El ransomware Gunra se ha convertido rápidamente en un problema global grave, afectando a decenas de organizaciones en menos de un año. El grupo opera como una empresa, vendiendo accesos, filtrando archivos robados y reclutando socios para expandir su malware mediante un modelo de Ransomware as a Service (RaaS).

El ransomware Gunra ha pasado rápidamente de ser una amenaza nueva a convertirse en un problema global grave, afectando a docenas de organizaciones en menos de un año.

El grupo que está detrás no solo cifra datos, sino que también gestiona una operación similar a una empresa que vende accesos, filtra archivos robados y recluta socios para propagar su malware. Para quienes defienden sus sistemas, esto no es una campaña aislada, sino un ecosistema en maduración que sigue evolucionando.

Observado por primera vez en abril de 2025, Gunra se dirigió inicialmente a cinco empresas en Corea del Sur, llamando la atención por la velocidad y el enfoque de sus primeros ataques.

En aquella etapa, el grupo dependía de un bloqueador de ransomware basado en Conti, reutilizando código y técnicas de una familia antigua y notoria.

Incluso entonces, los ataques mostraron una planificación cuidadosa, con una actividad alineada en gran medida con el horario comercial en Asia y ráfagas concentradas de actividad del operador por la mañana.

Esta postura de objetivos abiertos significa que el daño potencial puede extenderse a muchos sectores, y pueden surgir nuevas marcas que técnicamente sean Gunra bajo un nombre diferente, tal como S2W dijo en un informe compartido con Cyber Security News (CSN).

Con el tiempo, Gunra dejó de utilizar el bloqueador basado en Conti y pasó plenamente a un modelo de Ransomware como Servicio (RaaS), donde los afiliados alquilan las herramientas y comparten los beneficios de cada ataque.

A medida que el grupo se expandía en este ecosistema RaaS, los analistas de S2W documentaron cómo la actividad, que se había ralentizado a finales de 2025, volvió a dispararse una vez que se unieron nuevos afiliados y comenzaron a ejecutar sus propias campañas.

El Ransomware Gunra expande sus operaciones RaaS

Hasta el 9 de marzo de 2026, se habían confirmado un total de 32 organizaciones víctimas, lo que demuestra la rapidez con la que escaló la amenaza una vez que se implantó el modelo de servicio.

La investigación de S2W señala que los operadores de Gunra realizan casi toda su actividad a través de foros de la dark web que permiten contenido relacionado con el ransomware.

El grupo mantiene la promoción pública al mínimo, prefiriendo publicar en espacios controlados como RAMP, Rehub, Tierone y Darkforums, donde reclutan afiliados, contratan evaluadores de penetración y venden datos comprometidos.

Este perfil bajo hace que Gunra sea más difícil de rastrear, pero también indica una estrategia deliberada a largo plazo en lugar de ataques rápidos de "golpe y huida".

El impacto general no se limita a un solo sector o geografía, ya que Gunra no impone límites estrictos sobre a quién pueden atacar sus socios.

A diferencia de algunos programas RaaS que evitan hospitales o infraestructuras críticas, las reglas internas de Gunra no establecen industrias prohibidas separadas, y cualquier restricción sobre los países objetivo parece ser flexible y estar ligada a la región de origen del afiliado.

El paso de un bloqueador basado en Conti al propio ransomware de Gunra es fundamental para entender cómo el grupo expandió sus operaciones RaaS.

Inicialmente, apoyarse en el código establecido de Conti dio a los operadores una forma rápida de lanzar ataques, pero también impuso límites a cuánto podían personalizar sus herramientas y las funciones del panel.

Una vez que desarrollaron su propio ransomware y lo integraron en un panel alojado, Gunra pudo controlar todo, desde las opciones de compilación hasta los flujos de trabajo de negociación.

En el modelo RaaS descrito por S2W, Gunra proporciona un panel basado en la web que los afiliados utilizan para gestionar ataques, rastrear víctimas y manejar los pagos.

Este panel expone funciones como Negociación, Archivos, Herramienta de Bloqueo, Gestor y Configuración de Marca, ofreciendo a los afiliados un tablero sencillo para ejecutar sus operaciones.

El operador no se limita a entregar las herramientas, sino que participa directamente en la negociación con las víctimas, lo que sugiere que un equipo central supervisa las partes más sensibles de cada extorsión.

El constructor de Gunra es compatible tanto con sistemas Windows como Linux, lo que permite a los afiliados generar cargas útiles que se adapten a sus objetivos preferidos.

