Gunra-Ransomware: Wie kommen die Angreifer herein?

Gunra-Ransomware: Zwei alte Fortinet-Lücken öffnen die Firewall

Michael Dobler

Autor Dr. Web

11. August 2026

2 Min. Lesezeit

Gunra-Ransomware dringt über zwei Fortinet-Lücken in Firmennetze ein, für die seit Anfang 2025 Patches bereitliegen. FBI und CISA beschreiben in einer gemeinsamen Warnung vom 10. August 2026, wie die Angreifer ein eigenes Firewall-Konto anlegen und die Zwei-Faktor-Anmeldung mit einem festen Einmalpasswort umgehen. Der Linux-Verschlüsseler enthält dabei einen Fehler, der verschlüsselte Dateien ohne Lösegeld wiederherstellbar macht.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Ein Firewall-Konto namens forticloud-sync ist bei einem Gunra-Angriff die erste sichtbare Spur. Sechs Behörden aus den USA und Südkorea haben das Vorgehen der Erpressergruppe zusammengetragen.^[1] Für Betreiber in Deutschland liegt das Unangenehme im Detail, denn beide ausgenutzten Lücken sind seit über einem Jahr geschlossen.

Das Wichtigste in Kürze

Der Einstieg gelingt über CVE-2024-55591 und CVE-2025-24472 in FortiOS sowie FortiProxy. Fortinet schloss beide Authentifizierungs-Lücken Anfang 2025.
Auf der Firewall entsteht das Super-User-Konto forticloud-sync mit fest eingebautem Passwort.
Auf einem Anmeldeportal veränderten die Angreifer die Prüfroutine so, dass ein selbst gewähltes Einmalpasswort dauerhaft durchging.
Vor der Verschlüsselung fließen bis zu mehrere Dutzend Terabyte zum Filehoster Mega ab, anschließend löscht die Schadsoftware Schattenkopien und Sicherungen.

Wie kommen die Angreifer durch die Firewall?

Ein Vorhängeschloss sichert einen Riegel, daneben ein Schlüssel mit „Wartung“-Schild — Zwei kritische Fortinet-Lücken umgehen Anmeldung: CVE-2024-55591 gewährt Super-Admin-Rechte per manipulierter Websocket-Anfragen (CVSS 9,8). CISA listet beide als aktiv ausgenutzt

Beide Fortinet-Lücken umgehen die Anmeldung, statt Speicher zu überschreiben. Über präparierte Anfragen an ein Websocket-Modul der Verwaltungsoberfläche verschafft CVE-2024-55591 Super-Admin-Rechte ohne gültige Anmeldung, bewertet mit 9,8 von 10 Punkten.^[2] Die US-Cybersicherheitsbehörde CISA führt beide Schwachstellen seit 2025 im Katalog der aktiv ausgenutzten Lücken, ausdrücklich markiert als Werkzeug von Erpressergruppen.

Aus dem gekaperten Zugang entsteht ein Dauerausweis. Das Konto forticloud-sync trägt Super-User-Rechte samt fest eingebautem Passwort und übersteht als vermeintlicher Wartungsdienst die erste Sichtprüfung. Dasselbe Muster zeigte die Qilin-Gruppe, die sich über eine Lücke im Palo-Alto-VPN Zugang verschaffte.

Warum hilft die Zwei-Faktor-Anmeldung hier nicht?

Den zweiten Faktor hat die Gruppe nicht geknackt, sondern die Stelle verändert, die ihn prüft. Auf dem Anmeldeportal einer virtuellen Desktop-Umgebung tauschten die Eindringlinge die Prüfdateien so aus, dass ein selbst festgelegtes Einmalpasswort dauerhaft akzeptiert wurde. Parallel lasen die Angreifer über die SSL-VPN-Appliance Zugangsdaten und Sitzungscookies der Beschäftigten mit.

Sicherheitstechnik selbst wird damit zum Einfallstor. Dieses Muster hat eine Vorgeschichte, denn im Juli kaperten Angreifer Fortinets Analyse-Appliance FortiSandbox. Ein zweiter Faktor schützt nur so weit, wie der Server unverändert bleibt, der die Codes abgleicht. Genau darum rückt die NIS2-Richtlinie die Cybersicherheit in die Chefetage.

Gunra-Ransomware: Einstieg, Preis und Handschrift

Zahlen aus der gemeinsamen Warnung von FBI und CISA vom 10. August 2026.

9,8 von 10

Schweregrad von CVE-2024-55591 in FortiOS und FortiProxy. Die Lücke liefert Super-Admin-Rechte ohne gültige Anmeldung.

21. Januar 2025

Bis zu diesem Tag mussten US-Bundesbehörden die Lücke schließen. Angreifer kommen 19 Monate später weiter darüber hinein.

ab 8,7 Mio. €

Einstiegsforderung der Verhandlungen, umgerechnet aus zweistelligen Millionenbeträgen in Dollar zum Kurs 0,87 am 11. August 2026.

Handschrift und Gegenmaßnahmen

Woran Sie den Befall erkennen

Verschlüsselte Dateien tragen die Endung .ENCRT.

In jedem Ordner liegt der Erpresserbrief R3ADM3.txt.

Die Verschlüsselung läuft über ChaCha20 mit RSA-4096.

Erkundung und Angriff fallen meist zwischen 22 und 6 Uhr.

Was die Behörden empfehlen

Geräte am Netzrand zuerst patchen, besonders VPN-Zugänge.

Sicherungen offline, unveränderlich und räumlich getrennt halten.

Netze segmentieren, damit ein Gerät nicht das ganze Werk öffnet.

Zwei Firewall-Lücken aus dem Januar 2025 genügen im August 2026 noch immer, um ein Klinikum oder ein Stadtwerk lahmzulegen. Geräte am Netzrand aktuell zu halten gehört seit NIS2 in die Geschäftsführung und nicht allein in die IT-Abteilung.
— Markus Seyfferth, Chefredakteur Dr. Web

Was sollten Betreiber in Deutschland jetzt prüfen?

Der erste Blick gilt den Konten auf der Firewall. Betroffen sind FortiOS 7.0.0 bis 7.0.16 sowie FortiProxy 7.0.0 bis 7.0.19 und 7.2.0 bis 7.2.12; ein Konto namens forticloud-sync gehört dort nicht hin. Der zweite Blick gilt den Sicherungen, denn Gunra löschte bei einem Opfer die Bestände im Rechenzentrum und im Ausweichrechenzentrum. Belastbar bleibt allein ein offline gehaltener, unveränderlicher Bestand, wie schon der Angriff auf Rumäniens Grundbuch gezeigt hat.

Nach einem Treffer lohnt der Blick auf das Betriebssystem, bevor jemand über Lösegeld verhandelt. Der Linux-Verschlüsseler von Gunra zieht seinen Schlüssel aus einem Zufallsgenerator, den die Sekundenzeit startet. Für ein einstündiges Zeitfenster bleiben rund 3.600 Kandidaten übrig; alle Dateien derselben Sekunde tragen denselben Schlüssel. Die Sicherheitsforscher von Breakglass Intelligence haben Daten auf diesem Weg ohne Zahlung wiederhergestellt.^[3] Die Windows-Variante nutzt dagegen einen sauberen Generator und bleibt verschlossen.

Meldepflichtig wird ein solcher Vorfall in Deutschland schnell. Die Registrierungsfrist beim BSI nach § 33 Absatz 6 BSIG ist abgelaufen,^[4] die Erstmeldung steht binnen 24 Stunden an. Am engsten sitzt die Haftung dort, wo Fertigung und Bürotechnik zusammenlaufen, also in der Produktionshalle.