Gunra Ransomware: SafeBreach-Abdeckung für CISA-Warnung AA26-222A

Zusammenfassung

Gunra ist ein Ransomware-as-a-Service (RaaS)-Betrieb, der von Conti abgeleitet ist und ein Doppel-Erpressungsmodell verfolgt. Die Gruppe zielt auf mehrere Sektoren ab, indem sie Schwachstellen in internetzugänglichen Firewalls und VPN-Geräten für den anfänglichen Zugriff ausnutzt. Nach dem Eindringen führen die Betreiber Credential Dumping, laterale Bewegungen und Datenexfiltration durch, bevor sie Ransomware-Verschlüsselungspayloads bereitstellen.

Untersuchung

Eine gemeinsame Untersuchung von FBI, CISA, NSA und internationalen Partnern dokumentierte Gunras Nutzung von Tor-basierten Leak-Sites und seine Entwicklung zu einem strukturierten RaaS-Betrieb. Die Ermittler beobachteten die Ausnutzung von FortiOS-Authentifizierungs-Bypass-Schwachstellen und den Missbrauch legitimer Administrationswerkzeuge für bösartige Aktivitäten. Die Kampagne nutzt auch fortschrittliche Techniken, einschließlich MFA-Bypass durch Modifikation des Authentifizierungsprozesses und SSH-Tunneling.

Minderung

Organisationen sollten die Behebung internetseitiger Schwachstellen priorisieren, insbesondere CVE-2024-55591 und CVE-2025-24472. Netzsegmentierung, strikte Durchsetzung von MFA und Einhaltung des Prinzips der minimalen Berechtigungen sind kritische Abwehrmaßnahmen. Die Aufrechterhaltung von Offline- und segmentierten Backups ist ebenfalls wesentlich, da Gunra-Betreiber häufig Schattenkopien löschen, um die Wiederherstellung zu erschweren.

Antwort

Wenn Gunra-Aktivitäten erkannt werden, sollten die Responder verschlüsselte Dateien, Dateizeitenstempel und Systemprotokolle insbesondere auf Linux-Systemen aufbewahren, um eine mögliche Schlüsselrekonstruktion zu unterstützen. Sicherheitsteams sollten auf nicht autorisierte Super-User-Konten wie forticloud-sync und anomale WMI-Aktivitäten achten. Die Vorfallsreaktion sollte auch den Umfang der Datenexfiltration über Cloud-Dienste wie OneDrive und SharePoint ermitteln.

Simulationsdurchführung

Voraussetzung: Die Telemetrie- & Basislinien-Pre-Flight-Überprüfung muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Durchführung der Adversary-Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und zielen darauf ab, die exakte Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht zusammenhängende Beispiele führen zu einer Fehldiagnose.

• Angriffserzählung & Befehle: Der Angreifer hat einen ersten Zugangspunkt erlangt und beabsichtigt, VDI (Virtual Desktop Infrastructure)-Anmeldedaten zu exfiltrieren. Um die Netzwerkinspektion zu umgehen, initiiert der Angreifer zuerst einen SSH-Tunnel zu seinem C2-Server mit lokalem Port-Forwarding (-L). Gleichzeitig führen sie ein benutzerdefiniertes Sniffing-Tool namens sniff.exe mit einem Befehlszeilenargument aus, das auf VDI zielt, um Anmeldedaten im Transit zu erfassen. Dieser doppelte Ansatz soll den bösartigen Datenverkehr innerhalb eines verschlüsselten Tunnels maskieren, während das Sniffer-Tool die Klartext-/Handshake-Daten aus der VDI-Sitzung erfasst.

• Regressions-Testskript:

  # 1. Erstellen Sie ein Dummy 'sniff.exe', um das Sniffing-Tool zu simulieren
  $sniffPath = "$env:TEMPsniff.exe"
  "Dies ist ein Dummy Sniffer" | Out-File -FilePath $sniffPath -Encoding ascii
  
  # 2. Erstellen Sie ein Dummy 'ssh.exe' oder verwenden Sie das System-eigene, um die Tunneling-Logik auszulösen
  # Wir verwenden das echte ssh.exe, wenn verfügbar, oder simulieren den Prozessaufruf
  # Um sicherzustellen, dass die Erkennungslogik 'Image|endswith: ssh.exe' übereinstimmt:
  
  Write-Host "[+] Simulation starten: SSH Tunneling und VDI Sniffing" -ForegroundColor Cyan
  
  # Schritt A: Führen Sie das simulierte Sniffing-Tool aus (Ziel: VDI)
  Start-Process -FilePath $sniffPath -ArgumentList "capture --target VDI" -WindowStyle Hidden
  
  # Schritt B: Führen Sie das SSH-Tunneling aus (Ziel: -L Flagge)
  # Hinweis: Wir verwenden einen Dummy-Befehl, um tatsächliche Verbindungsversuche zu verhindern, wenn ssh.exe vorhanden ist
  # stellt aber sicher, dass die Befehlszeile die erforderlichen Flags enthält.
  Start-Process -FilePath "ssh.exe" -ArgumentList "-L 8080:localhost:80 user@127.0.0.1" -WindowStyle Hidden
  
  Write-Host "[+] Simulationsbefehle ausgeführt. Überprüfen Sie Telemetrie auf Erkennung." -ForegroundColor Green

• Bereinigungsbefehle:

  # Entfernen Sie die simulierten bösartigen Dateien
  Remove-Item -Path "$env:TEMPsniff.exe" -Force -ErrorAction SilentlyContinue
  Write-Host "[+] Bereinigung abgeschlossen." -ForegroundColor Yellow