Agencias federales de EE. UU. y la National Policy Agency de Corea del Sur emitieron una alerta conjunta sobre el ransomware Gunra, que está atacando agencias gubernamentales y sistemas de infraestructura crítica y causando riesgo de exfiltración y cifrado de datos.
Por qué importa: el grupo combina un linaje derivado del código filtrado de Conti con explotación activa de vulnerabilidades en dispositivos de borde, lo que aumenta el riesgo operativo para administradores de redes y servicios esenciales.
Lo esencial
- Gunra es una variante derivada del código fuente de Conti y apareció en abril de 2025.
- Ataca infraestructuras y agencias usando exploits contra Fortinet (incluye CVE-2024-55591 y CVE-2025-24472) y fallos en puertas VPN con acceso SSH expuesto.
- Desde enero de 2026 opera como un servicio (RaaS), con panel de gestión, generador de binarios multiplataforma y programa de afiliados.
Gunra nace del código filtrado de Conti
Según la alerta conjunta, Gunra reutiliza y modifica el código fuente filtrado de Conti divulgado en febrero de 2022. Las agencias describen la familia como una variante de doble extorsión que inició actividad pública en abril de 2025 y posteriormente incorporó una muestra para Linux a mediados de 2025, ampliando su alcance más allá de entornos Windows.
Explotación de Fortinet y puertas VPN
El boletín indica que los atacantes aprovechan vulnerabilidades en productos Fortinet —incluidas CVE-2024-55591 y CVE-2025-24472— para obtener acceso inicial. Además, emplean fallos que exponen credenciales y debilidades en controles SSH de gateways VPN con presencia en Internet para moverse lateralmente y colocar cargas útiles.
