Agencias de ciberseguridad de EE. UU. y Corea del Sur advierten sobre el ransomware Gunra, que ataca infraestructuras críticas mediante el robo y cifrado de datos. El grupo utiliza vulnerabilidades en dispositivos de red y phishing, afectando principalmente a organizaciones en Asia, Europa y Australia. Se sospecha que podrían colaborar con grupos estatales como Lazarus para ejecutar sus ataques.



Agencias de inteligencia y ciberseguridad de Corea del Sur y EE. UU. advirtieron sobre los ataques de ransomware Gunra dirigidos a sectores de infraestructura crítica y organizaciones de todo el mundo.

Los objetivos de estos ataques incluyen la salud y la salud pública, los servicios financieros, los servicios e instalaciones gubernamentales, y los servicios profesionales y sin fines de lucro.

"Gunra es otra variante en la tendencia actual de ataques de ransomware que causan interrupciones y daños a organizaciones estadounidenses e internacionales", afirmó Chris Butera, Director Asistente Ejecutivo Interino de Ciberseguridad de la CISA.

Los ataques que despliegan el ransomware han aprovechado fallos de seguridad en los dispositivos Schneider Electric PowerLogic P5 orientados a internet (CVE-2024-5559) y en Fortinet FortiOS y FortiProxy (CVE-2025-24472) para obtener acceso inicial, y luego despliegan el ransomware Gunra como parte de un modelo de doble extorsión que combina la exfiltración de datos y la cifrado de los mismos para lograr el máximo impacto.

Las víctimas que se niegan a pagar en un plazo de cinco a siete días ven sus datos publicados en un sitio de filtraciones. Según los datos publicados en Ransomware.Live, Gunra ha enumerado un total de 51 víctimas desde que apareció en el panorama de amenazas en abril de 2025, la mayoría de ellas de Corea del Sur, Brasil, España, Tailandia y Hong Kong.

Lo notable sobre el actor de la amenaza es que la mayoría de los objetivos se encuentran en Australia, Asia Oriental y Europa. Hasta ahora, solo se han reportado tres víctimas de Canadá y EE. UU.

"El grupo utiliza el phishing como principal vector de ataque para entregar piezas maliciosas a sus objetivos y llevar a cabo las negociaciones en un panel de chat con temática de WhatsApp", dijo el investigador de seguridad Rakesh Krishnan en un análisis publicado el año pasado. "El grupo es capaz de cifrar archivos enormes (9 TB) en un tiempo limitado mediante el uso de cifrado de flujo avanzado como Salsa20 o ChaCha20".

Se dice que la operación derivada de Conti ha lanzado un programa formal de afiliados RaaS en foros de la dark web en enero de 2026, proporcionando a los afiliados acceso a un panel de gestión, un constructor de ransomware configurable, payloads de bloqueo multiplataforma y documentación estructurada para afiliados.

El grupo ofrece variantes tanto para Windows como para Linux de su bloqueador, aunque un análisis publicado por Breakglass Intelligence en marzo de 2026 identificó una "debilidad criptográfica catastrófica" en las versiones de Linux que permitía recuperar la clave de cifrado y recuperar el acceso a los archivos.

Según la Oficina Federal de Investigación de EE. UU. (FBI), se ha observado que Gunra adopta nuevos alias de marca, como Golden Community, para expandir sus operaciones, mientras toma medidas para monetizar su plataforma reclutando probadores de penetración y hackers éticos para que actúen como brokers de acceso inicial, a quienes se les ofrece una parte de los beneficios del rescate a cambio del acceso a la red empresarial.

Se sabe que las cadenas de ataque aprovechan las librerías Impacket "psexec.py" y "smbclient.py" para el movimiento lateral utilizando el protocolo Server Message Block (SMB). Otra utilidad de Impacket, "secretsdump.py", se utiliza para realizar el volcado de credenciales contra controladores de dominio comprometidos y extraer hashes de contraseñas de cuentas de usuario del archivo NT Directory Services (NTDS).

Para cubrir el rastro de la actividad maliciosa, se sabe que el grupo elimina los registros de acceso al sistema/red, borra el historial de comandos y realiza principalmente actividades maliciosas y reconocimiento de infraestructura interna entre las 10 p.m. y las 6 a.m. La exfiltración de datos de Microsoft OneDrive y SharePoint se lleva a cabo mediante un ejecutable llamado "main.exe".

En casos seleccionados, se ha observado que los actores de la amenaza crean archivos comprimidos que contienen terabytes de datos y los exfiltran al servicio de intercambio de archivos MEGA. Además de recopilar documentos críticos para el negocio, se dice que el grupo se ha conectado a los entornos de infraestructura de escritorios virtuales (VDI) del personal de TI y ha recolectado documentos confidenciales que contienen información de configuración de sistemas y redes.

