Une nouvelle étude technique publiée par des organismes de sécurité sud-coréens et AhnLab a révélé des recoupements notables entre un groupe de menaces présumé soutenu par un État et l’opération de rançongiciel Gunra. Baptisée « Operation Double Barrel », l’étude compare les vulnérabilités et les logiciels malveillants employés lors des attaques, ainsi que les identifiants compromis et les infrastructures réseau. Les chercheurs ne concluent pas à l’existence certaine d’un partenariat organisationnel, mais leurs résultats montrent qu’il devient de plus en plus difficile de tracer la frontière entre les opérations d’espionnage et l’extorsion de données motivée par le gain financier.
Gunra est une opération apparue en 2025, qui s’est ensuite tournée vers un modèle de rançongiciel en tant que service. Dans ce modèle, le groupe central fournit l’infrastructure d’attaque, le logiciel de chiffrement et le système de paiement, tandis que des attaquants indépendants, appelés « affiliés », peuvent s’introduire dans les réseaux ciblés. Les données sont d’abord exfiltrées, puis les systèmes sont chiffrés ; la victime est ainsi confrontée à la fois à une interruption de ses services et à la menace de voir ses informations publiées. Même une organisation disposant de sauvegardes fiables subit donc la pression liée au risque de fuite de données.
Qu’a découvert Operation Double Barrel ?
Selon l’analyse publiée le 30 juillet 2026 par l’AhnLab Security Intelligence Center, les activités d’attaque présumées soutenues par un État qui ont été examinées se sont poursuivies de 2025 jusqu’au premier semestre 2026. Les acteurs de la menace ont exploité des failles dans des logiciels de sécurité installés sur des ordinateurs afin d’accéder à des services financiers et publics en Corée du Sud. Du code malveillant aurait été diffusé au moyen d’attaques par point d’eau et d’hameçonnage ciblé ; dans certains cas, des entreprises proposant des services d’hébergement ou de développement web auraient également été intégrées à la chaîne d’attaque.
L’importance de cette étude tient aux similitudes entre certaines vulnérabilités, informations d’accès et ressources réseau observées lors de ces activités et des éléments relevés dans des affaires impliquant Gunra. La même voie d’accès a pu être utilisée d’abord pour recueillir des informations, puis pour déployer un rançongiciel. Il est également possible que l’accès aux réseaux compromis ait été transmis ou vendu à d’autres acteurs. L’emploi d’outils communs ne suffit pas non plus à prouver l’implication d’un même groupe : la réutilisation de logiciels malveillants, de serveurs et de comptes volés est très répandue dans l’écosystème criminel.
Il serait donc erroné d’interpréter ces résultats comme la preuve que « Gunra est assurément dirigé par un État donné ». L’étude d’AhnLab évalue un lien technique et s’exprime en termes de similitudes. Pour attribuer une attaque de manière fiable, il faut examiner conjointement, au-delà du seul recoupement des outils, les horaires d’activité, la gestion de l’infrastructure de commande, les flux financiers, les ressources humaines et les renseignements recueillis sur le long terme.
Pourquoi s’agit-il d’un risque de sécurité actuel ?
Le risque associé à Gunra ne provient pas uniquement du logiciel malveillant qui chiffre les fichiers lors de la phase finale. Le véritable danger réside dans le temps passé par l’attaquant sur le réseau avant le début du chiffrement. Durant cette période, il peut recueillir des identifiants de comptes, examiner les systèmes de sauvegarde, exfiltrer des documents sensibles et perturber le fonctionnement des outils de sécurité. Si l’organisation ne détecte l’attaque qu’à l’apparition des fichiers chiffrés, elle risque de négliger la dimension de violation de données de l’incident.
Le possible croisement entre les opérations d’espionnage et de rançongiciel complique encore la défense. Un attaquant motivé par l’argent recherche généralement un gain rapide, tandis qu’un acteur du renseignement peut souhaiter rester invisible pendant des mois. Si la même chaîne d’accès sert ces deux objectifs, le rançongiciel peut parfois constituer l’acte final d’une intrusion antérieure et plus discrète. Supprimer le logiciel de chiffrement ne signifie donc pas nécessairement que tous les accès de l’attaquant au réseau ont été éliminés.
