LONDON (IT BOLTWISE) – Die Warnungen von CISA und weiteren Stellen ordnen Gunra als Ransomware mit Fokus auf kritische Infrastrukturen ein. Angreifer nutzen dabei öffentlich bekannte Schwachstellen in internetexponierten Fortinet- und Schneider-Electric-Appliances, um zunächst Zugriff zu erlangen. Danach kombinieren sie Datendiebstahl und anschließende Verschlüsselung im Double-Extortion-Ansatz. In der Entwicklung fällt auf: Gunra veröffentlicht Daten nach wenigen Tagen Nichtzahlung und erweitert seine Operationslandschaft über neue Alias-Namen.
Gunra steht in den aktuellen Lagebildern von CISA und dem FBI als Ransomware-Cluster im Mittelpunkt, weil die Angriffe nicht bei klassischen Phishing-Kampagnen stehen bleiben. Die Warnenden ordnen Gunra vor allem im Kontext kritischer Sektoren ein: Dazu zählen medizinische und öffentliche Gesundheit, Finanzdienstleistungen, staatliche Angebote sowie professionelle und gemeinnützige Organisationen. Entscheidender ist jedoch der technische Einstieg. Laut CISA greifen Angreifer die Zielumgebungen über Sicherheitslücken in internet-facing Geräten an, konkret über Schneider-Electric PowerLogic P5 (CVE-2024-5559) sowie Fortinet FortiOS und FortiProxy (CVE-2025-24472). Damit wird eine häufige Unternehmensannahme unterlaufen, dass die eigentliche Gefahr nur von Endgeräten ausgeht; vielmehr wandern die Angriffspunkte in Richtung Netzwerkperimeter und zentraler Verwaltungs- bzw. Gatekeeper-Komponenten.
Die anschließende Schadenslogik folgt dem Double-Extortion-Modell, bei dem Verschlüsselung und Datenabfluss getrennte Druckmechanismen erzeugen. CISA beschreibt, dass Gunra die Daten exfiltriert und anschließend verschlüsselt, um den maximalen Impact zu erreichen; wer nicht innerhalb von fünf bis sieben Tagen zahlt, sieht sich laut den veröffentlichten Informationen damit konfrontiert, dass die Daten auf einer Leak-Seite publiziert werden. Als zusätzliche Skalierungslogik kommt offenbar ein RaaS-Ansatz (Ransomware-as-a-Service) zum Tragen: Laut der vorliegenden Analyse wurde im Januar 2026 ein formales Affiliate-Programm in einschlägigen Dark-Web-Foren gestartet. Affiliates erhalten dabei einen Management-Panel-Zugang, einen konfigurierbaren Builder für die Ransomware sowie plattformübergreifende Locker-Payloads und dokumentierte Abläufe. Das verschiebt die Kompetenzverteilung im Angriff: Statt einzelner „All-in-one“-Akteure entstehen wiederverwendbare Rollenketten aus Zugangsbeschaffung, Payload-Erstellung und Monetarisierung.
Für die technische Umsetzung liefert die Beschreibung mehrere konkrete Werkzeuge und Verfahrensbausteine, die in der Praxis die Verteidigungsarbeit erschweren. Als typisches Muster wird der Einsatz von Impacket-Bibliotheken genannt, darunter „psexec.py“ und „smbclient.py“ für die laterale Bewegung über das SMB-Protokoll. Für Credential-Dumping kommt außerdem „secretsdump.py“ zum Einsatz, womit kompromittierte Domain Controller angegriffen und Passwort-Hashes aus der NTDS-Datei ausgelesen werden. Ergänzend werden Spurenbereinigungen als wiederkehrende Schritte beschrieben: System- und Netzwerkzugriffslogs sollen gelöscht, die Command-History geleert und die internen Rekognitionsaktivitäten in ein Zeitfenster zwischen 22:00 Uhr und 6:00 Uhr gelegt werden. Auch bei der Exfiltration wird ein konkreter Modus genannt: Datenabflüsse aus Microsoft OneDrive und SharePoint sollen über eine ausführbare Datei namens „main.exe“ erfolgen; in Einzelfällen werden komprimierte Archive mit mehreren Terabytes erzeugt und dann über den Dienst MEGA ausgeliefert.
Bemerkenswert ist außerdem, wie stark Gunra auf Verschlüsselungs- und Zugriffsketten bei großen Dateimengen ausgerichtet ist. Im Ursprungstext wird dafür eine Angabe aus einer Analyse zitiert: „The group is capable of encrypting huge files (9TB) in a limited timeframe by using advanced stream cipher encryption such as Salsa20 or ChaCha20.“ Diese Aussage adressiert die Frage, wie Angreifer trotz begrenzter Laufzeiten mit sehr großen Datenvolumina umgehen. Darüber hinaus deuten weitere Befunde auf tiefergehende Manipulationen rund um Fernzugriff und Authentifizierung hin. In einem Fall, der von der National Police Agency in Südkorea beschrieben wird, sollen Angreifer die Traffic-Control-Funktionalität eines SSL-VPN-Appliances manipuliert haben, um Credentials und Session-Informationen abzugreifen, die bei der Anmeldung eines Benutzers an ein Corporate-VDI-Portal übertragen werden. Die gestohlenen Session-Cookies werden dann für Session Hijacking und zur Identitätsannahme genutzt, um sich als legitime Nutzer in das interne Netz einzuloggen.
