Gunra 勒索病毒解密与数据恢复

Gunra 于 2025 年 4 月首次公开露面，泄露站上的首例受害者时间为 2025 年 4 月 7 日。2026 年 8 月 10 日，美国 FBI、CISA、国防部网络犯罪中心（DC3）、NSA、特勤局与韩国国家警察厅联合发布 #StopRansomware 通告（AA26-222A），明确指出 Gunra「源自 2022 年泄露的 Conti 勒索软件源代码」。需要注意的是，这是代码层面的继承——Conti 源码泄露后被多个团伙复用，并不等于 Conti 原班人马回归，目前没有公开证据支持人员层面的延续。

运营模式经历了一次明显升级。起步阶段 Gunra 是一个自用型双重勒索团伙，规模不大但节奏稳定；2026 年 1 月起，它在暗网论坛推出正式的 RaaS 附属计划，对外提供管理面板、可配置的加密器生成器、跨平台载荷与操作文档，并以「Golden Community」等名义招募具备渗透能力的初始访问代理。这次转型是其 2026 年受害者增长与打击面扩大的主要原因，也是它从「新出现家族」走向成熟犯罪服务的分水岭。

从泄露站统计看，截至 2026 年 9 月初累计公开受害者约 54 家，分布在 28 个国家和地区，2026 年 9 月仍有新受害者上站。地域上以韩国、巴西、西班牙、乌拉圭、泰国居前，行业以制造业、专业服务与医疗卫生最多，科技、金融、交通、政府、公用事业、教育、传媒与零售亦有涉及。趋势科技在 Linux 变种分析中还提到其威胁情报数据在土耳其、中国台湾、韩国与美国的企业中检测到 Gunra 活动。

对中国企业的现实意义在于入口的「通用性」：Gunra 的落脚点是未修补的 Fortinet 边界设备、暴露在公网且缺少锁定策略的 SSL-VPN、以及被窃取的 SSH/VPN 凭据——这些在国内制造业与医疗机构同样普遍。目前没有公开报告确认 Gunra 对中国大陆机构发起定向攻击，但企业的海外子公司与跨境分支已经处在其现实打击面内。

后缀：Windows 加密器在原文件名后追加 .ENCRT，例如 report.xlsx 变为 report.xlsx.ENCRT；2025 年 7 月的样本中也观察到 .CRYPT；CISA 通告记录 Linux/ELF 构建使用 .GNRA。需要提醒的是后缀不等于平台：趋势科技 2025 年 7 月分析的那版 Linux 变种同样追加 .ENCRT，.GNRA 是较新 ELF 构建上的观察值。后缀只是第一线索，是否存在密钥重建空间取决于加密器构建，取证时必须原样保留、不要改名。

勒索信：Windows 端在每个被加密目录投放 R3ADM3.txt，英文书写，给出受害者专属 ID 与 Tor 谈判门户地址，并设定 5 至 7 天的谈判期限。一个容易踩坑的差异是：Linux 变种不投放勒索信，只执行加密。如果 Linux 主机上只见到加密后缀（.GNRA 或 .ENCRT）却找不到勒索信，不要据此误判成其他家族或「加密失败」。

谈判与泄露站：谈判门户运行在 Tor 上，界面仿即时通讯工具。泄露站 .onion 地址自 2025 年 4 月上线后多次更换（CISA 通告记录到 2026 年 3 月已迁往另一地址），2025 年 6—7 月还使用过明网镜像 datapub.news；受害单位名称与「样本数据包」出现在泄露站上，即意味着数据已经外传。

周边痕迹：

• 边界防火墙上出现名为 forticloud-sync 的可疑后门账号；
• 主机上可见 Rclone、Mega、FileZilla、7-Zip / WinRAR、DBeaver、MobaXterm、AnyDesk、Google 远程桌面、Impacket（psexec.py / smbclient.py / secretsdump.py）、Mimikatz、Sliver 的落地或执行痕迹；
• 卷影副本被通过 WMIC 逐个删除。

判定要点：.ENCRT + R3ADM3.txt 基本可确认为 Gunra；但恢复可行性取决于加密器的具体构建，必须取实际样本分析，不能只凭后缀下结论。

Gunra 的入侵路径高度集中在互联网暴露面，技术并不新奇，但对边界设备维护滞后的组织命中率很高：

• 边界设备已知漏洞：CISA 通告点名 CVE-2024-55591 与 CVE-2025-24472——FortiOS / FortiProxy 的身份认证绕过漏洞，被用于直接获取防火墙管理权限；
• VPN 网关凭据暴露：SSH 可达的 VPN 网关上存在明文或弱保护凭据；
• 默认凭据与缺失的锁定策略：SSL-VPN 设备保留默认管理账号、且未配置登录失败锁定，被暴力尝试直接打穿；
• 持久化：在 Fortinet 设备上创建名为 forticloud-sync 的超级管理员后门账号（带硬编码口令），使其在被清理后仍可回来；
• 横向移动：通过 SMB 与 RDP 在内网扩散，配合 Impacket（psexec.py、secretsdump.py）与 Mimikatz 获取域账号凭据，AnyDesk 与 Google 远程桌面作为备用远控通道；
• 数据外传：用 Rclone、FileZilla、Mega 与针对 OneDrive / SharePoint 的专用工具在加密前把数据送出，为双重勒索铺路；DBeaver、MobaXterm 与 Amass 用于数据库访问与资产测绘。

从处置角度看，这套打法有两个直接推论：一是防火墙与 VPN 本身就是取证现场，必须导出配置、账号变更与登录日志，而不是急着重置；二是外传发生在加密之前，数据泄露范围的界定不能等到恢复完成再做。

算法：文件内容用 ChaCha20 流密码加密，每个文件的对称密钥由 RSA-4096 公钥封装。密钥材料不以明文落地，在攻击者私钥未泄露、且构建不存在密钥生成缺陷的前提下无法逆推。

Windows 变种：C/C++ 编写，带 IsDebuggerPresent 反调试检查；加密前后通过 WMI 逐个删除卷影副本，命令形如 cmd.exe /c C:\Windows\System32\wbem\WMIC.exe shadowcopy where "ID='{guid}'" delete，系统还原与「以前的版本」因此普遍不可用。

Linux/ELF 变种：趋势科技 2025 年 7 月的分析显示其更强调速度与可配置性——同样是 RSA + ChaCha20，按 1MB 分块处理，随机生成 32 字节 ChaCha20 密钥、12 字节 nonce 与 256 字节填充；最高支持 100 个并发加密线程（作为对比，BERT 上限为 50）。命令行可指定路径、线程数、目标扩展名列表（或 all），--exts=disk 可直接处理块设备，--store 指定独立密钥存储文件。

间歇加密：Linux 变种提供 -r/--ratio 与 -l/--limit 参数，由操作者控制每个文件被加密的比例与上限。这一点对恢复评估极为关键：如果运营者为了赶速度只加密了每个文件的一部分，大型数据库文件、虚拟磁盘与邮件库中就可能保留大量完好区块，为结构级修复留出空间——但比例由攻击方在投放时决定，必须对实际文件实测，不能预设。

打击目标：CISA 通告记录了攻击者对数据库服务器与网络附加存储（NAS）等关键资产的定向加密，这也是业务中断被放大的主要原因。截至目前，没有可靠公开来源确认 Gunra 具备专门的 VMware ESXi 加密器。

双重勒索：先外传后加密，未在 5 至 7 天窗口内响应即在 Tor 泄露站分批公开数据。