il singolo dispositivo, ma la possibilità che un sistema compromesso erediti implicitamente la fiducia necessaria per raggiungere quello successivo. L’espansione delle minacce alle infrastrutture critiche rende quindi centrali segmentazione, patching degli apparati Internet-facing, autenticazione forte, backup offline e soprattutto una revisione dei rapporti di fiducia tra IT e OT: il principio operativo deve essere che privato non significa sicuro e interno non significa affidabile.