Ignorar una actualización de Fortinet sale caro: el grupo extorsionista Gunra exige decenas de millones tras atacar infraestructuras críticas en todo el mundo

Los servicios de inteligencia estadounidenses y surcoreanos alertaron sobre el grupo de ransomware Gunra, que en un año se convirtió de un malware aislado en un servicio completo para ciberdelincuentes. Los atacantes apuntan a organismos gubernamentales, empresas de infraestructura crítica y compañías en todo el mundo, y las sumas iniciales de rescate en algunos casos superan decenas de millones de dólares.

La advertencia conjunta fue emitida por el FBI junto con reguladores de EE. UU. y la agencia policial de Corea del Sur. Gunra se observó por primera vez en abril de 2025, y en enero de 2026 sus creadores lanzaron un programa de afiliados para otros delincuentes.

Según el FBI, Gunra se basa en el código fuente del ransomware Conti, que se filtró en 2022. Al principio el malware operaba principalmente en Windows; luego los desarrolladores añadieron una variante para Linux. En el marco del programa de afiliados, a los clientes se les proporciona un panel de control, un constructor de malware, versiones para distintas plataformas y documentación. La agrupación también usó el nombre Golden Community y trató de reclutar especialistas en pruebas de seguridad como intermediarios capaces de facilitar el acceso a redes corporativas.

Ya hay víctimas de Gunra entre organizaciones de Norteamérica y Sudamérica, Europa, Oriente Medio, África y la región Asia-Pacífico. Entre los objetivos figuran centros médicos, entidades financieras, empresas manufactureras y de construcción, organizaciones de transporte, dependencias gubernamentales, servicios públicos, instituciones educativas, medios de comunicación, comercios y organizaciones sin fines de lucro.

Para infiltrarse inicialmente en una red, los delincuentes suelen explotar vulnerabilidades conocidas en cortafuegos accesibles por Internet y en puertas de enlace de redes privadas virtuales. El informe menciona específicamente CVE-2024-55591 (10.0 Critical) y CVE-2025-24472 (9.8 Critical) en FortiOS y FortiProxy, que permiten omitir la autenticación. En los dispositivos vulnerables los atacantes podían crear una cuenta forticloud-sync con privilegios de superusuario y una contraseña predefinida.

Una vez dentro de la red, Gunra busca obtener mayores privilegios y propagarse por la red interna. En uno de los ataques, los delincuentes usaron credenciales predeterminadas del administrador de la puerta de enlace de la VPN y luego accedieron a la infraestructura interna de escritorios virtuales, Active Directory y a los ordenadores del personal de TI. Para robar credenciales, emplearon herramientas del kit Impacket, entre ellas secretsdump.py. Los atacantes también interceptaban datos de sesión y modificaban el proceso de inicio para eludir la autenticación multifactor mediante un código de un solo uso.

Gunra intenta ocultar su actividad borrando los registros del sistema y el historial de comandos ejecutados. La recogida de información inicial y otras acciones dentro de la red suelen realizarse con mayor frecuencia entre las 22:00 y las 06:00, cuando los administradores las detectan con menos frecuencia. El propio ransomware evita los directorios del sistema y los archivos ejecutables, concentrándose en documentos, bases de datos, imágenes y archivos comprimidos.

Antes de cifrar los datos, los delincuentes roban documentos corporativos, bases de datos, información personal y correspondencia interna. Un componente malicioso denominado main.exe permite extraer información de OneDrive y SharePoint. En uno de los casos registrados, los archivos comprimidos se subieron al servicio de almacenamiento Mega y el volumen de datos robados alcanzó decenas de terabytes.

Tras robar los datos, Gunra cifra los archivos con ChaCha20 y RSA-4096 y normalmente añade la extensión .ENCRT. Luego aparece una nota en los directorios que exige contactar a los extorsionadores a través de un portal en la red Tor o de la aplicación de mensajería qTox en un plazo de cinco a siete días. Si no se inician negociaciones, los delincuentes amenazan con publicar o vender el material robado. En algunos ataques Gunra también eliminó las copias de volumen sombra de Windows y las copias de seguridad tanto en el centro de datos principal como en el de respaldo, para dificultar la recuperación.

Las agencias aconsejan en primer lugar aplicar parches para las vulnerabilidades conocidas en sistemas accesibles desde Internet, especialmente en las puertas de enlace de VPN y en los servidores de acceso remoto. También recomiendan que las organizaciones mantengan copias de seguridad inmutables verificadas separadas de la red principal, segmenten la infraestructura interna, limiten los privilegios administrativos e implementen autenticación multifactor para los servicios críticos.

Para la variante de Gunra en Linux, los defensores tienen una oportunidad adicional para recuperar archivos sin pagar rescate. En marzo de 2026 especialistas detectaron una vulnerabilidad en la forma en que el programa genera las claves de cifrado. El malware usa el tiempo de sistema predecible, por lo que, si existen marcas temporales de los archivos y otros datos, la clave en algunos casos se puede recuperar mediante cálculos matemáticos. Las agencias aconsejan conservar los archivos cifrados, las notas de los extorsionadores y los registros del sistema si el malware infectó un sistema Linux.