Gunra Ransomware: FBI und CISA warnen vor Angriffen auf kritische Infrastrukturen

Wenn FBI, CISA, NSA und gleich noch mehrere weitere US-Behörden gemeinsam mit der südkoreanischen Nationalpolizei ein Joint Advisory veröffentlichen, handelt es sich nicht um einen Routinevorgang. Genau das ist am 10. August 2026 passiert, und der Anlass heisst Gunra: eine Ransomware-Gruppe die seit über einem Jahr zunehmend aggressiv gegen kritische Infrastrukturen vorgeht, von Gesundheitswesen über Finanzdienstleistungen bis hin zu Regierungsbehörden und öffentlicher Verwaltung.

Was wir bei der Analyse dieses Advisories gesehen haben, ist beunruhigend, denn Gunra hat sich von einer einzelnen Ransomware-Variante zu einer professionellen Angriffsplattform entwickelt, mit Verbindungen nach Nordkorea.

Woher Gunra kommt

Gunra tauchte erstmals im April 2025 auf und basiert auf dem Quellcode der Conti-Ransomware, der im Februar 2022 von einem ukrainischen Sicherheitsforscher öffentlich geleakt wurde. Man könnte sagen: Conti war der Mercedes unter den Ransomware-Operationen, und jetzt fährt jeder mit dem Bauplan herum der ihn haben will. Seit dem Leak haben zahlreiche Gruppen den Code als Grundlage für eigene Varianten genutzt, aber Gunra gehört zu den technisch ausgereiftesten die daraus hervorgegangen sind.

Das südkoreanische Sicherheitsunternehmen AhnLab identifizierte Verbindungen zwischen Gunra und der Lazarus Group, Nordkoreas berüchtigter staatlich unterstützter Hackergruppe die für einige der grössten Cyberangriffe der letzten Jahre verantwortlich ist. Die Gruppe operiert auch unter dem Alias „Golden Community“, was harmloser klingt als es ist.

Seit Januar 2026 betreibt Gunra eine formelle Ransomware-as-a-Service-Plattform (RaaS) mit Management-Panel, konfigurierbarem Ransomware-Builder, plattformübergreifenden Payloads und detaillierter Dokumentation. Die Gruppe rekrutiert aktiv Penetrationstester und Initial-Access-Broker über Darkweb-Foren, mit Gewinnbeteiligungsmodellen als Anreiz. Im Grunde ein Franchise-Modell, nur halt für Erpressung.

Wie Gunra in Netzwerke eindringt

Jetzt wird es technisch und gleichzeitig frustrierend, denn der initiale Zugang erfolgt über bekannte Schwachstellen in Fortinet-Produkten. Nicht Zero-Day, nicht unentdeckt, sondern Lücken für die seit Monaten Patches existieren.

Konkret geht es um zwei Authentifizierungs-Bypass-Lücken:

  • CVE-2024-55591: Authentication Bypass via Alternate Path (CWE-288) in FortiOS und FortiProxy, die einem nicht authentifizierten Angreifer über speziell konstruierte Anfragen an den Node.js-Websocket administrativen Zugang ermöglicht.
  • CVE-2025-24472: Weitere Authentifizierungsumgehung in FortiOS und FortiProxy, die ebenfalls privilegierten Zugang ermöglicht.

Dazu kommen Schwachstellen in der Credential-Verwaltung und SSH-Zugangskontrollen von internetexponierten VPN-Gateways, wobei Standard-Zugangsdaten auf SSL-VPN-Appliances systematisch durchprobiert werden. Standard-Zugangsdaten, im Jahr 2026, man fragt sich ernsthaft wie das noch passieren kann.

Die Patches sind verfügbar, aber viele Organisationen aktualisieren ihre Fortinet-Geräte einfach nicht zeitnah (wir sehen das in unseren Assessments leider regelmässig). Ein bisschen wie eine Haustür mit kaputtem Schloss: man weiss dass es kaputt ist, der Schlüsseldienst hat einen Termin angeboten, aber irgendwie hat man es noch nicht gemacht.

Die Angriffskette im Detail

Sind die Angreifer erst mal drin, bewegen sie sich lateral durchs Netzwerk mit einem Werkzeugset das alles andere als exotisch ist: Impacket-Utilities für die Bewegung über SMB-Protokolle, Active-Directory-Kompromittierung zur Übernahme von Domänenkonten, Session-Hijacking und Infiltration von IT-Workstations als Sprungbrett zu weiteren Systemen. Bewährte Methoden die in der Praxis brutal effektiv funktionieren.

Der eigentliche Schaden beginnt allerdings schon vor der Verschlüsselung, denn systematisch werden Daten abgezogen: Geschäftsdokumente, Datenbanken, personenbezogene Daten, E-Mail-Kommunikation. Das FBI dokumentierte eine speziell entwickelte Malware namens main.exe, die gezielt Microsoft OneDrive und SharePoint nach verwertbaren Daten durchkämmt. Die gesammelten Daten werden komprimiert und über den Filehosting-Dienst Mega hochgeladen; in einem dokumentierten Fall waren es mehrere Dutzend Terabyte die unbemerkt aus einem Netzwerk abflossen.

Dann kommt der letzte Streich vor der Verschlüsselung: über Windows Management Instrumentation (WMI) löschen die Angreifer sämtliche Volume Shadow Copies, und anschliessend werden auch die Backups auf den primären Systemen und den Disaster-Recovery-Systemen zerstört, sodass es keinen einfachen Weg zurück gibt.

