Behörden in Südkorea und den USA haben vor der Gunra-Ransomware Fortinet-Kampagne gewarnt, die offenbar Organisationen in zahlreichen Ländern angreift. Besonders betroffen sind dabei Bereiche der kritischen Infrastruktur sowie Einrichtungen aus Gesundheitswesen, öffentlichem Sektor, Finanzdienstleistungen und weiteren professionellen oder gemeinnützigen Organisationen.
Im Zentrum der Warnung stehen Vorgehensweisen, die den Zugriff vorbereiten, Daten abziehen und anschließend Systeme verschlüsseln. Das Ziel: maximaler wirtschaftlicher Druck über einen zeitlich engen Erpressungszeitraum.
Welche Organisationen geraten ins Visier?
Die Meldungen nennen mehrere Branchen, die bei Gunra-Angriffen Zielscheibe sind: Gesundheits- und öffentliche Gesundheitseinrichtungen, Finanzdienstleister, Behörden sowie professionelle und Non-Profit-Organisationen.
Für die Einschätzung der Verbreitung ist laut veröffentlichten Auswertungen vor allem relevant, wo Opfer gemeldet wurden. Gunra wurde demnach seit dem Auftauchen im April 2025 bei insgesamt 51 Opfern geführt. Viele davon stammen aus Südkorea, Brasilien, Spanien, Thailand und Hongkong. Auffällig ist außerdem, dass deutlich mehr Opfer aus Australien, Ostasien und Europa gemeldet wurden als aus Nordamerika; bisher waren nur wenige Fälle aus den USA und Kanada zu verzeichnen.
So starten Angreifer: Fortinet- und Schneider-Lücken
Ein wesentlicher Bestandteil der Angriffsoberfläche liegt in Sicherheitslücken an internetzugänglichen Geräten. Laut den Behörden können Angreifer initialen Zugriff über Schwachstellen in zwei Umgebungen herstellen:
- Schneider Electric PowerLogic P5 (CVE-2024-5559)
- Fortinet FortiOS und FortiProxy (CVE-2025-24472)
Nach dem ersten Einstieg folgt die eigentliche Erpressungsphase. Gunra wird dann als Ransomware eingesetzt, wodurch es häufig nicht bei einer reinen Dateiverschlüsselung bleibt.
Doppeltes Erpressungsmodell: Datenabzug plus Verschlüsselung
Gunra arbeitet im beschriebenen Muster mit einem Double-Extortion-Ansatz. Dabei kombinieren die Angreifer den Abzug sensibler Daten mit der Verschlüsselung wichtiger Systeme.
Für Betroffene bedeutet das: Selbst wenn die Verschlüsselung abgewehrt oder wiederhergestellt werden könnte, bleibt der Druck durch die Veröffentlichung gestohlener Daten bestehen. Laut den Berichten werden Daten bei Nichtzahlung innerhalb eines Zeitfensters von etwa fünf bis sieben Tagen auf einer Leaks-Seite veröffentlicht.
Als Quelle für Exfiltration werden unter anderem Microsoft OneDrive und SharePoint genannt. Zusätzlich können Angreifer große Datenmengen in komprimierten Archiven zusammenfassen und diese über einen File-Sharing-Dienst wie MEGA abziehen.
Wie läuft die Schadensphase praktisch ab?
Gunra verfolgt in den beschriebenen Angriffen typische Schritte einer professionellen Ransomware-Kette. Dazu gehören gezielte Ausspähung im Netzwerk, das Löschen von Spuren und die Vorbereitung der eigentlichen Verschlüsselung.
Seitliche Bewegung und Zugriffsausweitung
Für die laterale Bewegung setzen die Angreifer offenbar auf Bibliotheken aus dem Impacket-Umfeld. Genannt werden dabei Werkzeuge wie psexec.py und smbclient.py, um über den SMB-Mechanismus weitere Systeme zu erreichen.
Außerdem kommt offenbar secretsdump.py zum Einsatz, um Zugangsdaten auszulesen. Ziel sind kompromittierte Domänencontroller; daraus werden Passwort-Hashes aus dem NTDS-Bereich gewonnen.
Um Spuren zu verwischen
Um die Ermittlungsarbeit zu erschweren, sollen Angreifer System- und Netzwerkzugriffsprotokolle löschen und auch die Command History bereinigen. Zudem finden Aktivitäten offenbar vor allem in einem Zeitfenster zwischen 22:00 Uhr und 06:00 Uhr statt, was auf eine geplante Taktung der Kampagne hindeutet.
Zielsysteme: von Datenbanken bis NAS
Für die Verschlüsselung werden laut CISA insbesondere unternehmenswichtige Assets genannt: Dazu zählen Datenbankserver und Network Attached Storage (NAS). Die Vorgehensweise basiert demnach auf gestohlenen Server- oder Admin-Anmeldeinformationen aus Systemen, die für die Zugriffssteuerung genutzt werden.
Erpressung und Kommunikation: Verhandlungen per Chat
Die Kampagne setzt offenbar auf Phishing als zentralen Einstiegspunkt, bei dem Schadkomponenten an die Opfer übermittelt werden. Für die spätere Kommunikation nennen Analysten außerdem einen Verhandlungs-Chat mit einem WhatsApp-ähnlichen Erscheinungsbild.
