Ver el código de «Gunra Ransomware: RaaS Basado en Código de Conti Explota Vulnerabilidades de Fortinet y Bypass de MFA (2025-2026)»

== Nombres Alternativos / Aliases ==

* Gunra Ransomware (Nombre principal)
* Golden Community (Alias de la operación RaaS)
* Conti-derived Ransomware (Por su origen en código filtrado)
* Gunra RaaS (Ransomware-as-a-Service)
* ChaCha20/RSA-4096 Ransomware (Por el cifrado utilizado)

----

== Fecha de Detección / Actividad ==

* Primera aparición: Abril de 2025 (como variante de doble extorsión basada en código fuente filtrado de Conti)
* Variante Linux: Mediados de 2025
* Programa RaaS formal: Enero de 2026 (reclutamiento de afiliados en foros de la dark web)
* Nuevos alias: "Golden Community" (2026)
* Advertencia conjunta (FBI/CISA/NSA/KNPA) : 10 de agosto de 2026
* Estado: Activa (en expansión continua)

----

== Actor de Amenaza (Atribución) ==
{| class="wikitable"
!Característica
!Detalle
|-
|Nombre del Actor
|Gunra (RaaS) / Golden Community
|-
|Vínculo Gubernamental
|Posible relación limitada con un APT de Corea del Sur (según AhnLab), pero no confirmada
|-
|Tipo de Actor
|Ciberdelincuencia / Ransomware-as-a-Service (RaaS)
|-
|Sofisticación
|ALTA. El grupo demuestra:
|}

* Código basado en Conti (leaked en 2022)
* Cifrado híbrido con ChaCha20 y RSA-4096
* Capacidad multiplataforma (Windows y Linux)
* Cifrado multihilo (hasta 100 hilos en Linux)
* Bypass de MFA mediante modificación de archivos de autenticación
* Exfiltración de datos de Microsoft 365, OneDrive y SharePoint
* Borrado de backups en centros de datos primarios y de recuperación ante desastres |  | Motivación | Financiera (extorsión de doble rescate) |  | Demandas típicas | Decenas de millones de dólares  | Plazo de pago | 5-7 días antes de publicar los datos |  | Afiliados | Reclutamiento de hackers éticos y pentesters como Initial Access Brokers; oferta de panel de gestión, builder configurable, payloads multiplataforma y documentación estructurada

----

== Resumen Ejecutivo ==
El grupo de ransomware Gunra, que opera como Ransomware-as-a-Service (RaaS) y está basado en el código fuente filtrado de Conti, ha sido objeto de una advertencia conjunta de las agencias de seguridad de EE.UU. y Corea del Sur (FBI, CISA, NSA, DC3, Servicio Secreto de EE.UU. y la Policía Nacional de Corea del Sur) por sus ataques contra infraestructuras críticas a nivel mundial . Gunra explota vulnerabilidades conocidas de Fortinet (CVE-2024-55591 y CVE-2025-24472) para obtener acceso inicial y ha demostrado una capacidad avanzada para eludir la autenticación multifactor (MFA) y robar datos de servicios de Microsoft 365 antes del cifrado .

=== Descubrimientos clave ===
{| class="wikitable"
!Descubrimiento
!Detalle
|-
|Origen del código
|Conti ransomware (leaked en 2022)
|-
|Vulnerabilidades explotadas
|CVE-2024-55591 (crítica, CVSS 9.8) y CVE-2025-24472 (alta, CVSS 8.1) en FortiOS y FortiProxy
|-
|Cifrado
|ChaCha20 + RSA-4096, extensión <code>.ENCRT</code> (anteriormente <code>.CRYPT</code>)
|-
|Capacidad Linux
|Hasta 100 hilos de cifrado en paralelo, cifrado parcial
|-
|Bypass de MFA
|Modificación de archivos de autenticación en VDI para aceptar OTP designado; robo de cookies de sesión VPN
|-
|Exfiltración
|Herramienta <code>main.exe</code>, exfiltración a Mega (hasta decenas de TB)
|-
|Sectores objetivo
|Salud, finanzas, manufactura, gobierno, transporte, servicios públicos
|-
|Regiones afectadas
|Américas, Europa, Medio Oriente, África, Asia-Pacífico (concentración en Brasil y Corea del Sur)
|}
----