Verschlüsselung und Erpressung

Gunra verschlüsselt mit einer Kombination aus ChaCha20 (symmetrisch) und RSA-4096 (asymmetrisch für die Schlüsselverschlüsselung). Die betroffenen Dateien erhalten die Endung .ENCRT oder .CRYPT, und in jedem Verzeichnis landet eine Lösegeldforderung namens R3ADM3.txt.

Seit Mitte 2025 gibt es auch eine Linux-Variante die mit bis zu 100 parallelen Verschlüsselungs-Threads arbeitet und selektive Teilverschlüsselung unterstützt, also nur Teile grosser Dateien verschlüsselt, gerade genug um sie unbrauchbar zu machen, was den ganzen Prozess enorm beschleunigt.

Die Erpressung folgt dem klassischen Double-Extortion-Modell:

  1. Daten werden vor der Verschlüsselung gestohlen
  2. Systeme werden verschlüsselt
  3. Das Opfer erhält 5 bis 7 Tage Zeit zur Zahlung über ein Tor-basiertes Verhandlungsportal oder qTox
  4. Bei Nichtzahlung werden die gestohlenen Daten auf einer dedizierten Leak-Site veröffentlicht

Die Lösegeldforderungen bewegen sich laut Advisory im zweistelligen Millionenbereich. Und als wäre das nicht genug, versuchen Gunra-Akteure auch noch direkt mit dem Management der Opferunternehmen per E-Mail Kontakt aufzunehmen um Lösegeldzahlungen zu erwirken, also quasi eine freundliche Erinnerung an den CEO. Das FBI merkt an, dass dieser Ansatz „begrenzten Erfolg“ hatte, was vermutlich die diplomatischste Umschreibung des Jahres ist.

Wen Gunra angreift

Die Opfer verteilen sich über alle Kontinente: Nord- und Südamerika, Europa, Naher Osten, Afrika, Asien-Pazifik. Namentlich dokumentierte Angriffe gibt es in der Türkei, Taiwan, den USA, Südkorea, Brasilien, Japan und Kanada, und die betroffenen Sektoren lesen sich wie ein Querschnitt der gesamten Wirtschaft: Gesundheitswesen, Finanzdienstleistungen, Regierung, Fertigung und Industrie, Transport, Versorgungsunternehmen, Bildung, Medien, Einzelhandel und sogar Nonprofit-Organisationen. Auf der Gunra-Leak-Site finden sich Opfer von Herstellern über IT-Unternehmen bis hin zu Anwaltskanzleien, denn im Grunde ist niemand zu klein oder zu unbedeutend.

Die Lazarus-Verbindung

Hier wird es geopolitisch, denn Lazarus ist keine gewöhnliche Cyberkriminellen-Gruppe sondern eine staatlich gesteuerte Einheit die für Nordkoreas Regime Devisen beschafft, sei es über Ransomware-Angriffe, Kryptowährungs-Diebstähle oder Bankhacks.

Dass südkoreanische Behörden an dem Joint Advisory beteiligt sind, ist kein Zufall: zwei Wochen vor der Veröffentlichung warnten Forscher, dass Lazarus Werkzeuge und Infrastruktur mit Gunra teilt und gezielt südkoreanische Organisationen angreift. Wenn FBI, CISA und die südkoreanische Nationalpolizei gemeinsam warnen, zeigt das wie ernst die geopolitische Dimension dieser Bedrohung eingeschätzt wird.

Was Organisationen jetzt tun sollten

Das Advisory enthält konkrete Empfehlungen, und angesichts der Tatsache dass hier bekannte, gepatchte Schwachstellen aktiv ausgenutzt werden, sind diese wirklich dringend.

Fortinet-Geräte sofort patchen. CVE-2024-55591 und CVE-2025-24472 sind die dokumentierten Einstiegspunkte. Wer internetexponierte FortiOS- oder FortiProxy-Instanzen betreibt und die Patches nicht eingespielt hat, muss das heute noch nachholen.

Offline-Backups einrichten. Gunra zerstört gezielt Backups auf primären und Disaster-Recovery-Systemen, weshalb nur physisch getrennte, unveränderbare (immutable) Backups hier helfen. Ein Backup das der Angreifer erreichen kann, ist kein Backup.

Netzwerksegmentierung durchsetzen. Laterale Bewegung über SMB ist ein zentrales Element der Angriffskette, und gute Segmentierung begrenzt den Schaden: sie verhindert den Einbruch nicht, aber sie verhindert dass aus einem kompromittierten System ein kompromittiertes Netzwerk wird.

MFA aktivieren und administrative Rechte auditieren. Standard-Zugangsdaten und fehlende Mehrfaktorauthentifizierung auf VPN-Gateways sind im Grunde eine offene Einladung.

Exfiltrationswege überwachen. Ungewöhnlich grosse Datenübertragungen zu Cloud-Speicherdiensten wie Mega sollten Alarme auslösen, denn wenn jemand Terabytes hochlädt will man das mitbekommen bevor die Verschlüsselung startet.

Incident-Response-Plan testen. Wann haben Sie zuletzt Ihren IR-Plan durchgespielt? Ein Ransomware-Angriff mit Lösegeldforderungen im zweistelligen Millionenbereich und einer 5-Tage-Frist lässt null Zeit für Improvisation..

Wir unterstützen Organisationen bei der Absicherung gegen Ransomware-Bedrohungen wie Gunra, von der Schwachstellenanalyse über die Härtung von VPN-Infrastrukturen bis hin zur Incident-Response-Planung. Wenn Sie wissen möchten wie gut Ihre Organisation gegen aktuelle Angriffsmuster geschützt ist: Sprechen Sie mit uns.

Quellen und weiterführende Informationen:

Autor: Andriu Isenring CISSP