Zusätzlich wird beschrieben, dass die Gruppierung im Umfeld von RaaS (Ransomware-as-a-Service) agiert. Dazu gehört ein formelles Affiliate-Programm, das Anfang 2026 auf Dark-Web-Foren bereitgestellt wurde. Affiliates sollen dabei Zugriff auf ein Management-Panel, einen konfigurierbaren Builder sowie payloads für verschiedene Plattformen erhalten haben.
Technische Details: Verschlüsselung und mögliche Schwachstellen
In Analysen wird erwähnt, dass Gunra in begrenzter Zeit große Dateien verschlüsseln kann. Als Beispiele für kryptografische Verfahren werden Stream-Chiffren wie Salsa20 oder ChaCha20 genannt.
Gleichzeitig heißt es, dass in Linux-Varianten ein schwerwiegendes kryptografisches Problem identifiziert wurde, das es ermöglichen soll, den Verschlüsselungsschlüssel wiederherzustellen und damit auf Dateien zuzugreifen. Für Organisationen folgt daraus: Auch nach einem Befall ist eine technische forensische Bewertung und Wiederherstellungsplanung besonders wichtig.
Fortsetzung der Bedrohung: neue Bezeichnungen und Zugangsbörsen
Berichte erwähnen, dass Gunra sich mit wechselnden Branding-Bezeichnungen präsentiert, beispielsweise unter dem Alias Golden Community. Parallel sollen Schritte unternommen worden sein, um die Plattform stärker zu monetarisieren: Dazu gehört die Rekrutierung von Penetration Testern und ethical Hackern als sogenannte Initial-Access-Broker. Im Gegenzug erhalten sie Anteilsmöglichkeiten an Erträgen, wenn sie Zugriff auf Unternehmensnetze vermitteln.
Mehr als Ransomware: VPN-Angriffe und MFA-Umgehung
Ein weiterer Schwerpunkt der beschriebenen Fälle liegt auf kompromittierten SSL-VPN-Umgebungen. In einem beobachteten Szenario sollen Angreifer die Netzwerkverkehrssteuerung einer SSL-VPN-Appliance so manipuliert haben, dass sie Credential- und Session-Informationen abfangen, die Nutzer bei der Authentifizierung über ein VDI-Portal übertragen.
Mit gestohlenen Sitzungsdaten ist dann ein Session Hijacking und die Impersonation legitimer Nutzer möglich, um anschließend ins interne Netzwerk zu gelangen.
Damit nicht genug: In solchen Fällen wird zudem beschrieben, dass die MFA verarbeitet wurde, indem Angreifer Dateien auf dem Portalserver manipulierten. Dadurch konnten erfolgreich Anmeldungen erfolgen, wenn ein für Gunra definierter OTP-Wert verwendet wurde.
Weitere beobachtete Handlungen in der Kampagne
Zusätzlich werden in den Berichten mehrere konkrete Verhaltensweisen angeführt, die sich in ähnlichen Angriffen wiederholen können:
- Zugriff auf Administrator-Konten über Default Credentials an SSL-VPN-Appliances und das spätere Einrichten von Verbindungen zur Persistenz.
- Ausnutzen eines zuvor nicht verwendeten Kontos in der SSL-VPN-Webkonsole, das sowohl Internet- als auch interne Netzwerknutzung ermöglichte; anschließend wird die Konfiguration angepasst, um Vorgaben zum Kennwortwechsel zu umgehen.
- Zugriff auf einen Hiware-Systemzugriffsserver per SSH und das Auslesen eines symmetrischen Verschlüsselungsschlüssels, um weitere Passwörter aus Datenbanken zu entschlüsseln und Credential Dumping durchzuführen.
- Löschen von Backup- und Archivdaten sowohl im Primärrechenzentrum als auch im Disaster-Recovery-Bereich vor und nach dem Ransomware-Einsatz.
Was sollten Organisationen jetzt tun?
Die Behörden empfehlen vor allem Maßnahmen, die die Angriffsfläche verringern und Wiederanlaufpläne stärken. Daraus lassen sich klare Prioritäten ableiten:
- Updates und Patches konsequent einspielen – Betriebssysteme, Software und Firmware.
- Gezielt bekannte, aktiv ausgenutzte Schwachstellen in internetzugänglichen Systemen priorisieren.
- Netzsegmentierung umsetzen, um die Ausbreitung innerhalb des Netzwerks zu erschweren.
- Backups unveränderlich (immutable) speichern und an einem physisch getrennten Ort ablegen.
Zusätzlich ist es sinnvoll, Logs und Zugriffsereignisse besonders kritisch zu überwachen, da in den Berichten das gezielte Löschen von Protokollen als Bestandteil der Tat beschrieben wird.
Fazit: Gunra-Ransomware Fortinet ist ein systematisches Risiko
Die aktuellen Warnungen zeigen ein Muster, das nicht auf Zufall setzt: Über Schwachstellen wie CVE-2025-24472 in Fortinet FortiOS/FortiProxy und CVE-2024-5559 in Schneider Electric PowerLogic P5 gelangen Angreifer ins Netzwerk, exfiltrieren Daten und erhöhen den Druck durch Verschlüsselung. Für betroffene Organisationen zählt daher vor allem schnelles Patchen, eine reduzierte Angriffsfläche und ein robustes Backup- und Monitoring-Konzept.
Wer Gunra-Ransomware Fortinet als ernsthafte Bedrohung behandelt, kann die Wahrscheinlichkeit eines erfolgreichen Angriffs deutlich senken und die Auswirkungen im Ernstfall besser begrenzen.
Quelle: https://thehackernews.com/2026/08/gunra-ransomware-exploits-fortinet-and.html
