Gunra-Ransomware überwindet MFA; Linux-Fehler ermöglicht kostenlose Wiederherstellung

Eine gemeinsame Warnung von FBI, CISA, NSA, dem Cyber Crime Center des US-Verteidigungsministeriums und südkoreanischen Cybersicherheitsbehörden hat bestätigt, dass die Betreiber der Gunra-Ransomware einen Weg gefunden haben, eines der vertrauenswürdigsten Sicherheitswerkzeuge für Unternehmen zu umgehen: die Multi-Faktor-Authentifizierung. Statt einen Einmalcode zu stehlen oder eine Anmeldesitzung zu phishen, überschrieben Gunra-Affiliates die Authentifizierungsdateien direkt auf den Servern der Opfer und legten so die MFA-Schutzmechanismen von innen lahm, bevor sie mit der Verschlüsselung begannen und Daten stahlen.

Die in diesem Monat veröffentlichte Warnung ist eine der bislang deutlichsten öffentlichen Bestätigungen dafür, dass Ransomware-as-a-Service-Gruppen MFA nicht mehr als Hindernis behandeln, das sie austricksen müssen. Sie betrachten sie als Infrastruktur, die sie einfach neu konfigurieren können, sobald sie erst einmal Fuß gefasst haben.

Wie Gunra die serverseitige MFA umging

Laut der Warnung nutzen Gunra-Affiliates bekannte Schwachstellen in Fortinet-Firewall- und VPN-Appliances sowie Sicherheitslücken in Systemen von Schneider Electric aus, um sich anfänglichen Zugang zu Regierungs-, Kritische-Infrastruktur- und Unternehmensnetzwerken zu verschaffen. Sobald sie drinnen waren, zielten die Angreifer nicht darauf ab, MFA am Anmeldebildschirm zu überwinden, sondern auf die Authentifizierungskonfigurationsdateien, die auf dem Server selbst gespeichert sind.

Durch die Veränderung dieser Dateien an der Quelle konnten die Gunra-Betreiber die MFA-Prüfungen deaktivieren oder umgehen, die normalerweise unbefugte Anmeldungen verhindern – und das, ohne je den zweiten Faktor eines Opfers zu benötigen. Das ist ein wichtiger Unterschied zu typischen MFA-Umgehungstechniken wie SIM-Swapping oder Push-Müdigkeitsangriffen, die auf den Nutzer abzielen. Gunras Ansatz zielt auf die Infrastruktur ab, die die Richtlinie überhaupt durchsetzt, womit die Schwachstelle eher architektonischer als verhaltensbedingter Natur ist. Das Patchen bekannter Schwachstellen in Edge-Geräten wie Firewalls und VPN-Appliances – jene Einstiegspunkte, auf die Gunra laut der Warnung angewiesen ist – bleibt der direkteste Weg für Unternehmen, diese Tür zu schließen, bevor sie sich öffnet.

Gunra wird als Ransomware-as-a-Service betrieben: Die Kern-Malware wird von einer Gruppe entwickelt und gepflegt, während Affiliates einzelne Angriffe ausführen und dabei oft geleakten Code aus früheren Ransomware-Familien wiederverwenden. Diese Struktur hat dazu beigetragen, dass sich die Operation schnell über Branchen und Regionen ausbreiten konnte; die Warnung hält fest, dass sie bereits Regierungs-, Gesundheits- und Kritische-Infrastruktur-Ziele in mehreren Ländern getroffen hat.

Ein Silberstreif am Horizont bei der Linux-Variante

Die Warnung verweist außerdem auf eine bemerkenswerte Schwäche in Gunras Linux-basiertem Verschlüsselungsprogramm. Forscher haben festgestellt, dass der Verschlüsselungsprozess Dateizeitstempel-Artefakte hinterlässt, die in einigen Fällen genutzt werden können, um die Entschlüsselungsschlüssel zu rekonstruieren, ohne den Angreifern etwas zu zahlen. Für Organisationen, die Linux-Server betreiben und von genau dieser Variante getroffen wurden, eröffnet das einen Weg, verschlüsselte Daten durch forensische Analyse wiederherzustellen, statt mit einer kriminellen Gruppe zu verhandeln.