Le ciblage des prestataires de services peut en outre amplifier les conséquences d’une seule compromission. La compromission d’une entreprise qui gère des sites web, distribue des logiciels ou fournit une assistance à distance peut offrir à l’attaquant un canal de confiance lui permettant d’atteindre de nombreux clients. Les organisations ne doivent pas limiter leurs évaluations de sécurité à leurs propres appareils ; elles doivent également surveiller les chaînes de mise à jour, de gestion à distance et de distribution des logiciels.
Quelles mesures les équipes de défense doivent-elles prendre ?
La première priorité doit être de dresser un inventaire à jour des systèmes exposés à Internet et des logiciels de sécurité tiers. Toutes les surfaces d’attaque externes doivent être répertoriées, notamment les passerelles VPN, les outils de gestion à distance et les modules complémentaires utilisés uniquement dans certains pays. Les versions qui ne sont plus prises en charge par leur éditeur doivent être supprimées, les correctifs publiés doivent être appliqués selon leur niveau de risque et, dans la mesure du possible, les interfaces d’administration doivent être rendues inaccessibles directement depuis Internet.
L’authentification multifacteur est importante, mais elle ne suffit pas à elle seule. Des sessions compromises, des comptes de service ou des équipements réseau vulnérables peuvent contourner l’étape d’authentification. Les comptes à privilèges ne doivent pas servir aux tâches quotidiennes. La création de nouveaux administrateurs, les connexions inattendues, les outils d’extraction d’identifiants et les connexions à distance inhabituelles doivent faire l’objet d’une surveillance centralisée. Les accès accordés aux prestataires doivent être limités à des systèmes, des périodes et des tâches déterminés.
Les sauvegardes doivent être séparées de l’environnement de production et une copie immuable ou hors ligne doit être conservée. Une simple notification confirmant la réussite d’une sauvegarde ne doit toutefois pas être jugée suffisante ; une restauration doit être testée dans un environnement sain. Pour tenir compte du risque d’exfiltration, il convient également d’examiner la création d’archives volumineuses, les téléversements inhabituels vers le cloud, les services de stockage distant inconnus et les hausses du trafic réseau en dehors des horaires habituels.
Si des signes de Gunra ou d’un rançongiciel similaire sont observés, les systèmes touchés doivent être déconnectés du réseau de manière contrôlée, sans pour autant effacer précipitamment les éléments de preuve. Les données de la mémoire, des disques et des journaux doivent être préservées, et les identifiants ne doivent être renouvelés qu’à partir d’appareils fiables. Conformément à ses obligations légales, l’organisation touchée doit contacter les équipes nationales de réponse aux incidents cyber et les autorités chargées de la protection des données personnelles. Le FBI indique qu’il ne recommande pas le paiement d’une rançon et qu’un tel paiement ne garantit ni la récupération des données ni l’absence de publication de celles-ci.
La résilience avant l’attribution
La conclusion la plus précieuse d’Operation Double Barrel tient moins à l’identité d’un groupe unique qu’à la possibilité d’utiliser une même méthode d’accès à différentes fins. Si le plan de défense repose uniquement sur le blocage des indicateurs de fichiers associés à un rançongiciel connu, les premières phases de l’attaque peuvent passer inaperçues. En revanche, un inventaire à jour des actifs, la segmentation du réseau, le principe du moindre privilège, la centralisation des journaux et un plan éprouvé de réponse aux incidents permettent de limiter les dommages, quelle que soit la motivation de l’attaquant.
La nature du lien entre Gunra et les activités soutenues par un État peut évoluer à mesure que de nouveaux éléments apparaissent. Les constatations actuelles indiquent davantage un recoupement technique qu’une attribution politique définitive. Pour les organisations, la bonne approche consiste à fermer les voies d’attaque communes au lieu de s’enliser dans un débat non étayé sur l’identité des responsables, et à considérer un rançongiciel comme le signe possible d’une violation de données et d’une intrusion de plus longue durée.