S2W observa que las compilaciones de Windows coinciden con muestras anteriores, mientras que las de Linux tienen parámetros de ejecución, registros, lógica de cifrado actualizados e incluso cambios en partes donde se habían encontrado debilidades criptográficas.

Estos cambios demuestran que el grupo está refinando activamente su código, cerrando brechas y ajustando el rendimiento basándose en análisis anteriores.

A medida que la oferta RaaS maduró, la presencia de Gunra en la dark web se volvió más estructurada. Los operadores promocionan su programa en foros especializados en ransomware y filtraciones de datos, pero evitan el marketing estridente y confían en el boca a boca y los contactos privados para incorporar nuevos socios.

S2W identificó al menos a un usuario que se cree que es un afiliado de Gunra después de que dicho usuario publicara datos de la misma víctima que el operador principal, lo que sugiere una red creciente de actores semi-independientes.

Ecosistema en expansión y respuesta de los defensores

Las reglas internas de Gunra no muestran límites estrictos sobre las industrias objetivo, lo que amplía la superficie de amenaza para organizaciones de todos los tamaños.

Los países prohibidos, si los hay, se aplican de forma flexible según la ubicación de cada afiliado, dando a los socios libertad para elegir objetivos que se ajusten a sus propias zonas de confort o acceso regional.

Además, la función de Configuración de Marca permite a los afiliados lanzar ataques bajo su propia marca de ransomware, aunque el código y la infraestructura subyacentes pertenezcan a Gunra.

Este modelo de marca blanca significa que los defensores pueden encontrarse con nuevos nombres de ransomware que son, en realidad, Gunra bajo el capó, con infraestructura compartida y técnicas superpuestas.

A medida que se registran más afiliados, el ecosistema puede generar rápidamente múltiples marcas, cada una con su propio sitio de filtraciones, estilo de extorsión y conjunto de víctimas.

Para los equipos de seguridad, esto hace que la atribución sea más difícil y aumenta el riesgo de que una amenaza “nueva” sea en realidad una antigua disfrazada.

S2W recomienda que las organizaciones refuercen su visibilidad sobre la actividad de la dark web, ya que los operadores y afiliados de Gunra se anuncian, reclutan y comercian con datos robados principalmente en estos foros.

El monitoreo regular de las comunidades favorables al ransomware puede ayudar a detectar signos tempranos de interés en un sector o región determinados, y puede revelar cuándo se ofrecen a la venta datos robados de una organización específica.

El informe también advierte que, debido a que Gunra no exime a los sectores críticos, entidades como hospitales y proveedores de infraestructura deben mantener una vigilancia máxima.

Otra recomendación clave es rastrear las marcas de ransomware emergentes que comparten marcadores técnicos con Gunra, especialmente cuando esas marcas aparecen repentinamente en la dark web sin un linaje claro.

Dado que los afiliados pueden crear sus propias marcas a través del panel de Gunra, los defensores deben tratar los nombres nuevos con sospecha si muestran un comportamiento, infraestructura o herramientas similares.

Con el tiempo, construir un mapa de estas relaciones ayudará a los equipos de respuesta a comprender cómo están vinculados los ataques y quién podría estar operando entre bastidores.

Finalmente, el informe de S2W destaca la importancia de combinar los controles de seguridad tradicionales con inteligencia de amenazas centrada en ecosistemas de ransomware como Gunra.

Esto significa no solo parchear sistemas y aplicar controles de acceso estrictos, sino también suscribirse a fuentes de inteligencia, participar en el intercambio de información y mantenerse al día sobre cómo los grupos RaaS evolucionan sus tácticas.

Al tratar a Gunra como un ecosistema continuo en lugar de una sola familia de malware, las organizaciones pueden prepararse mejor para la próxima ola de afiliados y campañas rebranded.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
URL	https://s2w.inc/en/resource/detail/10571/5	Página de recursos del informe de ransomware Gunra de S2W
URL	https://s2w.inc/en/resource/detail/10572/5	Análisis del panel y la actividad del ransomware Gunra de S2W
URL	https://s2w.inc/en/resource/detail/10573/5	Sección de mitigación y binarios del ransomware Gunra de S2W
URL	https://s2w.inc/en/resource/detail/10574/5	Página de índice de recursos de S2W relacionada con Gunra
URL	https://s2w.inc/en/resource/detail/10575/5	Página legal y de pie de página del informe de Gunra de S2W

Nota: Las direcciones IP y los dominios han sido "desactivados" intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos únicamente dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/gunra-ransomware-expands-raas-operations/