Eine neue technische Untersuchung südkoreanischer Sicherheitsbehörden und von AhnLab hat auffällige Überschneidungen zwischen einem mutmaßlich staatlich unterstützten Bedrohungscluster und der Gunra-Ransomware-Operation aufgedeckt. Die als „Operation Double Barrel“ bezeichnete Untersuchung vergleicht die bei den Angriffen verwendeten Schwachstellen und Schadprogramme sowie kompromittierte Zugangsdaten und Netzwerkinfrastrukturen. Die Forschenden kommen nicht zu dem eindeutigen Schluss, dass eine organisatorische Zusammenarbeit besteht. Ihre Erkenntnisse zeigen jedoch, dass die Grenze zwischen Spionageoperationen und finanziell motivierter Datenerpressung immer schwerer zu ziehen ist.
Gunra ist eine Operation, die 2025 erstmals sichtbar wurde und später zu einem Ransomware-as-a-Service-Modell überging. Dabei stellt die Kerngruppe Angriffsinfrastruktur, Verschlüsselungssoftware und Zahlungssystem bereit, während unabhängige Angreifer, sogenannte „Affiliates“, in die Zielnetzwerke eindringen können. Zunächst werden Daten ausgeleitet, anschließend werden die Systeme verschlüsselt. Den Opfern drohen damit sowohl Betriebsunterbrechungen als auch die Veröffentlichung ihrer Informationen. Selbst eine Organisation mit zuverlässigen Sicherungskopien gerät so durch die drohende Offenlegung von Daten unter Druck.
Was hat Operation Double Barrel herausgefunden?
Laut der am 30. Juli 2026 veröffentlichten Analyse des AhnLab Security Intelligence Center dauerten die untersuchten staatlich unterstützten Angriffsaktivitäten von 2025 bis in die erste Hälfte des Jahres 2026 an. Die Bedrohungsakteure nutzten Schwachstellen in auf Computern installierter Sicherheitssoftware aus, um auf Finanz- und öffentliche Dienste in Südkorea zuzugreifen. Berichten zufolge wurde Schadcode über Watering-Hole-Angriffe und gezieltes Phishing verbreitet. In einigen Fällen waren auch Unternehmen, die Hosting- oder Webentwicklungsdienste anbieten, in die Angriffskette eingebunden.
Die Untersuchung ist deshalb von Bedeutung, weil einige der bei diesen Aktivitäten beobachteten Schwachstellen, Zugangsdaten und Netzwerkressourcen Ähnlichkeiten mit Elementen aus Gunra-Fällen aufweisen. Derselbe Zugangsweg könnte zunächst zur Informationsbeschaffung und später zur Einschleusung von Ransomware genutzt worden sein. Eine andere Möglichkeit besteht darin, dass der kompromittierte Netzwerkzugang an andere Akteure weitergegeben oder verkauft wurde. Auch die gemeinsame Nutzung von Werkzeugen beweist für sich genommen nicht, dass dieselbe Gruppe dahintersteht: Im kriminellen Ökosystem werden Schadsoftware, Server und gestohlene Konten sehr häufig wiederverwendet.
Die Erkenntnisse sollten daher nicht als Beleg dafür verstanden werden, dass „Gunra definitiv von einem bestimmten Staat gesteuert wird“. Die Studie von AhnLab bewertet einen technischen Zusammenhang und beschreibt vor allem Ähnlichkeiten. Für eine belastbare Zuordnung der Angreifer müssen neben Überschneidungen bei den Werkzeugen auch Einsatzzeiten, die Verwaltung der Kommandoinfrastruktur, Finanzbewegungen, personelle Ressourcen und langfristig gewonnene Erkenntnisse gemeinsam untersucht werden.
Warum handelt es sich um ein aktuelles Sicherheitsrisiko?
Das von Gunra ausgehende Risiko liegt nicht allein in der Schadsoftware, die in der letzten Phase Dateien verschlüsselt. Die eigentliche Gefahr besteht in der Zeit, die der Angreifer vor Beginn der Verschlüsselung im Netzwerk verbringt. Währenddessen können Kontodaten gesammelt, Sicherungssysteme ausgekundschaftet, sensible Dokumente ausgeleitet und Sicherheitswerkzeuge beeinträchtigt werden. Bemerkt die Organisation den Angriff erst, wenn verschlüsselte Dateien auftauchen, kann die Dimension des Vorfalls als Datenschutzverletzung übersehen werden.
Eine mögliche Überschneidung von Spionage- und Ransomware-Operationen erschwert die Verteidigung zusätzlich. Während ein finanziell motivierter Angreifer in der Regel auf schnellen Gewinn aus ist, kann ein Nachrichtendienstakteur monatelang unentdeckt bleiben wollen. Wird dieselbe Zugangskette für beide Zwecke genutzt, kann die Ransomware mitunter den Schlussakt eines früheren, unauffälligeren Eindringens bilden. Das Entfernen der Verschlüsselungssoftware bedeutet daher nicht zwangsläufig, dass sämtliche Zugänge des Angreifers zum Netzwerk beseitigt wurden.
