Gunra, die von Conti abgeleitete Ransomware, nutzt jetzt exponierte Firewalls und VPNs

Gemeinsame Warnung und Entwicklung der Bedrohung

Die CISA veröffentlichte am 10. August 2026 den Advisory AA26-222A zur Ransomware Gunra, die kürzlich auch in der Übersicht vom 14. August erwähnt wurde. Das Dokument wurde neben der CISA von FBI, DoD Cyber Crime Center, NSA, U.S. Secret Service und der National Police Agency Südkoreas unterzeichnet.

Gunra ist eine Ransomware-Familie mit doppelter Erpressung. Die Betreiber stehlen zunächst Daten, bevor sie die Systeme verschlüsseln, und drohen anschließend mit deren Veröffentlichung oder Verkauf, falls das Opfer kein Lösegeld zahlt.

Das FBI beobachtete die Gruppe erstmals im April 2025. Die Malware scheint aus dem 2022 geleakten Quellcode von Conti hervorgegangen oder stark davon beeinflusst zu sein. Anfangs konzentrierten sich die Aktivitäten vor allem auf Windows-Umgebungen. Mitte 2025 gesammelte Informationen deuteten jedoch auf die Entwicklung einer Linux-Variante und eine Ausweitung auf plattformübergreifende Infrastrukturen hin.

Seit Januar 2026 ist Gunra auch als Ransomware-as-a-Service verfügbar. Die Gruppe bewirbt den Dienst in Dark-Web-Foren und stellt Affiliates ein Management-Panel, einen konfigurierbaren Builder, Payloads für unterschiedliche Systeme und operative Dokumentation bereit.

Die Betreiber verwenden außerdem das Alias Golden Community. Für den Erstzugang rekrutieren sie Penetrationstester, Ethical Hacker und andere Initial Access Broker. Im Gegenzug für den Zugriff auf Unternehmensnetzwerke erhalten diese einen Anteil am Lösegeld.

Opfer in zahlreichen Branchen

Die auf der Dedicated Leak Site von Gunra veröffentlichten Organisationen befinden sich in Nord- und Südamerika, Europa, dem Nahen Osten, Afrika und im asiatisch-pazifischen Raum. Die Gesamtzahl der Opfer sowie die Höhe der geforderten oder gezahlten Lösegelder sind nicht bekannt.

Die betroffenen Branchen umfassen:

• Gesundheitswesen und öffentliche Gesundheit;
• Banken, Finanzwesen und Versicherungen;
• kritische Fertigung und Bauwesen;
• Transport und Logistik;
• Behörden und staatliche Einrichtungen;
• Versorgungsunternehmen;
• Hochschulen und Forschung;
• Medien und Kommunikation;
• Einzelhandel;
• professionelle Dienstleistungen und gemeinnützige Organisationen.

Das Vorgehen kombiniert Datendiebstahl und Verschlüsselung. Nach der Exfiltration verschlüsselt die Ransomware Dateien und hinterlässt in jedem betroffenen Verzeichnis eine Lösegeldforderung. Die Nachricht enthält Anweisungen für den Zugang zu einem Verhandlungsportal über Tor. Das Opfer meldet sich dort mit einer Client-ID und einem initialen Passwort an.

Die Verhandlungen werden über qTox, eine verschlüsselte Messaging-Anwendung, fortgesetzt. Das Zahlungsfenster beträgt in der Regel fünf bis sieben Tage. Kommt keine Einigung zustande, drohen die Betreiber mit der Veröffentlichung oder dem Verkauf der Daten auf der Leak Site.

Der Zugang erfolgt über exponierte Geräte und kompromittierte Zugangsdaten

Nach Angaben des FBI nutzt Gunra vor allem bekannte Schwachstellen in aus dem Internet erreichbaren Geräten, darunter Firewalls und VPN-Appliances. Der Advisory ordnet diese Phase der MITRE-ATT&CK-Technik T1190, Exploit Public-Facing Application, zu.

Die beiden genannten Schwachstellen sind:

• CVE-2024-55591, ein als CWE-288 klassifizierter Authentifizierungs-Bypass, der bestimmte Versionen von FortiOS und FortiProxy betrifft;
• CVE-2025-24472, ebenfalls ein Authentifizierungs-Bypass nach CWE-288, der bestimmte Versionen von FortiOS und FortiProxy betrifft.

Die genauen betroffenen Versionen und Builds wurden in den verfügbaren Unterlagen nicht genannt. Der Produkt- oder Herstellername allein reicht daher nicht aus, um die Verwundbarkeit eines Geräts festzustellen. Die installierte Version muss mit den Angaben von Fortinet abgeglichen werden.

Die operative Kritikalität beider Schwachstellen ist hoch. CVE-2024-55591 hat einen CVSS-Score von 9.8 mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Die Schwachstelle befindet sich seit dem 14. Januar 2025 im CISA-Katalog der Known Exploited Vulnerabilities (KEV). Für US-Bundesbehörden endete die Behebungsfrist am 21. Januar 2025.

