Gunra: Un ransomware como servicio que evoluciona y ataca infraestructuras críticas

El panorama de las ciberamenazas continúa evolucionando, y con él, la sofisticación de grupos delictivos que operan bajo modelos de negocio como el ransomware-as-a-service (RaaS). Un ejemplo prominente de esta tendencia es Gunra, una variante de ransomware que, desde su surgimiento en abril de 2025, ha expandido rápidamente su alcance y complejidad. A principios de 2026, Gunra estableció un programa RaaS formal, atrayendo a cibercriminales interesados en sus herramientas y servicios.

Origen y Modelo Operativo

Gunra se distingue por ser un derivado del código fuente filtrado del ransomware Conti, una de las familias de malware más notorias. Esta herencia le confiere una base técnica robusta, que ha sido explotada para atacar a una amplia gama de organizaciones en América, Europa, Oriente Medio, África y Asia-Pacífico. Entre los sectores más afectados se encuentran la salud pública, servicios financieros, manufactura crítica, sistemas de transporte, servicios gubernamentales, servicios públicos, academia, medios de comunicación y el comercio minorista.

El grupo Gunra opera bajo un modelo de doble extorsión, una estrategia que maximiza la presión sobre las víctimas. Primero, los atacantes exfiltran grandes volúmenes de datos sensibles de la red comprometida. Posteriormente, proceden a cifrar los sistemas, haciéndolos inaccesibles. Si la víctima se niega a pagar el rescate, Gunra amenaza con publicar los datos robados en un Dedicated Leak Site (DLS) operado en la red Tor, e incluso ofrece la venta de estos conjuntos de datos a terceros.

Los operadores de Gunra han demostrado una estrategia de expansión activa, reclutando a penetration testers y ethical hackers a través de foros en la dark web para fungir como brokers de acceso inicial. A cambio de acceso a redes empresariales, estos brokers reciben una parte de los beneficios del rescate. Esta comercialización de las fases iniciales del ataque subraya la madurez operativa del grupo.

Tácticas de Intrusión y Persistencia

El acceso inicial a las redes de las víctimas se logra principalmente mediante la explotación de vulnerabilidades conocidas en sistemas expuestos a internet, como gateways VPN y dispositivos de firewall. Se han identificado explotes de vulnerabilidades específicas (CVE-2024-55591 y CVE-2025-24472) en FortiOS y FortiProxy. Además, Gunra aprovecha credenciales expuestas y fallos en el control de acceso SSH para obtener acceso remoto no autorizado.

Una vez dentro, el grupo utiliza herramientas como las librerías Impacket (psexec.py y smbclient.py) para moverse lateralmente por la red utilizando el protocolo SMB. La persistencia se asegura mediante la explotación de credenciales predeterminadas o la manipulación de cuentas de administrador, incluso sorteando controles de cambio de contraseña obligatorios. También instalan herramientas como OpenSSH para mantener túneles de conexión con los sistemas comprometidos.

Extracción de Credenciales y Evasión

Para escalar privilegios y expandir su control, Gunra recurre a la extracción de credenciales. Utilizan secretsdump.py de Impacket para volcar hashes de contraseñas de cuentas de usuario de archivos NTDS en controladores de dominio, lo que facilita ataques de pass-the-hash o pass-the-ticket. En algunos casos, han manipulado el tráfico de red de dispositivos SSL-VPN para capturar credenciales de inicio de sesión VDI y secuestrar sesiones, o incluso modificado archivos de autenticación para omitir la autenticación multifactor (MFA) con una contraseña de un solo uso (OTP) específica.

Para evadir la detección, los actores de Gunra operan de forma sigilosa. Borran los registros de acceso al sistema y a la red, y limpian el historial de comandos. Sus actividades maliciosas y de reconocimiento de infraestructura interna suelen llevarse a cabo en horas de baja actividad (entre las 10:00 p.m. y las 06:00 a.m.). El binario de ransomware en sí mismo está diseñado para funcionar sin indicadores de red observables durante el cifrado e incluye mecanismos anti-ingeniería inversa, como la llamada a la API IsDebuggerPresent.

Cifrado y Recuperación de Datos

Antes del cifrado, los actores de Gunra dedican esfuerzos significativos a la recopilación de datos, identificando documentos críticos para el negocio, bases de datos, información de identificación personal (PII) y comunicaciones internas de correo electrónico. Utilizan ejecutables específicos (main.exe) para exfiltrar datos de servicios en la nube como Microsoft OneDrive y SharePoint, generando archivos comprimidos (con herramientas como 7-Zip o WinRAR) que luego se transfieren a servicios como Mega, con volúmenes que pueden alcanzar decenas de terabytes.

El ransomware Gunra emplea una arquitectura multihilo para lograr un cifrado de alta velocidad de los sistemas de archivos, utilizando una combinación de algoritmos de cifrado fuerte: ChaCha20 y RSA-4096. Los archivos cifrados se renombran con la extensión .ENCRT (o .CRYPT en muestras anteriores). Para dificultar la recuperación, los actores de Gunra también borran las copias de sombra de volumen y los datos de copia de seguridad tanto en los centros de datos primarios como en los de recuperación ante desastres.

Sin embargo, se ha identificado una debilidad crucial en las variantes ELF (Executable and Linkable Format) de Gunra para Linux, observadas hasta marzo de 2026. Sus claves de cifrado utilizan un generador de números pseudoaleatorios (PRNG) débil sembrado con srand(time(NULL)), que es predecible. Esto abre una ventana para que las organizaciones afectadas puedan reconstruir matemáticamente las claves utilizando las marcas de tiempo de los archivos y recuperar datos sin pagar el rescate, una oportunidad vital para las defensas de ciberseguridad.