Wo die klassische MFA-Unterstützung versagt, liegt der Fokus laut den vorliegenden Informationen auf Eingriffen in die Authentifizierungsverarbeitung der VDI-Portal-Server. Gunra soll die Authentifizierungsdateien so verändert haben, dass eine erfolgreiche Anmeldung möglich wird, wenn ein spezifischer, Gunra-designierter OTP-Wert eingegeben wird. Ergänzend werden mehrere Umgehungs- und Persistenzmuster genannt: Das Erlangen eines Administrator-Accounts auf einem SSL-VPN-Gerät durch Ausnutzen von Default-Credentials, gefolgt vom Herunterladen von OpenSSH von einem angreifersteuernden Server, um Verbindungen zwischen kompromittierten Systemen aufzubauen und die Zugriffsrechte dauerhaft abzusichern. Ebenso wird ein Vorgehen beschrieben, bei dem ein im SSL-VPN-Admin-Interface identifizierter, ungenutzter Account genutzt wird, der sowohl Internet- als auch interne Netzpfade erreicht, und dessen Konfiguration so angepasst wird, dass eine obligatorische Passwortänderung umgangen und für spätere Schritte leergelassen wird.
Der Kontext wird zusätzlich dadurch verdichtet, dass die Warnhinweise auch einen möglichen technischen Zusammenhang zu anderen Kampagnen nahelegen. Berichten zufolge gab es in Südkorea zuletzt einen Hinweis auf eine Cyber-Kampagne, die 2025 bis in die erste Hälfte 2026 reicht und Schwachstellen in einer (im Bericht nicht näher bezeichneten) Finanz-Sicherheitssoftware ausgenutzt haben soll, um Malware nach Social-Engineering über bösartige URLs zu verteilen. Interessant dabei: In einzelnen Fällen soll dieselbe Schwachstelle oder der gleiche Einstieg auch genutzt worden sein, um Gunra zu installieren und sensible Organisationsdaten abzufiltern. Daneben werden in dem Ausgangsmaterial auch „watering hole“-Vektoren erwähnt, bei denen ein Zero-Day in AnySign4PC (im Umfeld der Zertifikatsignatur-Software) zur Installation und Ausführung von Malware genutzt worden sein soll. Als übergreifendes Muster formuliert AhnLab, dass die staatlich unterstützte Gruppe und Gunra trotz unterschiedlicher Ziele möglicherweise gemeinsame Techniken, Tools oder Infrastruktur verwendet hätten oder zumindest in begrenztem Umfang kooperiert haben könnten; die konkrete Ursprungsrichtung bleibt dabei jedoch unklar.
Für die Abwehr leitet sich daraus eine Prioritätenliste ab, die weniger mit „grundsätzlicher IT-Hygiene“ zu tun hat, sondern mit klaren technischen Handlungswegen. Die Empfehlung, Betriebssysteme, Software und Firmware konsequent aktuell zu halten, adressiert unmittelbar die genannten CVE-Auslöser in internetexponierten Systemen. Zusätzlich sollten Unternehmen Patch-Prozesse für genau diese Perimeter-Komponenten priorisieren, Netzwerksegmentierung konsequent umsetzen und Backups so absichern, dass sie nicht veränderbar („immutable“) und physisch getrennt von Primär- und Wiederherstellungsbereichen gespeichert sind. Für Sicherheitsverantwortliche ist zudem wichtig, die Angriffsketten im Blick zu behalten: Wenn Impacket-typische SMB-Lateral-Moves sowie Credential-Dumping aus NTDS-Dateien zum Standardrepertoire gehören, müssen Monitoring und Incident Response nicht nur auf Endgeräte zielen, sondern Domain Controller, Admin-Workflows und Fernzugriffspunkte gleichwertig behandeln. Gerade weil Gunra nach wenigen Tagen mit Datenveröffentlichungen Druck aufbaut, entscheidet die Zeit bis zur Eindämmung über den Schaden – und die ist häufig schneller, als klassische Prozesszyklen für „späteres Patchen“ vorgesehen sind.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Gunra-Ransomware missbraucht Fortinet- und Schneider-Appliances – neue Taktiken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Gunra-Ransomware missbraucht Fortinet- und Schneider-Appliances – neue Taktiken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Gunra-Ransomware missbraucht Fortinet- und Schneider-Appliances – neue Taktiken« bei Google Deutschland suchen, bei Bing oder Google News!