Agencias de ciberseguridad y organismos de inteligencia de Corea del Sur y Estados Unidos alertaron sobre Gunra ransomware, una amenaza dirigida a organizaciones de infraestructura crítica y otros sectores esenciales en distintas regiones. El patrón es claro: primero consiguen acceso inicial explotando fallos en equipos expuestos a Internet, y luego ejecutan el cifrado y la filtración de datos para maximizar el impacto.
Según las advertencias, los objetivos incluyen salud y servicios de salud pública, servicios financieros, entidades gubernamentales y organizaciones profesionales y sin fines de lucro. Además, se ha observado que la campaña afecta con especial concentración a Australia, Asia Oriental y Europa.
Cómo opera el Gunra ransomware: doble extorsión
El Gunra ransomware se integra dentro de un modelo de doble extorsión: por un lado exfiltra información; por otro, cifra datos para inutilizar operaciones. Esta estrategia eleva la presión sobre la víctima porque el daño no se limita a la disponibilidad, sino que también busca consecuencias reputacionales y legales derivadas de la publicación de datos.
Las víctimas que no acceden a la negociación en un plazo de cinco a siete días pueden ver su información publicada en un sitio de filtraciones. De acuerdo con datos divulgados por Ransomware.Live, desde que el grupo apareció en el panorama de amenazas en abril de 2025, se han contabilizado 51 víctimas, con predominio de países como Corea del Sur, Brasil, España, Tailandia y Hong Kong.
Fallos aprovechados en equipos expuestos a Internet
En el centro de la intrusión hay vulnerabilidades en dispositivos usados en entornos de red y comunicaciones. Las advertencias señalan que los atacantes explotan fallos en:
- Schneider Electric PowerLogic P5 (CVE-2024-5559)
- Fortinet FortiOS y FortiProxy (CVE-2025-24472)
Una vez que obtienen acceso inicial mediante estas debilidades, el grupo continúa con su cadena de ataque para moverse lateralmente, escalar capacidad dentro del entorno comprometido y preparar la ejecución del cifrado y el robo de información.
Phishing y negociación: entrega de la carga maliciosa
Además de las intrusiones vía fallos, se describe el uso de phishing como vector principal para entregar componentes maliciosos. La fase de negociación se realiza a través de un canal de chat con estética temática de WhatsApp, según análisis publicados por investigadores.
En cuanto a la capacidad técnica, se ha mencionado que el grupo puede cifrar archivos de gran tamaño (se cita un caso de hasta 9 TB) en un tiempo limitado. Para ello emplea técnicas de cifrado de flujo basadas en algoritmos como Salsa20 o ChaCha20.
Qué ocurre después del acceso: exfiltración y cifrado
Durante la fase posterior, el Gunra ransomware despliega prácticas orientadas a maximizar la interrupción. En la exfiltración se menciona el uso de un ejecutable llamado main.exe para obtener datos desde Microsoft OneDrive y SharePoint.
En algunos incidentes, los atacantes empaquetan volúmenes masivos de información en archivos comprimidos con tamaños que pueden alcanzar terabytes y luego los envían a un servicio de compartición como MEGA.
También se ha reportado acceso a entornos de VDI (infraestructura de escritorio virtual) relacionados con el personal de TI, para recolectar documentos sensibles con información de configuración de sistemas y redes.
Movimiento lateral y robo de credenciales
Para ampliar el control dentro de la organización, se indican cadenas de ataque que aprovechan librerías de Impacket. En concreto, el uso de herramientas como psexec.py y smbclient.py permite movimiento lateral mediante el protocolo SMB.
Posteriormente, para obtener credenciales, se emplea secretsdump.py, con el objetivo de extraer información de cuentas y obtener hashes de contraseñas desde el NT Directory Services (NTDS) de los controladores de dominio comprometidos.
Estrategias para evadir la detección
La campaña incluye acciones para reducir rastros. Entre las prácticas observadas se encuentran la eliminación de logs de acceso a sistema o red, el borrado del historial de comandos y la realización de actividades internas de reconocimiento principalmente en un rango horario nocturno (de 10 p. m. a 6 a. m.).
El objetivo es dificultar la atribución y retrasar la respuesta, especialmente en organizaciones donde la revisión de eventos no está automatizada o no se centra en correlación de señales.
