Eine gemeinsame US-Südkorea-Warnung benennt eine neue Erpressergruppe

Am 10. August 2026 veröffentlichte die CISA im Rahmen ihrer Reihe StopRansomware die Warnung AA26-222A, gemeinsam verfasst mit dem FBI, der NSA, dem US Secret Service, dem Cyber Crime Center des US-Verteidigungsministeriums und Südkoreas nationaler Polizeibehörde. Die Warnung benennt Gunra formell als aktive Ransomware-as-a-Service-Operation und führt deren Code auf den durchgesickerten Quellcode der Conti-Ransomware-Familie zurück, einen gemeinsamen Ursprung mehrerer Erpressergruppen, die seit der Auflösung der Marke Conti durch deren eigene Betreiber entstanden sind.

Die herausgebenden Behörden beschreiben Gunra-Partner als eine Kombination aus Zugangsdatenkompromittierung, Datendiebstahl und schneller Verschlüsselung in Doppel-Erpressungskampagnen gegen Gesundheitssysteme, Finanzdienstleister, Behörden, Dienstleistungsunternehmen und Non-Profit-Organisationen, wobei der Zugang überwiegend über offene VPN-Gateways, Firewall-Geräte und per RDP erreichbare Systeme erfolgt und nicht über eine neuartige Exploit-Technik.

Die Türen, durch die Gunra geht, wurden vor 18 Monaten geschlossen

Die Warnung nennt zwei konkrete Schwachstellen als Gunras Haupteinstieg in Opfernetzwerke: CVE-2024-55591, eine Authentifizierungs-Bypass-Lücke in Fortinet FortiOS, und CVE-2025-24472, die entsprechende Lücke in FortiProxy. Fortinet lieferte die Fixes dafür im Januar beziehungsweise Februar 2025, nachdem beide zu diesem Zeitpunkt bereits als aktiv von anderen Angreifern ausgenutzt gemeldet worden waren.

Dieser Zeitablauf zählt mehr als die Schadsoftware selbst. Gunra brauchte seit April 2025 keinen neuen Zero-Day, um 51 Organisationen zu kompromittieren - die Gruppe brauchte lediglich internetseitige Fortinet-Geräte, die achtzehn Monate oder länger ohne den verfügbaren Patch liefen. Angesichts der weiten Verbreitung von FortiOS und FortiProxy als VPN- und Perimeter-Infrastruktur bei mittelgroßen und großen europäischen Organisationen ist eine ungepatchte Instanz in einem externen Scan kein seltener Fund, sondern ein routinemäßiger.

9 Terabyte, 100 Threads: Ein Blick in das Verschlüsselungs-Playbook

Einmal im Netzwerk, folgen Gunra-Partner einer inzwischen vertrauten Doppel-Erpressungssequenz: Daten stehlen, Systeme verschlüsseln, dann sowohl für den Entschlüsselungsschlüssel als auch für das Versprechen, die erbeuteten Daten nicht zu veröffentlichen, Zahlung fordern. Die Linux-Variante der Gruppe ist auf Geschwindigkeit ausgelegt, unterstützt bis zu 100 parallele Verschlüsselungsthreads und Teildatei-Verschlüsselung mittels Stromchiffren wie Salsa20 oder ChaCha20 und kann so Datensätze von bis zu 9 Terabyte innerhalb eines begrenzten Zeitfensters statt über Tage hinweg verschlüsseln.

Opfer, die nicht innerhalb von fünf bis sieben Tagen zahlen, sehen ihre gestohlenen Daten auf Gunras Leak-Seite veröffentlicht, wobei die Verhandlungen über ein Tor-basiertes Portal laufen. Die von der Warnung empfohlenen Gegenmaßnahmen sind bewusst unspektakulär: internetseitige VPN- und Firewall-Geräte patchen, offline und unveränderliche Backups vorhalten und Netzwerke so segmentieren, dass ein einzelnes kompromittiertes Gerät nicht den Rest der Umgebung erreicht.

Warum Patch-Verzug, nicht die Schadsoftware, hier der NIS2-Befund ist

Für eine EU-Organisation, die an den Risikomanagementmaßnahmen aus Artikel 21 der NIS2-Richtlinie arbeitet, oder einen britischen Betreiber unter entsprechender NCSC-Leitlinie, liegt die verwertbare Schlussfolgerung aus dieser Warnung nicht speziell bei Gunra. Sie liegt darin, dass eine Authentifizierungs-Bypass-Lücke in weit verbreiteter Perimeter-Infrastruktur, vor über einem Jahr gepatcht und in einer Warnung vom August 2026 immer noch als aktiver Angriffsvektor beschrieben, ein Versagen im Schwachstellenmanagement darstellt, das jede einzelne Ransomware-Marke überdauert.

Die praktische Reaktion besteht darin, diese Warnung als Anlass für eine sofortige FortiOS- und FortiProxy-Versionsprüfung über jedes internetseitige Gerät zu nehmen, das die Organisation kontrolliert - nicht nur die bereits im bestehenden Patch-Management-Dashboard erfassten -, denn genau das vergessene oder unverwaltete Gerät ist es, das eine Patch-Verzug-Lücke wie diese finden soll.

Weiterlesen: DeadLock versteckt seine Leak-Site in einer Blockchain  |  Wer den Angreifer löscht, löscht auch die Logik