Zusammenfassung

CISA und FBI warnen vor der Gunra-Ransomware. Die Erpressergruppe nutzt Sicherheitslücken in Fortinet und Schneider Electric für Angriffe. Tags: #Cyber Crime | #Ransomware | #Schwachstelle

Im Detail

CISA und FBI warnen vor der Gunra-Ransomware. Die Erpressergruppe nutzt Sicherheitslücken in Fortinet und Schneider Electric für Angriffe.

Die US-Cybersicherheitsbehörde CISA, das FBI und südkoreanische Ermittlungsbehörden haben in einer gemeinsamen Warnmeldung auf aktive Angriffswellen der Erpressersoftware Gunra hingewiesen. Die Angreifer dringen über ungepatchte Sicherheitslücken in öffentlich erreichbaren Netzwerksystemen ein.

Dabei nutzen sie unter anderem die Fortinet-Schwachstellen CVE-2024-55591 und CVE-2025-24472 auf Firewall-Geräten aus, um ein privilegiertes Benutzerkonto namens forticloud-sync mit Superuser-Rechten anzulegen. Zudem visiert die Gruppe Systeme und Steuerungskomponenten von Anbietern wie Schneider Electric an, um Zugänge zu Netzwerken kritischer Infrastrukturen zu erlangen.

Chris Butera, kommissarischer stellvertretender Exekutivdirektor für Cybersicherheit bei der CISA, erklärte zur Bedrohungslage:

„Gunra ist eine weitere Variante des anhaltenden Trends von Ransomware-Angriffen, die Unterbrechungen und Schäden bei US-amerikanischen und internationalen Organisationen verursachen.“

Chris Butera, kommissarischer stellvertretender Exekutivdirektor für Cybersicherheit bei der CISA

Schneider Electric: Doppelter Erpressungsansatz

Die im April 2025 entstandene und 2026 zu einem Ransomware-as-a-Service-Modell erweiterte Gruppe basiert technisch auf dem geleakten Quellcode der Conti- Ransomware. Gunra setzt auf ein zweistufiges Erpressungsverfahren: Vor der eigentlichen Verschlüsselung schleusen die Täter sensible Daten aus Systemen wie Microsoft OneDrive und SharePoint über eigene Werkzeuge wie main.exe ab.

Anschließend verschlüsselt die Malware Dateien, versieht diese mit der Dateiendung.ENCRT und hinterlässt in allen Verzeichnissen Erpresserschreiben unter dem Namen R3ADM3.txt.

Für die Erpressungsverhandlungen verweisen die Täter auf ein Tor-basiertes Portal und fordern Kontakt über den verschlüsselten Messengerdienst qTox. Werden Lösegeldforderungen nicht erfüllt, droht die Gruppe mit dem Verkauf oder der Veröffentlichung der gestohlenen Daten auf einer eigenen Leaksite im Darknet.

Betroffene Branchen und Schutzmaßnahmen

Die Angriffe richten sich global gegen Behörden, Gesundheitseinrichtungen, Finanzdienstleister, Versorgungsunternehmen sowie Betriebe der Fertigungs- und Transportbranche.

Zur Schadensvermeidung empfehlen die Sicherheitsbehörden das vorrangige Einspielen von Sicherheitsupdates für externe Netzwerkzugänge wie VPN-Gateways, die Durchsetzung einer strikten Netzwerksortierung zur Unterbindung von Bewegungsmöglichkeiten im Netz sowie die Bereithaltung isolierter, unveränderlicher Offline-Backups.

Tags: #Cyber Crime | #Ransomware | #Schwachstelle