Ransomware Gunra: aviso de CISA y guía de defensa empresarial

El hallazgo más importante del aviso sobre Gunra es cómo entran los atacantes: explotan firewalls y VPN expuestos a internet y sin parchear. Según el aviso conjunto, los actores de Gunra obtuvieron acceso inicial principalmente abusando de dos fallos de omisión de autenticación en Fortinet FortiOS y FortiProxy, identificados como CVE-2024-55591 y CVE-2025-24472. Ambos son fallos de autenticación a nivel de diseño y ambos figuran en el catálogo de Vulnerabilidades Explotadas Conocidas de CISA, lo que confirma su explotación real.

Una vulnerabilidad de omisión de autenticación es peligrosa porque permite al atacante saltarse por completo el inicio de sesión y actuar como un usuario autenticado y de confianza en el dispositivo perimetral que se supone que protege la red. Una vez dentro de ese equipo, el atacante ya ha superado el perímetro.

El reto para la mayoría de las empresas no es la concienciación, sino la gestión de la exposición. Los dispositivos perimetrales suelen quedar olvidados en los ciclos de parches, ejecutan firmware sin soporte o quedan fuera de la supervisión centralizada. Cada concentrador VPN, firewall y puerta de acceso remoto que da a internet es un posible punto de entrada, y las organizaciones con varias sedes suelen tener decenas repartidos entre regiones y operadores. Reducir esa superficie de ataque exige parches disciplinados, una segmentación estricta y visibilidad continua sobre lo que realmente está expuesto. Una conectividad gestionada y arquitectura de red resiliente que centralice el control entre sedes y operadores facilita enormemente mantener cada dispositivo perimetral parcheado, segmentado y supervisado en lugar de dejarlo como una puerta abierta.

Entender cómo se mueve Gunra por una red es la forma más rápida de saber dónde detenerlo. El aviso describe una cadena de ataque constante que se desarrolla en cinco etapas.

Primero, el acceso inicial: los afiliados explotan un firewall o una VPN vulnerable y expuesta para llegar a la red interna. Segundo, el robo de credenciales: extraen la base de datos NTDS.dit de un controlador de dominio para recolectar los hashes de todas las cuentas del entorno. Tercero, el movimiento lateral: mediante técnicas de pass-the-hash sobre SMB y RDP, se desplazan de un sistema a otro con credenciales robadas, escalando hacia el control de todo el dominio. Cuarto, la exfiltración de datos: antes de cifrar cualquier archivo, copian datos del negocio para alimentar la amenaza de extorsión. Quinto, el cifrado: los sistemas Windows se cifran añadiendo a los archivos las extensiones ".ENCRT" o ".CRYPT", mientras que la variante para Linux añade ".GNRA".

Cada etapa es una oportunidad de detección. Una autenticación inusual desde un dispositivo perimetral, el acceso a NTDS en un controlador de dominio y conexiones masivas por SMB o RDP son señales de alta fiabilidad que aparecen mucho antes de que comience el cifrado. El problema es que estas señales solo sirven si alguien, o algo, está vigilando las 24 horas. Esa es precisamente la función de un SOC gestionado con SIEM y MDR 24/7, que correlaciona estos eventos, detecta la intrusión durante la ventana de varias horas entre el acceso inicial y el cifrado, y la contiene antes de que el ransomware se active. Cabe destacar que las agencias también hallaron una debilidad criptográfica en el cifrador de Linux de Gunra que ha permitido a algunas víctimas recuperar archivos sin pagar, lo que subraya por qué las víctimas deben preservar las pruebas y consultar a las autoridades antes de tomar cualquier decisión.

Una defensa por capas contra el ransomware protege los ingresos, la reputación y el cumplimiento normativo, no solo los datos. Las empresas que invierten antes de un incidente obtienen ventajas concretas y medibles frente a las que reaccionan tras el cifrado.

