Agencias de EE. UU. y Corea del Sur alertan de ataques del ransomware Gunra
Las agencias de seguridad de Estados Unidos y Corea del Sur han publicado una advertencia conjunta sobre el ransomware Gunra, una operación que apareció por primera vez en 2025 y que se expandió hacia un modelo de ransomware como servicio en 2026. El aviso conjunto de CISA del 10 de agosto, elaborado junto con el FBI, la NSA, el Centro de Delitos Cibernéticos del Departamento de Defensa, el Servicio Secreto de EE. UU. y la Agencia Nacional de Policía de Corea del Sur, señala que los afiliados de Gunra han atacado a organismos gubernamentales, infraestructuras críticas, sanidad, servicios financieros, transporte, suministros públicos y otras organizaciones en diversas regiones.
El informe describe un modelo de doble extorsión en el que los atacantes roban información antes de cifrar los sistemas y amenazan con hacer público el material sustraído si las víctimas no pagan el rescate. También recomienda que las organizaciones mantengan y prueben copias de seguridad sin conexión o inmutables en ubicaciones físicamente separadas o segmentadas. Esto encaja con la regla de backup 3-2-1-1-0, diseñada para reducir las posibilidades de que un ataque de ransomware destruya simultáneamente los datos en producción y las copias de recuperación.
Gunra aprovecha vulnerabilidades conocidas en el perímetro de red
Según el comunicado oficial y los análisis posteriores, los operadores de Gunra han empleado vulnerabilidades conocidas en dispositivos expuestos a internet para lograr el acceso inicial. Las directrices gubernamentales hacen hincapié en aplicar parches a las pasarelas VPN expuestas y a la infraestructura de acceso remoto, mientras que los informes de seguridad han destacado los fallos de Fortinet CVE-2024-55591 y CVE-2025-24472 como vulnerabilidades aprovechadas por esta operación.
Los puntos de entrada del ransomware suelen ser elementos de infraestructura ordinarios que quedan expuestos o sin actualizar, sin necesidad de recurrir a vulnerabilidades de día cero complejas. Los dispositivos perimetrales resultan especialmente valiosos para los atacantes porque se ubican en los límites de confianza de la red y pueden proporcionar acceso antes de que los controles del endpoint puedan intervenir. Una vez dentro, los afiliados se desplazan lateralmente, roban credenciales, identifican sistemas de alto valor, extraen información y lanzan el cifrado.
La estrategia de backup debe asumir un atacante activo
El esquema de doble extorsión de Gunra implica que restaurar los sistemas es solo una parte del problema, ya que recuperar los datos no anula el robo de información. Aun así, contar con opciones sólidas de recuperación resta margen de presión al atacante al reducir la dependencia de un descifrador y acortar el tiempo de inactividad operativa.
Las copias de seguridad deben ser capaces de sobrevivir al mismo ataque. Un intruso con amplios privilegios administrativos intentará eliminar snapshots, comprometer credenciales de backup, borrar repositorios o cifrar el almacenamiento conectado. Por eso, un programa de backup necesita segregación de funciones, acceso restringido, copias inmutables o desconectadas y verificaciones rutinarias. Los equipos también deben llevar a cabo pruebas de backup en archivos, aplicaciones y sistemas completos para que los procedimientos de recuperación se conozcan al detalle antes de que surja una emergencia.
La advertencia apunta a la operativa tanto como al malware
El comunicado describe un modelo delictivo repetible y no una simple muestra de malware aislada, y eso es lo que hace que Gunra merezca tanta atención. El modelo de ransomware como servicio permite a los afiliados emplear herramientas e infraestructura compartidas mientras eligen sus propios objetivos. Este esquema puede escalar con gran rapidez cuando las vulnerabilidades conocidas siguen presentes en miles de sistemas conectados a internet.
Los equipos de defensa deben responder a la ruta completa del ataque. Esto exige actualizar los sistemas expuestos, restringir la administración remota, segmentar las redes y proteger las cuentas con privilegios. También implica monitorizar movimientos laterales y transferencias anómalas de datos, manteniendo la infraestructura de recuperación desvinculada de los dominios de confianza de producción. Por último, comprueba si las cargas de trabajo críticas pueden reconstruirse realmente dentro de los objetivos de recuperación establecidos.
Ningún producto o control de seguridad individual cubre todo este abanico. Lo que resulta eficaz es un modelo operativo que reduzca el acceso inicial, limite el avance tras una intrusión, detecte actividades sospechosas y conserve una vía limpia hacia la recuperación, con organizaciones preparadas para abordar esas cuatro fases al mismo tiempo.
Publicado originalmente en el blog de Mr.PlanB.