== Vector de Ataque / Métodos de Distribución ==

=== Vulnerabilidades de Fortinet explotadas ===
{| class="wikitable"
!CVE
!Descripción
!CVSS
!Estado
|-
|CVE-2024-55591
|Bypass de autenticación en FortiOS y FortiProxy que permite a un atacante obtener privilegios de superadministrador mediante solicitudes al módulo websocket de Node.js
|9.8 (Crítica)
|Parche disponible
|-
|CVE-2025-24472
|Bypass de autenticación que permite a un atacante remoto no autenticado obtener privilegios de superadministrador en el dispositivo descendente si Security Fabric está habilitado y conoce los números de serie de dispositivos upstream/downstream
|8.1 (Alta)
|Parche disponible
|}

=== Cadena de ataque completa ===
{| class="wikitable"
!Fase
!Descripción
|-
|1. Acceso Inicial
|Explotación de CVE-2024-55591 o CVE-2025-24472 en dispositivos Fortinet expuestos a Internet
|-
|2. Persistencia
|Creación de cuenta <code>forticloud-sync</code> con privilegios de superusuario y contraseña fija; esta cuenta sobrevive a actualizaciones de firmware
|-
|3. Robo de Credenciales
|Intercepción de tráfico SSL-VPN para capturar cookies de sesión y credenciales de empleados que acceden a VDI
|-
|4. Bypass de MFA
|Modificación de archivos de autenticación en el servidor del portal VDI para que un valor OTP designado por Gunra autentique exitosamente, permitiendo el bypass continuo de MFA
|-
|5. Movimiento Lateral
|Uso de herramientas Impacket (<code>psexec.py</code>, <code>smbclient.py</code>, <code>secretsdump.py</code>) para moverse por la red mediante SMB y volcar credenciales de controladores de dominio
|-
|6. Exfiltración
|Robo de datos de Microsoft OneDrive y SharePoint con la herramienta <code>main.exe</code>; compresión y envío a Mega (hasta decenas de TB)
|-
|7. Eliminación de Backups
|Borrado de backups en centros de datos primarios y de recuperación ante desastres, antes y después del despliegue de ransomware
|-
|8. Cifrado
|Despliegue del ransomware (Windows o Linux) con cifrado ChaCha20 y RSA-4096; eliminación de Shadow Copies con WMI
|-
|9. Extorsión
|Nota de rescate <code>R3ADM3.txt</code>, negociación a través de portal Tor y qTox; 5-7 días de plazo
|}

