Im Mittelpunkt der Warnung stehen zwei bereits zuvor von CISA thematisierte Schwachstellen in Fortinet-Firewalls: CVE-2024-55591 und CVE-2025-24472. Nach Angaben des FBI und der südkoreanischen Behörden nutzt Gunra diese Lücken, um privilegierten Zugang in betroffenen Organisationen zu erlangen. Dieser Zugang ermöglicht es der Gruppe, Daten zu exfiltrieren und anschließend zu verschlüsseln, um Lösegeldforderungen durchzusetzen.

Chris Butera, kommissarischer stellvertretender Exekutivdirektor für Cybersicherheit bei CISA, ordnete Gunra als weiteren Ableger in einer anhaltenden Entwicklung von Ransomware-Angriffen ein, die US-amerikanischen und internationalen Organisationen Schaden zufügen und den Betrieb stören. CISA, das FBI und weitere Behörden verbreiten den Sicherheitshinweis nach seinen Angaben gezielt an Regierungsstellen und Branchenverbände, um weitere Angriffe der Gruppe zu verhindern.

Die ausgewerteten Vorfälle zeigen laut dem gemeinsamen Hinweis ein globales Zielspektrum. Betroffen sind demnach vor allem Gesundheitsorganisationen, Finanzdienstleister und staatliche Einrichtungen. In den meisten Fällen verlangten die Angreifer exorbitante Summen von mehr als 10 Millionen US-Dollar und gaben den Opfern nur fünf bis sieben Tage Zeit für die Zahlung. Das FBI beobachtete zudem, dass Gunra-Akteure versuchten, per E-Mail direkt mit Führungskräften der betroffenen Unternehmen in Kontakt zu treten, um Lösegeldzahlungen einzufordern — mit nach Behördenangaben nur begrenztem Erfolg.

Erstmals beobachtete das FBI die Ransomware und ihre Leak-Seite im April 2025. Bis Januar stellte Gunra laut Behörde auf ein Ransomware-as-a-Service-Modell um und war in Foren der Cyberkriminalität aktiv auf der Suche nach neuen Mitgliedern. In den vergangenen Monaten trat die Gruppe laut FBI außerdem unter neuen Bezeichnungen auf, darunter „Golden Community“, und baute ihre Plattform weiter aus, indem sie Hacker als Initial-Access-Broker anwarb.

Technisch begann Gunra laut Hinweis mit einem Fokus auf Windows-Systeme, setzte später aber auch eine selbst entwickelte Linux-Variante ein. Der Sicherheitshinweis verweist darauf, dass Forscher bis März eine Schwäche in dieser Linux-Version fanden. Diese erlaubt es Verteidigern, „die Schlüssel anhand von Dateizeitstempeln zu rekonstruieren und Dateien wiederherzustellen, ohne das Lösegeld zu zahlen“.

Vor zwei Wochen hatten Forscher zudem gewarnt, dass einige Werkzeuge und Teile der Infrastruktur, die von der nordkoreanischen Lazarus Group genutzt werden, offenbar mit Gunra geteilt wurden, als die Gruppe südkoreanische Organisationen ins Visier nahm.

Die Warnung erscheint in einer Phase steigender Ransomware-Aktivität gegen industrielle Organisationen. Das Sicherheitsunternehmen Dragos zählte im zweiten Quartal 2026 weltweit 1.140 Ransomware-Vorfälle gegen Industrieunternehmen, ein Plus von 12 Prozent gegenüber dem ersten Quartal. Mindestens vier der Angriffe auf Industrieorganisationen im vergangenen Quartal schrieb Dragos Gunra zu, nachdem die Gruppe im ersten Quartal bereits für acht Angriffe verantwortlich gemacht worden war.