El primer beneficio es la continuidad operativa. Las copias de seguridad inmutables y sin conexión implican que, aunque los atacantes cifren los sistemas de producción, existen copias limpias que no pueden alterarse ni eliminarse, lo que permite recuperarse en horas en lugar de semanas. Esta es la defensa más fiable frente a la mitad de cifrado de la doble extorsión, y es un resultado central de unos servicios gestionados de TI y respaldo bien diseñados.

El segundo beneficio es la reducción del tiempo de permanencia. Dado que Gunra pasa horas moviéndose lateralmente antes de cifrar, la detección y respuesta continuas acortan drásticamente la ventana en la que un atacante opera sin ser detectado, deteniendo con frecuencia una intrusión antes de que se convierta en una interrupción para todo el negocio.

El tercer beneficio es la resiliencia demostrable. La segmentación de red, la autenticación multifactor obligatoria, el parcheo disciplinado de los dispositivos perimetrales y la supervisión 24/7 reducen en conjunto tanto la probabilidad como el radio de impacto de un ataque. Esa postura también satisface los requisitos de los ciberseguros y las expectativas regulatorias, y protege la confianza del cliente que una filtración pública de datos destruiría. En resumen, una estrategia de zero trust y detección gestionada coordinada convierte el ransomware de una amenaza existencial en un evento manejable y contenido.

HIT Communications ayuda a las empresas de América Latina, Estados Unidos y Europa a construir defensas específicamente adecuadas para amenazas como Gunra. Con más de 30 años en telecomunicaciones y TI empresarial, HIT une conectividad y seguridad bajo un único socio responsable, que es exactamente lo que exige una cadena de ataque que va del firewall al cifrado.

En el lado de la prevención, los servicios de conectividad gestionada y SD-WAN/SASE de HIT centralizan el control de los dispositivos perimetrales en cada sede y operador, haciendo que el parcheo y la segmentación coherentes sean alcanzables y no una simple aspiración. En el lado de la detección, los servicios de ciberseguridad de HIT ofrecen un SOC gestionado con SIEM y MDR, proporcionando a su organización la supervisión ininterrumpida que detecta el movimiento lateral en la ventana crítica antes del cifrado. Y en el lado de la recuperación, los servicios gestionados de TI de HIT implementan copias de seguridad inmutables y probadas para que un evento de cifrado en el peor de los casos se convierta en algo recuperable.

Como estas capas se entregan de forma conjunta, no hay brechas entre el equipo de red, el equipo de seguridad y el plan de recuperación, que es precisamente donde prosperan los operadores de ransomware. Los equipos multilingües y la presencia regional de HIT permiten que las empresas de Colombia, México, Panamá, Brasil, EE. UU. y España reciban experiencia local respaldada por herramientas de nivel global.

El aviso sobre Gunra es una advertencia clara y fechada: parchee su perímetro expuesto a internet, vigile el movimiento lateral y asegúrese de que sus copias de seguridad sean inmutables. La cadena de ataque está bien documentada, lo que significa que también es defendible, pero solo para las organizaciones que actúan antes de que un afiliado encuentre su dispositivo expuesto.

Los siguientes pasos prácticos son sencillos. Confirme que todos los dispositivos Fortinet y otros equipos perimetrales estén parcheados frente a las vulnerabilidades explotadas conocidas y retirados de la exposición directa a internet siempre que sea posible. Verifique que la autenticación multifactor esté aplicada en todas partes, que su red esté segmentada para frenar el movimiento lateral y que su SOC tenga visibilidad sobre la actividad de los controladores de dominio y de SMB/RDP. Por último, pruebe su capacidad de restaurar desde copias de seguridad inmutables para que la recuperación sea un ensayo y no una apuesta.

Si desea una revisión experta de su exposición a Gunra y a operaciones de ransomware similares, contacte al equipo de HIT Communications para una consultoría. Una evaluación breve ahora es mucho más económica que un incidente después, y es la forma más directa de convertir un aviso federal en protección concreta para su negocio.