=== Técnicas de Bypass de MFA documentadas ===
{| class="wikitable"
!Técnica
!Descripción
|-
|Modificación de archivos de autenticación
|Gunra modificó archivos de autenticación en el servidor del portal VDI para que un valor OTP designado por ellos autentique exitosamente, permitiendo el bypass continuo de MFA
|-
|Robo de cookies de sesión
|El atacante tomó control de un dispositivo SSL-VPN y utilizó la funcionalidad de control de tráfico para recolectar credenciales e información de sesión de empleados que se autenticaban en el portal VDI, luego usó las cookies robadas para secuestrar sesiones
|-
|Compromiso de credenciales
|En un caso, el atacante comprometió un servidor de control de acceso Hiware, robó la clave de cifrado y descifró contraseñas almacenadas en la base de datos
|-
|Cuentas backdoor persistentes
|Creación de cuentas como <code>forticloud-sync</code> con privilegios de superusuario que sobreviven a actualizaciones de firmware
|}
----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Exploit Public-Facing Application (T1190)
|CVE-2024-55591 y CVE-2025-24472 en Fortinet
|-
|Persistence (TA0003)
|Create Account (T1136)
|Cuenta <code>forticloud-sync</code> con superadmin
|-
|Defense Evasion (TA0005)
|Impair Defenses: Disable or Modify Tools (T1562.001)
|Desactivación de antivirus y herramientas de seguridad
|-
|Defense Evasion (TA0005)
|Indicator Removal: Clear Windows Event Logs (T1070.001)
|Borrado de logs de sistema y acceso, limpieza de historial de comandos
|-
|Defense Evasion (TA0005)
|Masquerading (T1036)
|Alias "Golden Community" para operaciones RaaS
|-
|Defense Evasion (TA0005)
|Modify Authentication Process (T1556)
|Modificación de archivos de autenticación VDI para bypass de MFA
|-
|Credential Access (TA0006)
|OS Credential Dumping (T1003)
|Volcado de credenciales de controladores de dominio
|-
|Credential Access (TA0006)
|Steal Application Access Token (T1528)
|Robo de cookies de sesión SSL-VPN
|-
|Discovery (TA0007)
|Network Service Discovery (T1046)
|Reconocimiento de infraestructura entre 10 PM y 6 AM (horario local)
|-
|Lateral Movement (TA0008)
|Remote Services: SMB/Windows Admin Shares (T1021.002)
|Uso de Impacket (psexec.py, smbclient.py)
|-
|Command and Control (TA0011)
|Protocol Tunneling (T1572)
|OpenSSH para túneles SSH
|-
|Exfiltration (TA0010)
|Exfiltration Over Web Service (T1567)
|Exfiltración a Mega (con <code>main.exe</code>)
|-
|Impact (TA0040)
|Data Encrypted for Impact (T1486)
|Cifrado ChaCha20/RSA-4096, extensión <code>.ENCRT</code>
|-
|Impact (TA0040)
|Data Destruction (T1485)
|Borrado de backups
|-
|Impact (TA0040)
|Inhibit System Recovery (T1490)
|Eliminación de Shadow Copies
|}
----

== Infraestructura Utilizada ==

=== Herramientas y técnicas de ataque ===
{| class="wikitable"
!Herramienta/Técnica
!Propósito
|-
|Impacket (<code>psexec.py</code>, <code>smbclient.py</code>, <code>secretsdump.py</code>)
|Movimiento lateral y volcado de credenciales
|-
|OpenSSH
|Tunelización SSH para persistencia
|-
|main.exe
|Herramienta personalizada para exfiltración de OneDrive/SharePoint
|-
|Mega
|Servicio de intercambio de archivos para exfiltración de datos (hasta decenas de TB)
|-
|7-Zip, RClone, FileZilla
|Compresión y transferencia de datos
|-
|qTox
|Mensajería cifrada para negociación
|-
|Portal Tor
|Negociación de rescate
|}

=== Vulnerabilidades clave ===
{| class="wikitable"
!CVE
!Producto
!CVSS
!EPSS
|-
|CVE-2024-55591
|FortiOS, FortiProxy
|9.8
|98.26%
|-
|CVE-2025-24472
|FortiOS, FortiProxy
|8.1
|3.87%
|}

=== Nota de rescate ===
{| class="wikitable"
!Característica
!Detalle
|-
|Nombre del archivo
|<code>R3ADM3.txt</code>
|-
|Extensión de archivos cifrados
|<code>.ENCRT</code> (anteriormente <code>.CRYPT</code>)
|}
----

