Gunra-Ransomware verwendet Multithread-ChaCha20-Verschlüsselung

Zusammenfassung

Gunra ist eine Ransomware-as-a-Service (RaaS)-Familie, die aus dem geleakten Conti-Quellcode abgeleitet wurde und darauf abzielt, sowohl Windows- als auch Linux-Systeme anzugreifen. Die Betreiber verwenden Doppel-Erpressungstaktiken, indem sie große Datenmengen in Cloud-Dienste stehlen, bevor sie mit der Dateiverschlüsselung beginnen. Gunra stützt sich auf ChaCha20, kombiniert mit RSA-4096-Verschlüsselung, und hängt die .ENCRT Erweiterung an verschlüsselte Dateien an.

Untersuchung

Der Bericht erklärt, wie Gunra-Betreiber durch die Ausnutzung von FortiOS-Schwachstellen und die Erstellung persistenter Superuser-Konten initialen Zugang erlangen. Untersuchungen zeigen, dass die Angreifer Impacket-Bibliotheken für laterale Bewegungen und SMB-Missbrauch verwenden, während sie auch Anmeldeinformationen von VDI- und Hiware-Systemen stehlen. Sie manipulieren außerdem MFA-Konfigurationen, um den langfristigen Zugang zu kompromittierten Umgebungen zu bewahren.

Abschwächung

Organisationen sollten FortiOS- und FortiProxy-Systeme gegen CVE-2024-55591 und CVE-2025-24472 patchen. Sicherheitsteams sollten auf unautorisierte Konten wie forticloud-sync achten und die verdächtige Nutzung von Impacket-Tools erkennen. Der Schutz von Volume Shadow Copies und die Validierung von MFA- und Authentifizierungskonfigurationsdateien sind ebenfalls kritische Abwehrmaßnahmen.

Reaktion

Wenn Gunra-Aktivität entdeckt wird, sollten betroffene Systeme sofort isoliert werden, um die laterale Bewegung über SMB oder RDP einzuschränken. Unautorisierte Superuser-Konten sollten widerrufen und die Authentifizierungsverarbeitungsdateien auf MFA-Hintertüren überprüft werden. Organisationen sollten Unternehmens-Logins zurücksetzen und die Aktivität in der Cloud-Speicherung auf Anzeichen für unautorisierte Datenexfiltration untersuchen.

Simulation Ausführung

Voraussetzung: Der Telemetrie- und Basislinien-Preflight-Check muss bestanden worden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue von der Erkennungslogik erwartete Telemetrie zu erzeugen. Abstrakte oder unverwandte Beispiele führen zu Fehldiagnosen.

• Angriffserzählung & Befehle: Ein Angreifer hat eine Kette von Schwachstellen (CVE-2024-55591 und CVE-2025-24472) ausgenutzt, um die Authentifizierung auf einem FortiOS-Gerät zu umgehen. Um den langfristigen Zugang (Persistenz) zu gewährleisten, führt der Angreifer einen Befehl aus, um ein neues Benutzerkonto zu erstellen. Um sich in legitime Systemprozesse und Cloud-Synchronisationsdienste einzufügen, benennt der Angreifer das Konto ‚forticloud-sync‘. Diese Aktion erzeugt eine Windows-Ereignis-ID 4720 beim integrierten Identitätsanbieter, der das primäre Ziel unserer Erkennungsregel ist.

• Regressionstest-Skript:

  # Simulationsskript zur Nachahmung der Erstellung des Kontos 'forticloud-sync' für Persistenz.
  # HINWEIS: Dies muss mit Administratorrechten ausgeführt werden.
  
  $TargetUser = "forticloud-sync"
  $Password = ConvertTo-SecureString "P@ssw0rd123!" -AsPlainText -Force
  
  Write-Host "[+] Starte Simulation: Konto $TargetUser wird erstellt" -ForegroundColor Cyan
  
  try {
      New-LocalUser -Name $TargetUser -Password $Password -Description "Automatisiertes Cloud-Synchronisationsdienstkonto" -FullName "FortiCloud Sync Service"
      Write-Host "[!] ERFOLG: Konto '$TargetUser' erstellt. Überprüfen Sie SIEM auf Ereignis-ID 4720." -ForegroundColor Green
  }
  catch {
      Write-Host "[-] FEHLER: Konto konnte nicht erstellt werden. Stellen Sie sicher, dass Sie als Administrator angemeldet sind." -ForegroundColor Red
      Write-Error $_
  }

• Bereinigungskommandos:

  # Bereinigungsskript zur Entfernung des simulierten Kontos und Wiederherstellung des Umgebungszustands.
  $TargetUser = "forticloud-sync"
  
  Write-Host "[+] Starte Bereinigung: Konto $TargetUser wird entfernt" -ForegroundColor Cyan
  
  try {
      Remove-LocalUser -Name $TargetUser
      Write-Host "[!] ERFOLG: Konto '$TargetUser' entfernt." -ForegroundColor Green
  }
  catch {
      Write-Host "[-] FEHLER: Konto konnte nicht entfernt werden. Es könnte bereits gelöscht worden sein." -ForegroundColor Red
  }