Face à un ransomware, la règle est brutale : payer ou tout perdre. Sauf quand les attaquants commettent une erreur. C'est ce qui est arrivé avec Gunra, un rançongiciel redoutable dont une faille de conception permet à ses victimes Linux de récupérer leurs fichiers sans verser un centime. Une victoire rare pour les défenseurs, et surtout une mine de leçons pour toute organisation. Décryptage, côté défense.

Gunra, un rançongiciel « as-a-service » redoutable

Commençons par la menace, car elle est sérieuse. Le 10 août 2026, plusieurs agences (FBI, CISA, NSA, rejointes par la Corée du Sud) ont publié un avis commun de sécurité sur Gunra, un ransomware qui cible gouvernements, infrastructures critiques et établissements de santé.

Son pedigree est inquiétant. Apparu en avril 2025, Gunra est dérivé du code source de Conti, l'un des plus grands groupes de rançongiciels, dont les fichiers internes avaient fuité en 2022. En janvier 2026, il est passé à un modèle « ransomware-as-a-service » : ses opérateurs vendent à des affiliés un kit clé en main (générateur de rançongiciel, charges pour Windows et Linux, portail de négociation sur le réseau Tor). Comme la plupart des groupes actuels, Gunra pratique la double extorsion : il chiffre les données, mais les vole aussi au préalable, menaçant de les publier sur un site de fuite si la victime ne paie pas sous cinq à sept jours. Des chercheurs évoquent même un possible partage d'outils avec un groupe nord-coréen, un lien qui, s'il se confirme, marquerait une escalade.

La faille qui change tout

C'est là qu'intervient le rebondissement. En mars 2026, la société Breakglass Intelligence a identifié un défaut cryptographique majeur dans la variante Linux de Gunra (les fichiers chiffrés portent l'extension .GNRA). Pour générer ses clés de chiffrement, le malware utilise un générateur de nombres aléatoires faible, amorcé sur l'horloge du système. En clair : le hasard n'en est pas vraiment un.

La conséquence est spectaculaire. Comme le confirme l'avis de la CISA, les défenseurs peuvent, à partir des horodatages des fichiers, reconstituer mathématiquement les clés et récupérer les données sans payer la rançon. Deux réflexes en découlent pour toute organisation touchée : d'abord, identifier quelle variante a chiffré les systèmes (Windows ou Linux) avant toute discussion de paiement ; ensuite, conserver précieusement les fichiers chiffrés et leurs horodatages, car ils sont la matière première de la récupération. Détruire ces fichiers, ce serait détruire la solution.

Pourquoi c'est l'exception, pas la règle

Gardons la tête froide, car cette bonne nouvelle a des limites. D'abord, elle ne concerne que la variante Linux : les victimes de la version Windows ne bénéficient pas de cette porte de sortie. D'ailleurs, cette faiblesse explique probablement pourquoi le groupe investit massivement dans ses capacités Windows et dans le vol de données, plutôt que dans le seul chiffrement.

Ensuite, la double extorsion change la donne : même en récupérant ses fichiers, une victime dont les données ont été volées reste sous la menace d'une publication. Déchiffrer ne résout pas tout. Enfin, rappelons ce que martèlent les autorités : payer une rançon ne garantit jamais la récupération des fichiers, et alimente l'écosystème criminel. La chance d'une faille ne doit pas remplacer une vraie stratégie de défense.

Les vraies leçons : revenir aux fondamentaux

C'est ici que l'analyse de l'attaque devient précieuse, car elle rejoue des scénarios que nous décrivons régulièrement. Trois enseignements dominent.

• Ne jamais réutiliser les identifiants. Dans un cas documenté, toute la portée de l'attaque venait d'une seule clé volée sur un serveur central de contrôle d'accès, qui donnait accès aux mots de passe de tous les serveurs de l'entreprise. Les analystes résument le mode opératoire du groupe : il cible « à chaque étape » les identifiants réutilisables. C'est exactement l'enjeu d'identité que nous détaillons dans notre article sur la fin du VPN.
• Sécuriser l'accès initial. L'intrusion reposait sur des vulnérabilités connues d'équipements Fortinet et sur des identifiants VPN par défaut, sans verrouillage de compte. Corriger les failles des passerelles VPN et RDP exposées, bannir les identifiants par défaut et activer l'authentification multifacteur aurait tout changé.
• Protéger vraiment ses sauvegardes. Gunra supprime les copies de restauration et vise la couche de sauvegarde. Dans un cas, les données ont été détruites à la fois sur le site principal et sur le site de secours, car les deux acceptaient les mêmes identifiants. La parade, rappelée par la CISA, tient en une règle : des sauvegardes hors ligne, immuables, stockées dans un lieu séparé et segmenté, et surtout testées. C'est le cœur de la stratégie anti-ransomware que nous abordons dans notre article dédié.

De la chance à la compétence

Voilà le vrai message. Si les victimes Linux de Gunra peuvent espérer récupérer leurs données, ce n'est pas par chance : c'est parce que des chercheurs ont su décortiquer le malware, comprendre son fonctionnement cryptographique et en exploiter la faiblesse. La récupération est une affaire de compétences : réponse à incident, analyse forensique, connaissance des mécanismes de chiffrement, stratégie de sauvegarde, et capacité à identifier précisément la menace avant d'agir. C'est précisément le savoir-faire de la remédiation, ce métier que nous présentions récemment.

Chez KLE Formations, notre parcours en cybersécurité forme à ces réflexes essentiels : gestion des identités et des accès, réponse à incident, sauvegarde et résilience, gouvernance des risques. Accessible et finançable (CPF, France Travail, OPCO, Transitions Pro), il vise un titre RNCP de niveau 7. Pour prolonger, lisez notre article sur les ransomwares et le vol de données, notre analyse de l'authentification et de la fin du VPN, et notre présentation du métier de pilote de la remédiation.

L'histoire de Gunra restera comme un rappel réjouissant : les attaquants aussi commettent des erreurs. Mais compter sur leurs fautes serait une stratégie perdante. La seule défense fiable reste une organisation préparée, sauvegardée et outillée, portée par des équipes formées. Car la prochaine fois, le rançongiciel n'aura peut-être pas de faille.

---

Sources : avis conjoint CISA/FBI/NSA #StopRansomware « Gunra Ransomware » (AA26-222A, 10 août 2026) ; analyse de Breakglass Intelligence (mars 2026) relayée par The Record ; CybelAngel, Paubox, Eon et Hoodline (mode opératoire, double extorsion, faille de la variante Linux, réutilisation d'identifiants, destruction des sauvegardes). Faits à jour à la rentrée 2026 ; certains éléments (lien avec un groupe étatique) restent à confirmer. Cet article traite le sujet sous l'angle défensif, sans détailler de procédé offensif ni d'indicateur technique exploitable.