Diese Art von Implementierungsfehler ist bei Ransomware-Familien, die geleakten Code wiederverwenden oder anpassen, nicht ungewöhnlich, und sie bedeutet nicht, dass jedes Gunra-Opfer kostenlos wiederherstellen kann. Der Windows-seitige Verschlüssler scheint dieselbe Schwäche nicht aufzuweisen, und Organisationen sollten jeden Wiederherstellungsversuch als Aufgabe für erfahrene Incident-Responder betrachten und nicht als Do-it-yourself-Lösung. Dennoch ist es eine seltene gute Nachricht in einer Ransomware-Landschaft, in der Opfer meist nur die Wahl haben, zu zahlen oder aus Backups neu aufzubauen.

Diese Wahl ist wichtig, denn die Beweise zeigen zunehmend, dass Zahlungen das Problem nicht zuverlässig lösen. Eine Proofpoint-Umfrage hat ergeben, dass Zahlungen an Ransomware-Banden oft nach hinten losgehen; viele Organisationen berichteten, dass sie trotz Zahlung weiterhin Daten verloren, erneut angegriffen wurden oder nie brauchbare Entschlüsselungswerkzeuge erhielten. Die Gunra-Warnung bestätigt dieses Muster: Die sicherste Strategie sind Prävention und Wiederherstellbarkeit, nicht Verhandlungen.

Was das für Sie bedeutet

Die meisten Leser dieser Warnung werden nicht direkt von Gunra ins Visier genommen, doch die grundlegende Lehre gilt weithin. MFA ist eine entscheidende Verteidigungsschicht, aber nicht unfehlbar – besonders dann nicht, wenn Angreifer die serverseitige Konfiguration erreichen können, die sie durchsetzt. Wenn Sie IT-Systeme für ein Unternehmen, ein Krankenhaus, eine Schule oder eine Kommunalverwaltung betreuen, ist diese Warnung ein Anlass zu prüfen, ob die Firmware Ihrer Firewall- und VPN-Appliances auf dem neuesten Stand ist, da sich Gunras anfänglicher Zugang stark auf bekannte, patchbare Schwachstellen stützt.

Für Alltagsnutzer liegt die Lehre weniger in dieser speziellen Ransomware-Familie als im Umgang mit den eigenen Daten. Regelmäßige Offline-Backups wichtiger Dateien bleiben eine der wenigen Verteidigungsmaßnahmen, die unabhängig davon funktionieren, wie ein Angreifer eindringt. Wie lange und wo Sie Kopien sensibler Dateien aufbewahren, beeinflusst auch Ihr Risiko, falls ein von Ihnen genutzter Dienst einmal kompromittiert wird. Die eigenen Gewohnheiten zur Datenaufbewahrung – und die der Plattformen, auf die Sie angewiesen sind – zu verstehen, ist ein praktischer Schritt, um zu begrenzen, was ein einzelner Vorfall offenlegen kann.

Wichtige Erkenntnisse

Organisationen, die exponierte Fortinet- oder Schneider-Electric-Geräte betreiben, sollten dem Patchen sofort Priorität einräumen, da dies der dokumentierte Einstiegspunkt für Gunra-Eindringlinge ist. IT-Teams sollten serverseitige Authentifizierungskonfigurationen auf unbefugte Änderungen prüfen, statt anzunehmen, dass MFA allein deshalb funktioniert, weil sie aktiviert ist. Linux-Administratoren, die von Gunra getroffen wurden, sollten Incident-Response-Experten konsultieren, bevor sie Dateien als dauerhaft verloren betrachten – angesichts des in der Warnung beschriebenen, auf Zeitstempeln basierenden Wiederherstellungsfehlers. Und für alle anderen ist diese Warnung eine weitere Erinnerung daran, dass Gunra-Ransomware und ähnliche Gruppen am häufigsten gegen veraltete Infrastruktur Erfolg haben, weshalb Patch-Management und Backup-Disziplin wertvoller sind als jedes einzelne Sicherheitstool.