Eine neue bundesweite Warnung für Gesundheitsnetzwerke

CISA und das FBI haben eine gemeinsame Cybersecurity-Warnung herausgegeben, die Krankenhäuser und Gesundheitsorganisationen vor einer aktiven Ransomware-Operation namens Gunra warnt. Die Warnung beschreibt eine Ransomware-as-a-Service-Gruppe (RaaS), die internetfähige Schwachstellen ausnutzt, darunter Fehler in Fortinet-Produkten, um in Netzwerke einzudringen und sensible Daten zu stehlen, bevor sie diese verschlüsselt.

Dies ist nicht der erste Hinweis auf Gunra. Wie in US und Südkorea warnen vor wachsender Gunra-Ransomware-Bedrohung berichtet, verfolgen die Behörden diese Gruppe bereits seit einiger Zeit, während sie ihre Reichweite und technischen Fähigkeiten ausweitet. Die neueste Warnung schärft den Fokus speziell auf Gesundheitswesen, Regierung und kritische Infrastruktur und legt genau dar, wie die Gruppe vorgeht, sobald sie sich Zugang zu einem Netzwerk verschafft hat.

Wie der Gunra-Ransomware-Angriff abläuft

Laut der Warnung folgen Gunra-Partner, sobald sie Zugang zu einem Netzwerk erhalten, einem Modell der doppelten Erpressung. Zuerst exfiltrieren sie Daten und kopieren Dateien aus dem Netzwerk, bevor es jemand bemerkt. Dann verschlüsseln sie die Systeme des Opfers und sperren Krankenhausmitarbeiter aus Patientenakten, Planungssystemen und anderen kritischen Infrastrukturen aus.

Die Drucktaktik wird bei Gesundheitszielen besonders aggressiv. Opfer erhalten nur fünf bis sieben Tage Zeit zu zahlen, bevor Gunra droht, die gestohlenen Dateien auf einer Dark-Web-Leak-Site zu veröffentlichen. Verhandlungen laufen über ein Tor-basiertes Portal, das die Identität und den Standort der Gruppe verbirgt, während dennoch eine direkte Kommunikation mit den Opfern ermöglicht wird.

Was Gunra für Bundesbehörden besonders besorgniserregend macht, ist das Geschäftsmodell. Die Gruppe rekrutiert aktiv Partner von anderen Ransomware-Operationen ab, indem sie einen Anteil von 80 % an jeder eingelösten Lösegeldzahlung anbietet. Das ist ein ungewöhnlich großzügiger Anteil in der Ransomware-as-a-Service-Welt und ein Zeichen dafür, dass Gunra versucht, schnell zu skalieren, indem erfahrene Betreiber angezogen werden, die bereits wissen, wie man Netzwerke kompromittiert und Opfer unter Druck setzt.

Warum Krankenhäuser ein Hauptziel sind

Gesundheitsorganisationen sind seit langem attraktive Ziele für Ransomware-Gruppen, und die Gründe haben sich nicht geändert. Krankenhäuser sind auf Betriebszeit angewiesen. Ein gesperrtes elektronisches Gesundheitsaktensystem oder eine eingefrorene Planungsplattform verursacht nicht nur Unannehmlichkeiten, sondern kann die Patientenversorgung verzögern. Diese Dringlichkeit erzeugt Druck, schnell zu zahlen – genau das, worauf Gruppen wie Gunra setzen.

Die Datendiebstahl-Komponente fügt eine weitere Risikoebene hinzu. Patientenakten enthalten in der Regel Namen, Adressen, Sozialversicherungsnummern, Versicherungsdetails und Krankengeschichten – allesamt mit echtem Wert auf Dark-Web-Marktplätzen und nutzbar für Identitätsdiebstahl oder Versicherungsbetrug lange nach dem ursprünglichen Angriff. Der Countdown von fünf bis sieben Tagen vor einer Leak-Drohung bedeutet außerdem, dass Krankenhäuser gezwungen sind, Entscheidungen mit hohem Einsatz unter einer kurzen und bewusst stresserzeugenden Frist zu treffen.

Die Ausnutzung internetfähiger Schwachstellen, insbesondere in Fortinet-Produkten laut der Warnung, ist eine Erinnerung daran, dass viele Angriffe mit bekannten, patchbaren Fehlern beginnen und nicht mit hochentwickelten Zero-Day-Angriffen. Organisationen, die beim Patchen von Edge-Geräten wie Firewalls und VPN-Gateways zurückbleiben, lassen Gruppen wie Gunra eine offene Tür zum Hindurchgehen.

Was das für Sie bedeutet

Wenn Sie Patient in einem Krankenhaus oder Gesundheitssystem sind, ist diese Warnung eine Erinnerung daran, dass Ihre medizinischen und persönlichen Daten nur so sicher sind wie die Systeme, die sie speichern. Sie werden in der Regel nicht in Echtzeit erfahren, ob Ihr Anbieter angegriffen wurde, aber Sie können Maßnahmen ergreifen, um den Schaden zu begrenzen, falls Ihre Daten jemals offengelegt werden. Überwachen Sie Ihre Versicherungsabrechnungen und Kreditberichte auf ungewöhnliche Aktivitäten und erwägen Sie, einen Betrugsalarm oder eine Kreditsperre einzurichten, wenn Sie eine Benachrichtigung über eine Datenschutzverletzung von einem Gesundheitsanbieter erhalten.

Wenn Sie in der Gesundheits-IT oder Krankenhausverwaltung arbeiten, sollte diese Warnung eine sofortige Überprüfung der internetfähigen Infrastruktur auslösen, insbesondere von Fortinet-Geräten und anderen Netzwerk-Perimeter-Ausrüstungen, um sicherzustellen, dass Patches aktuell sind. Die Segmentierung von Netzwerken, sodass ein einzelnes kompromittiertes Gerät keinen Zugang zu Patientenaktensystemen ermöglicht, ist eine weitere praktische Verteidigung. Da Gunra aktiv Partner mit einem ungewöhnlich hohen Umsatzanteil rekrutiert, sollten Sicherheitsteams davon ausgehen, dass die Angriffsmenge der Gruppe in den kommenden Monaten zunehmen wird, nicht abnehmen.

Wichtige Erkenntnisse

Gunra-Ransomware stellt eine wachsende und finanziell motivierte Bedrohung dar, die gezielt Krankenhäuser und kritische Infrastruktur angreift. Der Ansatz der doppelten Erpressung kombiniert mit einer aggressiven Lösegeld-Frist von fünf bis sieben Tagen ist darauf ausgelegt, den Druck auf Opfer zu maximieren, die sich Ausfallzeiten am wenigsten leisten können. Für Patienten bleibt Wachsamkeit bei Benachrichtigungen über Datenschutzverletzungen und die Überwachung persönlicher Konten die beste Verteidigung. Für Gesundheits-IT-Teams sind das Patchen bekannter Schwachstellen, insbesondere bei Edge-Geräten, und die Aufrechterhaltung einer starken Netzwerksegmentierung die unmittelbarsten und umsetzbarsten Schritte zur Reduzierung der Gefährdung. Da Bundesbehörden die Expansion von Gunra weiterhin verfolgen, ist es eine der einfachsten Möglichkeiten, einen Schritt voraus zu sein, wenn man sich durch Warnungen wie diese auf dem Laufenden hält.