Gunra: Die RaaS-Ransomware nimmt exponierte Netzwerke und kritische Infrastrukturen ins Visier

Eine auf Conti-Code basierende Operation

Ein am 10. August 2026 von FBI, CISA, DC3, NSA, USSS und der National Police Agency der Republik Korea veröffentlichter Advisory beschreibt die Bedrohung durch Gunra.

Die Ransomware trat im April 2025 als Variante auf, die aus dem durchgesickerten Quellcode von Conti hervorgegangen ist. Seit Anfang 2026 wird sie zudem über ein Ransomware-as-a-Service-Modell (RaaS) verbreitet, das in Dark-Web-Foren beworben wird und sich an finanziell motivierte kriminelle Affiliates richtet.

Gunra verfolgt eine Strategie der doppelten Erpressung: Zunächst verschlüsseln die Angreifer die Daten des betroffenen Unternehmens, anschließend drohen sie mit deren Veröffentlichung auf einer eigenen Dedicated Leak Site (DLS). Die Lösegeldverhandlungen erfolgen über ein maßgeschneidertes Portal, das über Tor erreichbar ist.

Erste Zugriffswege und operative Folgen

Bei den Angriffen können über das Internet erreichbare Systeme ausgenutzt werden, insbesondere:

• VPN-Gateways;
• Infrastrukturen mit Zugriff über das Remote Desktop Protocol (RDP);
• Unternehmensnetzwerke mit Daten, die sich exfiltrieren lassen.

Nach der initialen Kompromittierung können die Angreifer versuchen, sich lateral auf weitere Systeme im Netzwerk auszubreiten. Zu den Auswirkungen zählen durch die Verschlüsselung verursachte Ausfälle, der Diebstahl von Informationen und die mögliche öffentliche Veröffentlichung der Daten.

Darüber hinaus sind Betriebsunterbrechungen, Beeinträchtigungen bei der Bereitstellung essenzieller Dienste und wirtschaftlicher Druck durch Lösegeldforderungen möglich. Das Risiko wird aufgrund der Kombination aus doppelter Erpressung, RaaS-Modell und der Auswahl strategischer Ziele als hoch eingestuft.

Besonders gefährdete Sektoren

Gunra kann Behörden, kritische Infrastrukturen und Organisationen aus zahlreichen Branchen angreifen, darunter:

• Gesundheitswesen und öffentliche Gesundheit;
• Finanz- und Versicherungswesen;
• kritische Fertigungsindustrie und Baugewerbe;
• Transport und Logistik;
• Versorgungsunternehmen;
• Hochschulen und Forschung;
• Medien und Kommunikation;
• Einzelhandel;
• professionelle Dienstleistungen und gemeinnützige Organisationen.

Es wurden weder kommerzielle Anbieter noch bestimmte betroffene Softwareversionen genannt.

Abwehrmaßnahmen und verfügbare Indikatoren

Organisationen sollten bekannte und aktiv ausgenutzte Schwachstellen in Systemen mit Internetanbindung zeitnah patchen. VPN-Gateways und RDP-Infrastrukturen sollten dabei priorisiert werden.

Darüber hinaus empfiehlt es sich:

• Offline- und unveränderbare Backups vorzuhalten, die physisch getrennt und vom Hauptnetz segmentiert sind;
• die Wiederherstellung aus Backups regelmäßig zu testen;
• Netzwerke zu segmentieren, um die laterale Bewegung einzudämmen;
• Indicators of Compromise in Systeme zur Erkennung und Reaktion zu integrieren;
• ungewöhnliche Zugriffe auf VPNs, RDP und Systeme mit sensiblen Daten besonders aufmerksam zu überwachen.

Die mit dem Advisory AA26-222A verbundenen Indikatoren sind als STIX XML mit 54 KB und STIX JSON mit 61 KB verfügbar. Im Text des Advisories werden weder CVE-Kennungen noch einzelne Indikatoren aufgeführt.