▸▾Herleitung der Bewertung(9)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2024-55591, CVE-2025-24472+25
- Hoechster CVSS-Basiswert 9.8+18
- EPSS 94.3 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+14
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2024-55591, CVSS-Vektor AV:N/PR:N)+10
- Ransomware-Vorfall — Thema: ransomware, ransom, leak site | Ereignisbeleg: victim, victims+10
- Belegte Wirkungstaktik: collection, exfiltration, impact+8
- Belegte ATT&CK-Technik zum Erstzugriff+6
- Belegte Angriffskette ueber 5 Kill-Chain-Phasen+6
- Betrifft KRITIS-nahe Branche: finanzen, behoerden+5
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Darunter eine behoerdliche Primaerquelle
- Strukturierte CVE-Daten aus der NVD vorhanden
- ATT&CK-Techniken ueber explizite Technik-ID belegt
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
#StopRansomware: Gunra Ransomware
Die Gunra-Ransomware, eine Variante des Conti-Codes, hat sich zu einem Ransomware-as-a-Service (RaaS) entwickelt und zielt auf Regierungs-, kritische Infrastruktur- und andere Organisationen ab. Die Angreifer nutzen ein Double-Extortion-Modell, indem sie Daten verschlüsseln und mit deren Veröffentlichung drohen. Organisationen sollten bekannte Schwachstellen patchen, Offline-Backups implementieren und Netzwerke segmentieren, um sich vor Gunra zu schützen.
SecBoard-Einordnung
Gunra nutzt ein Double-Extortion-Modell, was bedeutet, dass neben der Betriebsunterbrechung durch Verschlüsselung auch die Veröffentlichung sensibler Daten droht. Dies kann zu erheblichen Reputationsschäden und regulatorischen Strafen führen.
Realistisch schlimmster Fall: Im schlimmsten Fall kommt es zu einer vollständigen Verschlüsselung kritischer Systeme, was zu Betriebsstillstand führt, und zur Veröffentlichung sensibler Daten, was rechtliche und finanzielle Konsequenzen nach sich zieht.
Empfehlung: Priorisieren Sie das Patchen bekannter Schwachstellen, implementieren Sie Offline- und unveränderliche Backups und segmentieren Sie Netzwerke, um die laterale Bewegung der Ransomware zu verhindern.
Im erfassten Bestand
- ▸5. erfasste Meldung zu Conti innerhalb von 90 Tagen.
- ▸CVE-2024-55591 stand zum Zeitpunkt dieser Meldung seit 573 Tagen im KEV-Katalog der CISA.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 9.8 · CRITICAL
- EPSS
- 94.3%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2025-01-14
- Patch
- unbekannt
- CVSS
- 8.1 · HIGH
- EPSS
- 7.2%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- hoch
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2025-03-18
- Patch
- unbekannt
Betroffen
Regierungsbehörden, kritische Infrastrukturen und andere Organisationen sind betroffen.
Hersteller
Produkte
Prüfen
3- ▸Überprüfen Sie, ob alle bekannten Schwachstellen in Ihrer Infrastruktur gepatcht sind, insbesondere solche, die für Ransomware-Angriffe ausgenutzt werden könnten.
- ▸Validieren Sie die Integrität und Wiederherstellbarkeit Ihrer Offline- und unveränderlichen Backups durch regelmäßige Testwiederherstellungen.
▸ 1 weitere▾ weniger
- ▸Überprüfen Sie die Netzwerksegmentierung, um sicherzustellen, dass laterale Bewegungen innerhalb des Netzwerks effektiv eingeschränkt werden.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Spezifische CVEs oder Schwachstellen, die von Gunra ausgenutzt werden, sind im Artikel nicht genannt.
- ▸Die genauen Methoden der Datenexfiltration sind nicht spezifiziert.
- ▸Die geografische Reichweite der Angriffe ist nicht spezifiziert.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Ja
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Fortinet extern erreichbar?
- Haben wir SharePoint extern erreichbar?
- Können wir Initial Access detektieren?
- Können wir Execution detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(38)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Organisationen sollten bekannte Schwachstellen patchen“
„Die Angreifer nutzen ein Double-Extortion-Modell, indem sie Daten verschlüsseln“
„Netzwerke segmentieren, um sich vor Gunra zu schützen.“
„und mit deren Veröffentlichung drohen.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
4
Ausnutzung
4
Einnistung
1
Fernsteuerung
2
Zielhandlung
21
4 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)
Quellen & Belege· 1 Quelle
Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile
Branchenlage
ATT&CK-Heatmap