Los grupos de ransomware siguen perfeccionando sus herramientas, y Gunra es un buen ejemplo de hasta dónde ha llegado el modelo de ransomware como servicio. Un desglose técnico reciente explica exactamente cómo funciona el cifrado de Gunra y cómo estructura el grupo su extorsión, ofreciendo un caso de estudio útil sobre por qué las herramientas de navegación cifrada, como las VPN, nunca fueron diseñadas para detener este tipo de ataque.

Entender el cifrado del ransomware Gunra explicado en términos sencillos importa porque deja claro dónde vive el riesgo real: no en el tráfico del navegador, sino en los controles de acceso, las copias de seguridad y la segmentación de la red.

Cómo funciona el cifrado multihilo ChaCha20 de Gunra

En el núcleo del locker de Gunra está ChaCha20, un cifrado de flujo rápido, combinado con RSA-4096 para proteger las propias claves de cifrado. El malware está diseñado para ejecutarse en varios hilos simultáneamente, lo que le permite procesar grandes volúmenes de archivos mucho más rápido de lo que podían hacerlo cepas de ransomware más antiguas de un solo hilo. La velocidad importa para los atacantes porque cuanto más tiempo se ejecuta un trabajo de cifrado, más probable es que las herramientas de detección de endpoints o el personal de TI noten actividad de disco inusual e intervengan antes de que se consume el daño.

Los payloads de Gunra también funcionan en varias plataformas, apuntando tanto a sistemas Windows como Linux. Ese alcance multiplataforma amplía el grupo de víctimas potenciales mucho más allá de los entornos de escritorio típicos, hacia servidores e infraestructura que las organizaciones suelen suponer de menor riesgo. Una vez que los archivos están bloqueados, las víctimas se quedan sin una forma directa de recuperar los datos sin restaurar desde copias de seguridad u obtener la clave de descifrado de los atacantes, que es exactamente la posición en la que Gunra quiere tenerlas.

El manual de doble extorsión: negociación en Tor y amenazas de reventa de datos

El cifrado es solo la mitad de la campaña de presión de Gunra. Antes de bloquear archivos, el grupo suele exfiltrar datos de la red de la víctima. Luego se dirige a las víctimas a un portal de negociación alojado en la red Tor, donde se enfrentan a una doble amenaza: pagar o los datos robados se publican o se venden. Este enfoque de doble extorsión se ha convertido en estándar entre las principales operaciones de ransomware porque da a los atacantes influencia incluso contra organizaciones que tienen copias de seguridad sólidas y no necesitan una clave de descifrado para recuperarse.

Lo que hace notable a Gunra es cómo se empaqueta como negocio. Los afiliados pueden comprar un kit completo que incluye un panel de gestión, un constructor de ransomware configurable, payloads de locker multiplataforma y documentación escrita para ejecutar ataques. Según se informa, el grupo también ha reclutado a pentesters y hackers éticos para que actúen como intermediarios de acceso inicial, pagándoles una parte de cualquier rescate cobrado. Esa estrategia de reclutamiento difumina la línea entre las habilidades legítimas de pruebas de seguridad y la empresa criminal, y es parte de la razón por la que el FBI y CISA han señalado a Gunra como una amenaza activa de doble extorsión de ransomware que merece seguir de cerca.

Por qué las VPN no protegen contra las operaciones de ransomware como servicio

Conviene ser directos al respecto: una VPN cifra el tráfico de internet entre tu dispositivo y un servidor, ocultando tu actividad de navegación y tu ubicación frente a tu proveedor de internet o a cualquiera que espíe la red. Eso es valioso para la privacidad, pero no hace nada para detener un payload de ransomware que ya se ha entregado mediante un correo de phishing, una credencial de acceso remoto comprometida o una vulnerabilidad explotada en infraestructura expuesta.

Los afiliados de Gunra obtienen acceso inicial mediante métodos como credenciales robadas, software sin parchear o acceso interno de intermediarios reclutados, no interceptando tráfico de red. Una vez que un atacante tiene un punto de apoyo dentro de una red, cifrar el tráfico en tránsito es irrelevante; el malware ya se está ejecutando localmente en la máquina comprometida. Esta es exactamente la brecha que ilustran dos fallos que alimentan los ataques del ransomware Gunra, donde vulnerabilidades sin parchear, y no la interceptación del tráfico, dieron a los atacantes la entrada. Una VPN es una pieza útil de una configuración más amplia de privacidad y seguridad, pero nunca se construyó para funcionar como defensa contra ransomware.

Defensas prácticas: higiene de copias de seguridad, segmentación de red y respuesta a incidentes

La protección real contra ataques estilo Gunra proviene de un conjunto de prácticas completamente distinto. Mantener copias de seguridad offline y probadas regularmente garantiza que, incluso si los archivos se cifran, una organización pueda restaurar las operaciones sin pagar un rescate. La segmentación de red limita hasta dónde puede moverse lateralmente un atacante una vez que ha vulnerado un sistema, conteniendo el radio de afectación. Los controles de acceso sólidos, incluida la autenticación multifactor y la aplicación rápida de parches a vulnerabilidades conocidas, cierran los puntos de entrada de los que más dependen los atacantes.

Las organizaciones también deberían tener un plan de respuesta a incidentes ensayado con antelación, ya que las decisiones tomadas en las primeras horas de un evento de ransomware suelen determinar cuánto daño se contiene. Dado que el ransomware Gunra afectó a 51 hospitales según un aviso conjunto del FBI y CISA, y que las autoridades de Estados Unidos y Corea del Sur han advertido de una creciente amenaza de Gunra, sectores como la sanidad y la infraestructura crítica en particular deben tratar estos fundamentos como no negociables, no opcionales.

Qué significa esto para ti

Si eres un usuario individual, probablemente Gunra no te apunte directamente, pero la lección general se aplica a todos: las herramientas de cifrado sirven para propósitos distintos. Una VPN protege tu privacidad en la capa de red. La seguridad de endpoints, las copias de seguridad y una higiene cuidadosa de credenciales te protegen del malware. Si diriges o das soporte a los sistemas de TI de una organización, los detalles técnicos del cifrado ChaCha20 de Gunra subrayan por qué importa tanto la velocidad de detección; los lockers multihilo pueden terminar su trabajo en una fracción del tiempo que necesitaba el ransomware antiguo, reduciendo la ventana de respuesta.

Para obtener orientación autorizada y actualizada sobre cómo detectar y reportar la actividad de Gunra, el aviso conjunto de CISA, el FBI, la NSA y otros socios sigue siendo el punto de referencia más fiable, y vale la pena revisarlo directamente si tu organización maneja datos sensibles o infraestructura crítica.

Conclusiones clave

Tener explicado claramente el cifrado del ransomware Gunra muestra que se trata de una amenaza sofisticada y empaquetada comercialmente, diseñada para la velocidad y la máxima influencia mediante la doble extorsión. Defenderse de ella significa invertir en copias de seguridad, segmentación y controles de acceso en lugar de depender de una única herramienta. Mantén el software parcheado, verifica que tu proceso de restauración de copias de seguridad realmente funcione y trata las solicitudes de acceso no solicitadas o las credenciales sospechosas con el mismo escrutinio que ayudó a descubrir la actividad de Gunra en primer lugar. La defensa por capas, y no una solución milagrosa, es lo que impide que operaciones de ransomware como esta tengan éxito.