CVE-2025-24472 hat einen CVSS-Score von 8.1 mit dem Vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H. Sie wurde am 18. März 2025 in den KEV-Katalog aufgenommen. Für US-Bundesbehörden galt der 8. April 2025 als Frist.

Beide Schwachstellen werden mit Ransomware-Kampagnen in Verbindung gebracht. Für CVE-2024-55591 fordert die CISA dazu auf, die vom Hersteller empfohlenen Maßnahmen umzusetzen oder das Produkt außer Betrieb zu nehmen, wenn keine geeigneten Gegenmaßnahmen verfügbar sind. Für CVE-2025-24472 verweist sie zusätzlich auf die anwendbaren Vorgaben der BOD 22-01 für Cloud-Dienste.

Das Risiko beschränkt sich nicht auf CVEs. Die KNPA beobachtete Zugriffe über offengelegte Zugangsdaten und Schwachstellen in den SSH-Kontrollen öffentlich erreichbarer VPN-Gateways. Ein nicht aktualisiertes Gerät kann daher auch dann als Einstiegspunkt dienen, wenn die Organisation keinen direkten Angriff auf interne Server festgestellt hat.

Die Entwicklung der vergangenen Monate zeigt weitere Probleme bei denselben Herstellern: CVE-2025-68686 wurde am 27. Juli 2026 in den KEV-Katalog aufgenommen. Daraus folgt nicht, dass Gunra diese Schwachstelle ausnutzt. Es bestätigt jedoch, dass exponierte Fortinet-Technologien bei der Schwachstellenverwaltung als prioritäre Assets behandelt werden müssen.

Von der Verschlüsselung zur lateralen Bewegung

Nach dem Erstzugang versuchen die Betreiber, ihre Kontrolle über das Netzwerk auszuweiten, bevor sie die Verschlüsselung starten. Für die laterale Bewegung verwenden sie regelmäßig die Impacket-Bibliotheken, insbesondere die Tools psexec.py und smbclient.py.

Die Aktivitäten nutzen das Server Message Block-Protokoll und werden der MITRE-ATT&CK-Technik T1021.002 zugeordnet. Windows-Systeme mit zugänglichen SMB-Freigaben, wiederverwendeten Zugangsdaten oder übermäßigen Berechtigungen können daher die Ausbreitung auf weitere Hosts begünstigen.

Der Windows-Verschlüsseler verwendet native APIs des Betriebssystems zur Datensuche. Um Dateien und Verzeichnisse auf verfügbaren Laufwerken aufzulisten, nutzt er FindFirstFileW und FindNextFileW und durchsucht die Laufwerksbuchstaben von A bis Z. Dieses Vorgehen wird der Technik T1106 – Native API zugeordnet.

Die technischen Indikatoren beschränken sich nicht auf verschlüsselte Dateien. Telemetriedaten zu ungewöhnlichen Zugriffen auf Firewalls und VPNs, unerwarteter SMB-Nutzung, der Ausführung von Impacket-Tools und umfangreichen Laufwerks-Scans können helfen, die Vorbereitungsphase des Angriffs zu erkennen.

Prioritäre Maßnahmen zur Abwehr

Organisationen, die FortiOS- oder FortiProxy-Geräte betreiben, sollten unverzüglich die installierten Versionen überprüfen, die Patches oder Gegenmaßnahmen des Herstellers umsetzen und Geräte ohne verfügbare Korrekturen aus dem Netzwerk entfernen.

Die Überprüfung sollte Folgendes umfassen:

1. Firewalls, VPNs und andere direkt aus dem Internet erreichbare Geräte;
2. Gateways mit öffentlich zugänglichem SSH;
3. privilegierte Konten sowie möglicherweise veröffentlichte oder wiederverwendete Zugangsdaten;
4. Authentifizierungs- und Konfigurationsprotokolle der Fortinet-Geräte;
5. ungewöhnliche SMB-Verbindungen und die unerwartete Nutzung von psexec.py oder smbclient.py;
6. RDP-Systeme und veröffentlichte Infrastrukturen ohne ausreichende Segmentierung.

Die CISA stellt die Indicators of Compromise des Advisories im STIX-Format bereit: eine 54 KB große XML-Datei und eine 61 KB große JSON-Datei. Die IoCs können in SIEM-, EDR- und Network-Security-Monitoring-Systeme importiert werden, um mit der Operation verbundene Domains, IP-Adressen, Hashes und andere Artefakte zu korrelieren.

Patching und Erkennung müssen durch Offline- und unveränderliche Backups ergänzt werden, die physisch getrennt und segmentiert aufbewahrt werden. Die Segmentierung begrenzt zudem die Ausbreitung von einem kompromittierten Endpoint auf Server, Hypervisoren, ERP-Systeme und Produktionsressourcen.

Ransomware trifft weiterhin auch die Industrie: Dragos verzeichnete im zweiten Quartal 2026 insgesamt 1.140 Vorfälle gegen Industrieorganisationen, davon 747 im Fertigungssektor. Es wurden keine Fälle einer direkten Manipulation von ICS festgestellt. Die Angriffe unterbrachen jedoch den Betrieb über IT-Systeme, ERP- und Virtualisierungsplattformen.