== Víctimas y Sectores Afectados ==
{| class="wikitable"
!Categoría
!Datos
|-
|Sectores objetivo
|Salud, finanzas, manufactura crítica, transporte, gobierno, servicios públicos, educación, medios y comunicaciones, retail, servicios profesionales y sin fines de lucro
|-
|Regiones afectadas
|América del Norte y Sur, Europa, Medio Oriente, África, Asia-Pacífico
|-
|Concentración geográfica
|Brasil y Corea del Sur (mayoría), seguidos de Canadá y Japón
|-
|Víctimas documentadas
|Organizaciones en Turquía, Taiwán, EE.UU., Corea del Sur, Japón, Canadá
|}
----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|Alcance global
|MUY ALTO
|Víctimas en 5 continentes, sectores críticos
|-
|Capacidad destructiva
|MUY ALTA
|Cifrado + exfiltración + borrado de backups
|-
|Bypass de MFA
|MUY ALTA
|Modificación de archivos de autenticación, robo de cookies
|-
|Demandas de rescate
|MUY ALTAS
|>$10 millones, 5-7 días de plazo
|-
|Detección
|BAJA
|Actividad en horario nocturno, borrado de logs
|}

=== Consecuencias para las víctimas ===
{| class="wikitable"
!Consecuencia
!Gravedad
!Detalle
|-
|Exfiltración masiva
|Crítica
|Decenas de TB de datos robados (OneDrive, SharePoint)
|-
|Cifrado de sistemas
|Crítica
|Cifrado ChaCha20/RSA-4096, recuperación difícil
|-
|Borrado de backups
|Crítica
|Backups eliminados en centros primarios y de recuperación
|-
|Bypass de MFA
|Crítica
|Autenticación comprometida de forma persistente
|-
|Interrupción operativa
|Crítica
|Sectores críticos (salud, energía, gobierno)
|}
----

== Recomendaciones de Mitigación ==

=== Para organizaciones con dispositivos Fortinet ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|Parchear CVE-2024-55591 y CVE-2025-24472
|CRÍTICA
|Aplicar parches en todas las instancias de FortiOS y FortiProxy
|-
|Buscar cuentas backdoor
|CRÍTICA
|Revisar si existe la cuenta <code>forticloud-sync</code> con privilegios de superusuario
|-
|Revisar archivos de autenticación VDI
|CRÍTICA
|Verificar modificaciones no autorizadas en archivos de autenticación que puedan permitir bypass de MFA
|-
|Rotar credenciales
|CRÍTICA
|Cambiar todas las contraseñas de administradores y cuentas de servicio
|-
|Habilitar bloqueo de cuentas
|ALTA
|Asegurar que las cuentas de administrador tengan controles de bloqueo
|}

=== Recomendaciones generales (CISA/FBI/KNPA) ===
{| class="wikitable"
!Acción
!Descripción
|-
|Copias de seguridad inmutables
|Almacenar en ubicaciones físicamente separadas y segmentadas; probar offline
|-
|Segmentación de red
|Limitar el movimiento lateral de los atacantes
|-
|Monitoreo de MFA
|Auditar archivos de autenticación y lógica de autenticación en VDI y VPN
|-
|Parcheo prioritario
|Enfocarse en vulnerabilidades conocidas explotadas en sistemas expuestos a Internet
|-
|Monitoreo de actividad nocturna
|Detectar reconocimiento de infraestructura entre 10 PM y 6 AM
|}
----

== Opiniones de Expertos ==
<blockquote>''"Gunra made multi-factor authentication (MFA) lie for them. In the South Korean case, the group modified virtual desktop infrastructure (VDI) authentication files to accept a hardcoded attacker-chosen one-time password, and every subsequent login looked legitimate to monitoring tools. Most organizations treat MFA as the last line of defense. Gunra treated it as the first thing to subvert."''

— Jacob Krell, Senior Director: Secure AI Solutions & Cybersecurity, Suzu Labs</blockquote><blockquote>''"CVE-2024-55591 and CVE-2025-24472, the two Fortinet authentication bypasses that got them initial access, are eighteen months old and have been exploited by multiple ransomware groups. Patching fixes the entry point. It does nothing about an authentication backdoor already embedded in the MFA flow."''

— Jacob Krell</blockquote><blockquote>''"The goal of targeting critical infrastructure is really twofold... Critical infrastructure has become a dinner bell. Ransomware groups have seen how exposed and neglected some of this infrastructure is in countries like the United States, and now they're swarming toward it because they recognize the opportunity."''