Darüber hinaus kann die gezielte Kompromittierung von Dienstleistern die Folgen eines einzelnen Sicherheitsvorfalls vervielfachen. Wird ein Unternehmen kompromittiert, das Websites verwaltet, Software verteilt oder Fernsupport anbietet, kann der Angreifer einen vertrauenswürdigen Kanal erhalten, über den sich zahlreiche Kunden erreichen lassen. Organisationen sollten ihre Sicherheitsbewertungen deshalb nicht auf die eigenen Geräte beschränken, sondern auch Aktualisierungs-, Fernverwaltungs- und Softwarelieferketten überwachen.
Welche Maßnahmen sollten Verteidigungsteams ergreifen?
Oberste Priorität sollte eine aktuelle Bestandsaufnahme der mit dem Internet verbundenen Systeme und der Sicherheitssoftware von Drittanbietern haben. Sämtliche externen Angriffsflächen sollten erfasst werden, darunter VPN-Gateways, Fernverwaltungswerkzeuge und Erweiterungen, die nur in bestimmten Ländern verwendet werden. Vom Hersteller nicht mehr unterstützte Versionen sollten entfernt, veröffentlichte Patches nach Risiko priorisiert eingespielt und Verwaltungsoberflächen nach Möglichkeit vom direkten Internetzugang abgeschirmt werden.
Eine Multi-Faktor-Authentifizierung ist wichtig, reicht allein jedoch nicht aus. Kompromittierte Sitzungen, Dienstkonten oder anfällige Netzwerkgeräte können den Authentifizierungsschritt umgehen. Privilegierte Konten sollten nicht für die tägliche Arbeit verwendet werden. Das Anlegen neuer Administratorkonten, unerwartete Anmeldungen, Werkzeuge zum Auslesen von Zugangsdaten und ungewöhnliche Fernverbindungen sollten zentral überwacht werden. Zugriffsrechte für Dienstleister sollten auf bestimmte Systeme, Zeiträume und Aufgaben beschränkt sein.
Sicherungskopien sollten von der Produktionsumgebung getrennt und zusätzlich unveränderbar oder offline vorgehalten werden. Eine bloße Erfolgsmeldung des Sicherungsvorgangs darf jedoch nicht als ausreichend gelten; die Wiederherstellung sollte in einer sauberen Umgebung erprobt werden. Wegen der Gefahr einer Datenausleitung sollten auch die Erstellung großer Archive, ungewöhnliche Cloud-Uploads, unbekannte externe Speicherdienste und ein außerhalb der üblichen Zeiten ansteigender Netzwerkverkehr untersucht werden.
Bei Anzeichen für Gunra oder eine vergleichbare Ransomware sollten die betroffenen Systeme kontrolliert vom Netzwerk getrennt werden, ohne Beweismittel vorschnell zu löschen. Arbeitsspeicher-, Festplatten- und Protokolldaten sollten gesichert und Zugangsdaten ausschließlich über vertrauenswürdige Geräte erneuert werden. Die betroffene Organisation sollte entsprechend ihren rechtlichen Verpflichtungen die nationalen Stellen für die Reaktion auf Cybervorfälle und die Datenschutzbehörden kontaktieren. Das FBI weist darauf hin, dass es von Lösegeldzahlungen abrät und eine Zahlung weder die Wiederherstellung der Daten noch den Verzicht auf deren Veröffentlichung garantiert.
Widerstandsfähigkeit vor Zuordnung
Die wichtigste Erkenntnis aus Operation Double Barrel ist weniger die Identität einer einzelnen Gruppe als vielmehr die Möglichkeit, dieselbe Zugangsmethode für unterschiedliche Zwecke einzusetzen. Stützt sich der Verteidigungsplan ausschließlich darauf, Dateimerkmalen bekannter Ransomware den Zugriff zu verwehren, können die frühen Phasen eines Angriffs unentdeckt bleiben. Ein aktuelles Anlagenverzeichnis, Netzwerksegmentierung, das Prinzip der geringsten Rechte, zentrale Protokolle und ein erprobter Reaktionsplan begrenzen dagegen den Schaden unabhängig von der Motivation des Angreifers.
Wie genau Gunra und staatlich unterstützte Aktivitäten zusammenhängen, kann sich durch neue Beweise anders darstellen. Die derzeitigen Erkenntnisse deuten eher auf technische Überschneidungen als auf eine eindeutige politische Zuordnung hin. Für Organisationen ist es daher sinnvoll, sich nicht in einer unbelegten Identitätsdebatte zu verlieren, sondern gemeinsame Angriffswege zu schließen und Ransomware als möglichen Hinweis auf eine Datenschutzverletzung und ein länger andauerndes Eindringen zu behandeln.