Interacción con VPN y VDI: secuestro de sesiones y bypass de MFA
Uno de los aspectos más preocupantes descritos por la agencia nacional de policía de Corea del Sur es la manipulación del comportamiento de tráfico en un dispositivo SSL-VPN. Los atacantes pudieron interceptar credenciales e información de sesión que los usuarios enviaban al portal de autenticación corporativo de un entorno VDI.
Tras robar cookies de sesión, realizaron session hijacking para hacerse pasar por usuarios legítimos y ganar acceso a la red interna.
Además, se reporta un intento de eludir la autenticación multifactor (MFA) alterando archivos vinculados al procesamiento de autenticación en el servidor del portal VDI. Esta modificación permitiría que un valor de OTP designado por Gunra habilitara una autenticación exitosa.
Programa de afiliados (RaaS) y variantes del cifrador
De acuerdo con la información disponible, se atribuye a la operación derivada de Conti la puesta en marcha formal de un programa de afiliados como RaaS en foros de la dark web durante enero de 2026. Los afiliados tendrían acceso a un panel de administración, un constructor configurable de ransomware y cargas adicionales para distintos sistemas.
Se ofrecen variantes para Windows y Linux. Sin embargo, un análisis publicado en marzo de 2026 identificó una debilidad criptográfica “catastrófica” en versiones de Linux que podría permitir recuperar la clave de cifrado y recuperar el acceso a los archivos.
Señales operativas y ejemplos de comportamientos detectados
Las advertencias también recogen comportamientos concretos que sirven como referencia para detección y respuesta:
- Acceso a una cuenta de administrador en un SSL-VPN explotando credenciales por defecto y uso de una herramienta para establecer conexiones y mantener persistencia.
- Uso de una cuenta no utilizada dentro de la consola web administrativa que tiene acceso tanto a Internet como a la red interna; luego se modifica su configuración para saltarse requisitos de cambio de contraseña.
- Acceso remoto por SSH a un servidor de control de acceso desde un entorno VDI comprometido para robar una clave de cifrado simétrica y descifrar contraseñas almacenadas en bases de datos.
- Borrado de datos de respaldo y archivos en infraestructura de copias tanto en el centro de datos principal como en el sitio de recuperación ante desastres antes y después del despliegue del ransomware.
Relación con campañas previas y posible intercambio de técnicas
La información también considera el contexto de una campaña de ciberataques organizada por un grupo estatal no especificado entre 2025 y la primera mitad de 2026. En ese caso, se mencionó el uso de técnicas como spear-phishing y watering hole para distribuir malware, tras engañar a las víctimas para que visitaran URLs maliciosas.
Curiosamente, algunos incidentes habrían explotado vulnerabilidades del mismo software de seguridad financiera para desplegar Gunra ransomware y exfiltrar información sensible. Asimismo, se reportan conexiones con otras cargas maliciosas (asociadas a actores distintos) que se activan al ejecutarse en sistemas que contienen software de firma de certificados.
Estas coincidencias sugieren que, aunque los objetivos finales podrían diferir entre actores estatales y el grupo de ransomware, es posible que compartieran técnicas, herramientas o infraestructura, o que colaboraran de forma limitada.
Recomendaciones para reducir el riesgo
Para protegerse frente a Gunra ransomware, las agencias recomiendan reforzar el ciclo de higiene y resiliencia. Entre las acciones prioritarias destacan:
- Mantener actualizados sistemas operativos, software y firmware.
- Aplicar parches de forma prioritaria en vulnerabilidades explotadas en Internet y en equipos expuestos.
- Implementar segmentación de red para frenar el movimiento lateral.
- Garantizar copias de seguridad inmutables y almacenadas en una ubicación físicamente separada.
Estas medidas no eliminan el riesgo por sí solas, pero reducen la probabilidad de que una intrusión inicial termine en cifrado a gran escala y exfiltración masiva.
Conclusión
El caso de Gunra ransomware muestra una combinación efectiva de intrusión, robo de credenciales, evasión y presión mediante doble extorsión. La explotación de fallos en dispositivos de red expuestos, sumada al uso de phishing y a técnicas orientadas a comprometer VDI y SSL-VPN, complica la detección y aumenta el impacto operativo.
Si tu organización depende de servicios críticos o mantiene superficies expuestas a Internet, el mensaje es claro: prioriza parches, refuerza segmentación y protege las copias de seguridad. Con una estrategia de seguridad continua, es más probable contener la amenaza antes de que el cifrado y la filtración se conviertan en un evento con consecuencias irreversibles.
Fuente: https://thehackernews.com/2026/08/gunra-ransomware-exploits-fortinet-and.html
