Gunra, el ransomware derivado de Conti que ahora explota firewalls y VPN expuestos

La alerta conjunta y la evolución de la amenaza

La CISA publicó el 10 de agosto de 2026 el aviso AA26-222A sobre el ransomware Gunra, detectado recientemente también en el informe del 14 de agosto. El documento está firmado, además de por la CISA, por el FBI, el DoD Cyber Crime Center, la NSA, el U.S. Secret Service y la National Police Agency de Corea del Sur.

Gunra es una familia de ransomware de doble extorsión. Sus operadores roban los datos antes de cifrar los sistemas y posteriormente amenazan con publicarlos o venderlos si la víctima no paga.

El FBI observó por primera vez al grupo en abril de 2025. El malware parece derivar del código fuente de Conti filtrado en 2022, o estar fuertemente influido por él. Al principio, la actividad se centraba sobre todo en entornos Windows, pero la información recopilada a mediados de 2025 apuntaba al desarrollo de una variante para Linux y a una expansión hacia infraestructuras multiplataforma.

Desde enero de 2026, Gunra también opera como un programa de ransomware-as-a-service. El grupo anuncia el servicio en foros de la dark web y proporciona a sus afiliados un panel de gestión, un builder configurable, payloads para distintos sistemas y documentación operativa.

Los operadores también utilizan el alias Golden Community. Para obtener acceso inicial, reclutan penetration testers, ethical hackers y otros initial access brokers, a quienes ofrecen una parte de los rescates a cambio de entrar en las redes corporativas.

Víctimas distribuidas en numerosos sectores

Las organizaciones publicadas en el dedicated leak site de Gunra se encuentran en América, Europa, Oriente Medio, África y la región de Asia-Pacífico. Se desconoce el número total de víctimas y el importe de los rescates exigidos o pagados.

La lista de sectores afectados incluye:

• sanidad y salud pública;
• banca, finanzas y seguros;
• manufactura crítica y construcción;
• transporte y logística;
• administraciones y organismos gubernamentales;
• utilities;
• universidades e investigación;
• medios de comunicación;
• retail;
• servicios profesionales y organizaciones sin ánimo de lucro.

El modelo operativo combina robo y cifrado. Tras la exfiltración, el ransomware bloquea los archivos y deja una nota en cada directorio afectado. El mensaje contiene instrucciones para acceder a través de Tor a un portal de negociación, al que la víctima entra mediante un Client ID y una contraseña inicial.

Las negociaciones continúan a través de qTox, una aplicación de mensajería cifrada. El plazo habitual para efectuar el pago es de entre cinco y siete días. Si no se alcanza un acuerdo, los operadores amenazan con publicar o vender los datos en el sitio de filtraciones.

El acceso se obtiene mediante dispositivos expuestos y credenciales comprometidas

Según el FBI, Gunra explota principalmente vulnerabilidades conocidas en dispositivos accesibles desde Internet, incluidos firewalls y appliances VPN. El aviso vincula esta fase con la técnica MITRE ATT&CK T1190, Exploit Public-Facing Application.

Las dos vulnerabilidades señaladas son:

• CVE-2024-55591, un bypass de autenticación clasificado como CWE-288, que afecta a versiones específicas de FortiOS y FortiProxy;
• CVE-2025-24472, también un bypass de autenticación CWE-288, relacionado con versiones específicas de FortiOS y FortiProxy.

El material disponible no especifica las versiones ni las builds exactas afectadas. Por tanto, no basta con conocer el nombre del producto o del vendor para determinar si un dispositivo es vulnerable: es necesario comparar la versión instalada con las indicaciones de Fortinet.

La gravedad operativa de ambas vulnerabilidades es elevada. CVE-2024-55591 tiene una puntuación CVSS de 9.8, con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Está incluida en el catálogo CISA KEV desde el 14 de enero de 2025; para las agencias federales estadounidenses, la fecha límite de remediation era el 21 de enero de 2025.

