La Agencia de Ciberseguridad y Seguridad de la Infraestructura (CISA), el FBI y sus socios gubernamentales han publicado detalles técnicos adicionales sobre cómo los actores del ransomware Gunra irrumpen en las redes de las víctimas. Según el aviso conjunto más reciente, los afiliados de Gunra están obteniendo su acceso inicial a través de dos vulnerabilidades conocidas en dispositivos expuestos a internet, el tipo de hardware de perímetro, puertas de enlace VPN, firewalls y dispositivos de acceso remoto que se encuentran en el perímetro de la red de casi todas las organizaciones.

Se trata de un seguimiento de advertencias anteriores sobre la operación de ransomware como servicio, que las agencias señalaron previamente por atacar al sector de la salud y por ejecutar un agresivo esquema de doble extorsión que combina el robo de datos con el cifrado de archivos. La nueva guía se centra en la mecánica de la intrusión en sí, lo que brinda a los defensores una imagen más clara de exactamente dónde enfocar su atención.

Las vulnerabilidades que explotan los actores de Gunra

Según el aviso, los actores de Gunra no dependen de exploits de día cero novedosos. En cambio, están explotando dos vulnerabilidades ya conocidas en dispositivos expuestos a internet, el software y los equipos que las organizaciones exponen a internet para permitir el trabajo remoto, la conectividad entre sitios o los servicios externos. Este patrón es coherente con la forma en que opera la mayoría de los afiliados de ransomware como servicio: en lugar de invertir en el desarrollo costoso de exploits, escanean internet en busca de sistemas sin parches y entran por puertas que ya deberían haber estado cerradas. La lección para los defensores es sencilla. Las vulnerabilidades conocidas siguen siendo peligrosas durante mucho tiempo después de ser divulgadas, porque los ciclos de aplicación de parches dentro de las organizaciones reales suelen ser más lentos que el ritmo al que los atacantes convierten el código de explotación público en un arma.

Cómo Gunra consigue afianzarse una vez dentro

Una vez que los afiliados de Gunra explotan uno de estos puntos de entrada, utilizan ese acceso para moverse más profundamente en la red. Los dispositivos expuestos a internet, como los concentradores de VPN y los firewalls, son objetivos atractivos precisamente porque comprometerlos a menudo otorga un nivel de confianza que los sistemas internos consideran legítimo. A partir de ahí, los actores pueden establecer persistencia, recolectar credenciales y comenzar a mapear la red como preparación para las etapas de robo de datos y cifrado que definen el modelo de doble extorsión de Gunra. Debido a que el compromiso inicial ocurre en el perímetro de la red, las organizaciones que tratan los dispositivos perimetrales como infraestructura que se "configura y se olvida" están especialmente expuestas. Estos dispositivos suelen implementarse una sola vez, configurarse para maximizar el tiempo de actividad en lugar de la seguridad y dejarse en funcionamiento durante años sin una revisión de firmware o parches.

Pasos de parches y configuración para cerrar la brecha

La recomendación central del aviso se aplica ampliamente a todas las campañas de ransomware, no solo a Gunra: aplique parches a los dispositivos expuestos a internet de inmediato y priorice las vulnerabilidades conocidas explotadas activamente por encima de las actualizaciones rutinarias. Los equipos de TI y seguridad deben mantener un inventario actualizado de cada dispositivo expuesto a internet, incluidas las puertas de enlace VPN, los firewalls y las herramientas de acceso remoto, y confirmar que cada uno ejecute una versión compatible y actualizada. Cuando no se pueda aplicar un parche de inmediato, las organizaciones deben considerar desconectar el servicio afectado o restringir el acceso hasta que se aplique una solución. La autenticación multifactor en todos los puntos de acceso remoto, combinada con el registro y las alertas sobre actividad de inicio de sesión inusual, añade otra capa de resistencia incluso si un dispositivo tiene una falla sin parchear.

Por qué el control de acceso VPN y la segmentación de la red limitan la propagación del ransomware

Incluso con una aplicación de parches disciplinada, ninguna organización puede garantizar una exposición cero en todo momento. Por eso el control de acceso y la segmentación importan tanto como la corrección inicial. El acceso VPN debe limitarse estrictamente, otorgando a los usuarios únicamente los segmentos de red que realmente necesitan, en lugar de un acceso amplio a todo el entorno. Segmentar las redes para que un dispositivo perimetral comprometido no pueda llegar directamente a sistemas sensibles, servidores de respaldo o controladores de dominio puede marcar la diferencia entre un incidente contenido y un evento de ransomware a gran escala. Estos controles no evitan todas las intrusiones, pero frenan a los atacantes y dan tiempo a los defensores para detectar y responder antes de que ocurran el cifrado y la exfiltración de datos.

Qué significa esto para usted

Para los administradores de TI y los equipos de seguridad, este aviso es un recordatorio de que los grupos de ransomware como Gunra siguen teniendo éxito al explotar lo básico: sistemas sin parches y un acceso a la red excesivamente permisivo, no ataques novedosos y sofisticados. Una protección eficaz contra el ransomware Gunra comienza con una auditoría honesta de cada dispositivo que su organización expone a internet. Si opera en el sector de la salud o en otro sector mencionado anteriormente en los avisos sobre Gunra, la urgencia es aún mayor, ya que el grupo ya ha demostrado disposición a atacar esos entornos específicamente.

Conclusiones prácticas

Las organizaciones deben inventariar todos los dispositivos expuestos a internet, incluidas las puertas de enlace VPN y los firewalls, y confirmar el estado de los parches frente a las vulnerabilidades conocidas. Restrinja el acceso remoto con autenticación multifactor y permisos de VPN con privilegios mínimos. Segmente las redes para que un solo dispositivo comprometido no pueda exponer copias de seguridad ni sistemas críticos. Revise los avisos anteriores de CISA, el FBI y la NSA sobre los ataques de Gunra al sector de la salud y sus tácticas de doble extorsión para obtener los indicadores técnicos completos y la orientación sectorial específica necesaria para construir un plan de defensa completo.