"Los actores de Gunra luego aprovecharon credenciales de servidores empresariales robadas de un servidor de control de acceso al sistema para desplegar ransomware y cifrar activos clave, incluidos servidores de bases de datos y sistemas de almacenamiento conectado a la red (NAS)", afirmó la Agencia de Seguridad e Infraestructura de Ciberseguridad (CISA) de EE. UU.

En un caso detectado por la Agencia Nacional de Policía de Corea del Sur (KNPA), se ha visto a los atacantes manipulando la funcionalidad de control de tráfico de red de un dispositivo SSL-VPN para interceptar credenciales e información de sesión transmitida por usuarios que se autentican en un portal de autenticación VDI corporativo. Estas cookies de sesión robadas se utilizaron luego para realizar el secuestro de sesión e impersonar a usuarios legítimos para ganar acceso a la red interna.

Para eludir la autenticación de múltiples factores (MFA), se dice que Gunra manipuló los archivos de procesamiento de autenticación en el servidor del portal de autenticación VDI corporativo, de modo que permitía la autenticación exitosa cuando se introducía un valor de contraseña de un solo uso (OTP) específico designado por Gunra.

Algunos de los otros comportamientos detectados se enumeran a continuación

* Obtener acceso a una cuenta de administrador para un dispositivo SSL-VPN explotando credenciales por defecto y luego descargando OpenSSH desde un servidor controlado por el atacante para establecer conexiones entre sistemas comprometidos y mantener la persistencia en el entorno de la víctima.
* Confiar en una cuenta no utilizada identificada en la consola web administrativa de SSL-VPN que tenía acceso tanto a internet como a la red corporativa interna, y modificar su configuración para eludir el requisito obligatorio de cambio de contraseña y vaciarla para actividades posteriores.
* Acceder a un servidor de control de acceso al sistema Hiware a través de SSH desde un escritorio virtual comprometido y robar una clave de cifrado simétrico almacenada en el servidor para descifrar contraseñas de cuentas de servidores empresariales almacenadas en la base de datos y realizar el volcado de credenciales asociadas con todos los servidores empresariales.
* Eliminar datos de respaldo y archivos almacenados en la infraestructura de respaldo tanto en el centro de datos primario como en el centro de recuperación ante desastres antes y después del despliegue del ransomware.

La revelación cobra importancia ante un aviso reciente de Corea del Sur sobre una ciber campaña orquestada por un grupo de amenazas patrocinado por el estado no especificado desde 2025 hasta la primera mitad de 2026, explotando vulnerabilidades en un software de seguridad financiera no identificado para distribuir malware tras engañar a las víctimas para que visitaran URLs maliciosas mediante técnicas de spear-phishing y watering hole [enlace].

Curiosamente, algunos de estos incidentes también han implicado la explotación de las mismas vulnerabilidades del software de seguridad financiera para desplegar el ransomware Gunra y exfiltrar información organizativa confidencial.

Algunos de los ataques de watering hole, según ENKI, también han explotado una vulnerabilidad de día cero en AnySign4PC, provocando que se instale y ejecute malware en sistemas con el software de firma de certificados instalado al acceder a la página web que contenía el código del exploit. Algunos de los payloads distribuidos como parte de toda la campaña incluyen Struggle (también conocido como SIGNBT 3.0) y Brandoor (también conocido como COPPERHEDGE), ambos conocidos por ser utilizados por el Grupo Lazarus.

"Estas similitudes sugieren que, aunque el grupo de amenazas patrocinado por el estado y el grupo de ransomware Gunra parecen ser actores de amenazas separados con objetivos finales diferentes, pueden haber compartido ciertas técnicas, herramientas e infraestructura o colaborado en cierta medida durante los ataques", afirmó AhnLab.

Aunque los orígenes exactos de Gunra no están claros, este tipo de colaboración entre un grupo estatal de Corea del Norte y un actor de ransomware no es desconocido. Ya en octubre de 2024, Palo Alto Networks Unit42 dijo que observó al subgrupo de Lazarus, Andariel, asociándose con el equipo de ransomware Play.

Andariel tiene un historial de despliegue de familias de ransomware personalizadas como SHATTEREDGLASS, Maui y H0lyGh0st en el pasado. En los últimos meses, el Grupo Lazarus y su conjunto de intrusiones relacionado Moonstone Sleet también han sido atribuidos a ataques dirigidos a entidades de Corea del Sur y Oriente Medio con los ransomware Qilin y Medusa.

Para protegerte contra el ransomware Gunra, se recomienda que mantengas todos los sistemas operativos, software y firmware actualizados, priorices el parcheo de vulnerabilidades explotadas conocidas en sistemas orientados a internet, apliques la segmentación de red y te asegures de que los respaldos sean inmutables y se almacenen en una ubicación físicamente separada.

Fuente:
THN