— John Strand, Owner, Black Hills Information Security, Inc.</blockquote>
----

== Referencias y Fuentes ==

# HEAL Security. (2026, 9 de agosto). ''Gunra Ransomware Exploits Fortinet VPN Flaws to Bypass MFA and Steal Enterprise Data''.
# The Cyber Express. (2026, 10 de agosto). ''Gunra Ransomware Expands RaaS Operations, FBI Warns''.
# CISA. (2026, 9 de agosto). ''CISA, FBI and Partners Warn Organizations of Gunra Ransomware Actors Targeting Multiple Critical Infrastructure Sectors''.
# CraftedSignal Threat Feed. (2026, 10 de agosto). ''Gunra Ransomware Gang Exploitation of Fortinet Appliances''.
# BleepingComputer. (2026, 10 de agosto). ''US and South Korea warn of Gunra ransomware targeting govt agencies''.
# IT Pro. (2026, 10 de agosto). ''Warning issued over Gunra ransomware gang as attacks ramp up globally''.
# The Register. (2026, 10 de agosto). ''Feds warn Gunra ransomware is exploiting known bugs to hit critical infrastructure''.
# Global Security Mag. (2026, 10 de agosto). ''FBI and South Korea warn Gunra ransomware is targeting critical infrastructure – Expert Perspectives''.
# Picus Security. (2026, 10 de agosto). ''Gunra Ransomware: Multithreaded ChaCha20 Encryption Explained''.
# Infosecurity Magazine. (2026, 11 de agosto). ''Gunra Ransomware Exploits Fortinet Flaws to Target Critical Infrastructure''.

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-08-12
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en análisis de CISA, FBI, HEAL Security, The Cyber Express, BleepingComputer, IT Pro, The Register, Global Security Mag, Picus Security, Infosecurity Magazine y otros
|}
----

== Indicadores de Compromiso (IOCs) ==

=== Vulnerabilidades explotadas ===
{| class="wikitable"
!CVE
!Producto
!CVSS
|-
|CVE-2024-55591
|FortiOS, FortiProxy
|9.8
|-
|CVE-2025-24472
|FortiOS, FortiProxy
|8.1
|}

=== Cuentas backdoor ===
{| class="wikitable"
!Cuenta
!Descripción
|-
|<code>forticloud-sync</code>
|Cuenta de superusuario creada por Gunra que sobrevive a actualizaciones de firmware
|}

=== Nota de rescate ===
{| class="wikitable"
!Archivo
!Descripción
|-
|<code>R3ADM3.txt</code>
|Nota de rescate con instrucciones de pago
|-
|<code>.ENCRT</code>
|Extensión de archivos cifrados
|}

=== Herramientas del atacante ===
{| class="wikitable"
!Herramienta
!Propósito
|-
|<code>main.exe</code>
|Exfiltración de OneDrive/SharePoint
|-
|<code>psexec.py</code>, <code>smbclient.py</code>, <code>secretsdump.py</code>
|Impacket - movimiento lateral y volcado de credenciales
|-
|<code>OpenSSH</code>
|Tunelización SSH
|}

=== Comportamiento a monitorear ===
{| class="wikitable"
!Categoría
!Comportamiento
|-
|Actividad nocturna
|Reconocimiento de infraestructura entre 10 PM y 6 AM (hora local)
|-
|Logs
|Borrado de logs de sistema y acceso, limpieza de historial de comandos
|-
|Autenticación
|Modificaciones en archivos de autenticación VDI
|-
|Cuentas
|Creación de cuentas como <code>forticloud-sync</code>
|-
|Exfiltración
|Tráfico masivo a Mega o uso de <code>main.exe</code>
|}
----

== Etiquetas / Categorías ==
 gunra-ransomware golden-community conti-derived-ransomware fortinet-exploit cve-2024-55591 cve-2025-24472 mfa-bypass-vdi double-extortion-ransomware raas-ransomware chacha20-rsa4096-encryption critical-infrastructure-ransomware