CVE-2025-24472 tiene una puntuación CVSS de 8.1, con el vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H. Se añadió al KEV el 18 de marzo de 2025, con fecha límite del 8 de abril de 2025 para las agencias federales de Estados Unidos.

Ambas vulnerabilidades están asociadas a campañas de ransomware. Para CVE-2024-55591, la CISA exige aplicar las mitigaciones indicadas por el vendor o dejar de utilizar el producto si no existen contramedidas disponibles. Para CVE-2025-24472, también indica seguir las disposiciones aplicables de la BOD 22-01 para los servicios cloud.

El riesgo no se limita a las CVE. La KNPA ha observado accesos obtenidos mediante credenciales expuestas y vulnerabilidades en los controles SSH de gateways VPN publicados en Internet. Por tanto, un dispositivo sin actualizar puede convertirse en el punto de entrada incluso cuando la organización no haya detectado un ataque directo contra los servidores internos.

El panorama de los últimos meses muestra problemas adicionales para los mismos vendors: CVE-2025-68686 entró en el catálogo KEV el 27 de julio de 2026. Este dato no implica que Gunra la esté explotando, pero confirma la necesidad de tratar las tecnologías Fortinet expuestas como activos prioritarios en la gestión de vulnerabilidades.

Del cifrado al movimiento lateral

Una vez obtenido el acceso, los operadores intentan ampliar el control sobre la red antes de iniciar el cifrado. Para el movimiento lateral utilizan habitualmente las librerías Impacket, en particular las herramientas psexec.py y smbclient.py.

La actividad aprovecha el protocolo Server Message Block y está asociada a la técnica MITRE ATT&CK T1021.002. Los sistemas Windows con recursos compartidos SMB accesibles, credenciales reutilizadas o privilegios excesivos pueden facilitar la propagación hacia otros hosts.

El cifrador para Windows utiliza API nativas del sistema operativo para localizar los datos. Para enumerar archivos y directorios en las unidades disponibles, emplea FindFirstFileW y FindNextFileW, recorriendo las letras de unidad de la A a la Z. Este comportamiento se vincula con la técnica T1106 – Native API.

Los indicadores técnicos no se limitan a los archivos cifrados. La telemetría sobre accesos anómalos a firewalls y VPN, el uso inesperado de SMB, la ejecución de herramientas Impacket y los escaneos extensos de las unidades pueden ayudar a detectar la fase de preparación del ataque.

Prioridades de defensa

Las organizaciones que gestionan dispositivos FortiOS o FortiProxy deberían comprobar de inmediato las versiones instaladas, aplicar los parches o las mitigaciones del vendor y retirar de la red los dispositivos para los que no existan correcciones utilizables.

La verificación debería incluir:

1. firewalls, VPN y otros dispositivos expuestos directamente a Internet;
2. gateways con acceso SSH público;
3. cuentas privilegiadas y credenciales que puedan haberse publicado o reutilizado;
4. registros de autenticación y configuración de los dispositivos Fortinet;
5. conexiones SMB anómalas y uso inesperado de psexec.py o smbclient.py;
6. sistemas RDP e infraestructuras publicadas sin una segmentación adecuada.

La CISA ofrece los indicadores de compromiso del aviso en formato STIX: un archivo XML de 54 KB y un archivo JSON de 61 KB. Los IOC pueden importarse en sistemas SIEM, EDR y de network security monitoring para correlacionar dominios, direcciones, hashes u otros artefactos asociados a la operación.

Los parches y la detección deben complementarse con copias de seguridad offline e inmutables, almacenadas en una ubicación físicamente separada y segmentada. La segmentación limita la propagación desde un endpoint comprometido hacia servidores, hipervisores, sistemas ERP y recursos de producción.

El ransomware también continúa afectando a la industria: durante el segundo trimestre de 2026, Dragos contabilizó 1.140 incidentes contra organizaciones industriales, 747 de ellos en el sector manufacturero. No se detectaron casos de manipulación directa de los ICS, pero los ataques interrumpieron las operaciones mediante sistemas IT, ERP y plataformas de virtualización.