US-amerikanische und südkoreanische Behörden warnen vor Gunra-Ransomware-Angriffen
US-amerikanische und südkoreanische Sicherheitsbehörden haben eine gemeinsame Warnung vor Gunra-Ransomware herausgegeben, einer Operation, die erstmals 2025 auftauchte und sich 2026 zu einem Ransomware-as-a-Service-Modell entwickelte. Die gemeinsame CISA-Warnmeldung vom 10. August, die zusammen mit dem FBI, der NSA, dem Department of Defense Cyber Crime Center, dem US Secret Service und Südkoreas National Police Agency verfasst wurde, besagt, dass Gunra-Affiliates Regierungsstellen, kritische Infrastruktur, das Gesundheitswesen, Finanzdienstleister, den Transportsektor, Versorgungsunternehmen und weitere Organisationen in mehreren Regionen ins Visier genommen haben.
Die Warnmeldung beschreibt ein Double-Extortion-Modell, bei dem Angreifer Daten stehlen, bevor sie Systeme verschlüsseln, und drohen, das gestohlene Material zu veröffentlichen, falls Opfer nicht zahlen. Sie empfiehlt außerdem, dass Organisationen Offline- oder unveränderliche Backups an physisch getrennten oder segmentierten Standorten pflegen und testen. Diese Empfehlung deckt sich direkt mit der 3-2-1-1-0-Backup-Regel, die das Risiko verringern soll, dass ein Ransomware-Vorfall Produktions- und Recovery-Kopien gleichzeitig zerstört.
Gunra nutzt bekannte Schwachstellen am Netzwerkrand aus
Laut der Warnmeldung und späterer Berichterstattung nutzen Gunra-Akteure bekannte Schwachstellen in internetseitig exponierten Appliances für den initialen Zugriff. Die behördliche Anleitung betont ausdrücklich das Patchen exponierter VPN-Gateways und der Remote-Access-Infrastruktur, während Sicherheitsberichte die Fortinet-Schwachstellen CVE-2024-55591 und CVE-2025-24472 als von der Operation genutzte Lücken nennen.
Einstiegspunkte für Ransomware sind also oft gewöhnliche Infrastruktur, die exponiert oder ungepatcht geblieben ist, und kein exotischer Zero-Day. Edge-Geräte können für Angreifer besonders wertvoll sein, weil sie an vertrauenswürdigen Netzwerkgrenzen sitzen und Zugriff ermöglichen können, bevor Endpoint-Kontrollen eingreifen. Einmal drinnen, können sich Ransomware-Affiliates lateral bewegen, Zugangsdaten stehlen, lohnende Systeme identifizieren, Daten exfiltrieren und anschließend die Verschlüsselung starten.
Die Backup-Strategie muss von einem aktiven Angreifer ausgehen
Bei Gunras Double-Extortion-Modell löst Recovery nur einen Teil des Problems, denn das Wiederherstellen von Systemen macht den Datendiebstahl nicht rückgängig. Dennoch können starke Recovery-Optionen dem Angreifer einen Teil seiner Verhandlungsmacht nehmen, indem sie die Abhängigkeit von einem Entschlüsselungstool verringern und die Betriebsunterbrechung verkürzen.
Dafür müssen die Backups denselben Vorfall überstehen. Ein Angreifer mit umfassendem administrativem Zugriff kann versuchen, Snapshots zu löschen, Backup-Zugangsdaten zu kompromittieren, Repositories zu löschen oder verbundenen Storage zu verschlüsseln. Ein Backup-Programm braucht daher Aufgabentrennung, eingeschränkten Zugriff, unveränderliche oder Offline-Kopien und routinemäßige Verifizierung. Teams sollten außerdem Backup-Tests über Dateien, Anwendungen und vollständige Systeme hinweg durchführen, damit die Recovery-Verfahren vor einem Notfall bekannt sind.
Die Warnung betrifft die Vorgehensweise ebenso sehr wie die Malware
Die Warnmeldung beschreibt ein wiederholbares kriminelles Betriebsmodell, mehr als eine isolierte Malware-Probe. Ransomware-as-a-Service erlaubt es Affiliates, gemeinsame Tools und Infrastruktur zu nutzen und dabei ihre eigenen Ziele zu wählen. Dieses Modell kann schnell skalieren, wenn bekannte Schwachstellen bei einer großen Zahl internetseitig exponierter Systeme verfügbar bleiben.
Verteidiger sollten ihre Reaktion deshalb auf den gesamten Angriffspfad ausrichten. Dazu gehört, exponierte Systeme zu patchen, Remote-Administration einzuschränken, Netzwerke zu segmentieren und privilegierte Konten zu schützen. Laterale Bewegung und ungewöhnlicher Datentransfer sollten überwacht werden, und die Recovery-Infrastruktur gehört getrennt von der Produktions-Vertrauenszone. Anschließend sollten Teams testen, ob kritische Workloads tatsächlich innerhalb akzeptabler Recovery-Ziele wiederhergestellt werden können.
Kein einzelnes Ransomware-Produkt und keine einzelne Sicherheitskontrolle reicht dafür aus. Nötig ist ein Betriebsmodell, das den initialen Zugriff reduziert, Bewegung nach einer Kompromittierung einschränkt, anomale Aktivität erkennt und einen sauberen Weg zur Wiederherstellung bewahrt. Die Gunra-Warnmeldung erinnert erneut daran, dass sich Organisationen auf alle vier Phasen gleichzeitig vorbereiten müssen.
Ursprünglich veröffentlicht im Mr.PlanB-Blog.