In ihrer gemeinsamen Warnung erklären US-Behörden und die südkoreanische National Policy Agency, dass Gunra eine Malware-Variante nutzt, die auf dem geleakten Conti-Quellcode basiert. Die Gruppe greift laut der Mitteilung sehr unterschiedliche Sektoren an, von Gesundheit und öffentlicher Gesundheit bis hin zu Finanz- und Regierungsdiensten.

Die Behörden datieren das erste Auftreten von Gunra auf April 2025. Sie bezeichnen die Schadsoftware als ausgefeilte Ransomware mit doppelter Erpressung. Das FBI beobachtete zudem, dass die Täter versuchten, Management-Mitarbeiter in betroffenen Unternehmen direkt per E-Mail zu erreichen, um Lösegeldzahlungen zu verlangen; der Erfolg dieser Methode sei begrenzt gewesen.

Für den initialen Zugriff setzt Gunra den Angaben zufolge unter anderem auf Fortinet-Firewalls. Die Gruppe nutzte dabei Exploits für zwei kritische Authentifizierungsschwachstellen in FortiOS und FortiProxy aus: CVE-2024-55591 und CVE-2025-24472. Darüber hinaus missbraucht Gunra laut Warnung Sicherheitslücken zur Preisgabe von Zugangsdaten sowie Schwächen in der Zugriffskontrolle von Secure Shell auf öffentlich erreichbaren VPN-Gateways, um aus der Ferne in Systeme von Opfern einzudringen.

Anfangs konzentrierten sich die Angriffe auf Windows-Umgebungen. Das änderte sich nach Angaben der Behörden Mitte 2025 mit der Einführung einer Linux-Variante, woraufhin Gunra zu plattformübergreifenden Kampagnen überging.

Seit Januar 2026 hat die Gruppe ihre Aktivitäten weiter professionalisiert. Nach Angaben der gemeinsamen Warnung startete Gunra ein formelles Partnerprogramm für Ransomware-as-a-Service in Foren des Darknet. Den Partnern werden demnach ein Verwaltungsportal, ein konfigurierbarer Ransomware-Baukasten, plattformübergreifende Locker-Nutzlasten und strukturierte Dokumentation zur Verfügung gestellt.

Das FBI beobachtete außerdem, dass die Gruppe für diese Expansion neue Markenbezeichnungen verwendet, insbesondere den Namen Golden Community. Laut der Warnung hat Gunra seine Plattform weiter kommerzialisiert, indem die Gruppe aktiv Penetrationstester und ethische Hacker als Initial-Access-Broker anwirbt. Als Gegenleistung für Zugang zu Unternehmensnetzwerken werde ein Anteil an den Lösegeldzahlungen in Aussicht gestellt.

Die US- und südkoreanischen Stellen raten Netzwerkverteidigern, bekannte und bereits ausgenutzte Schwachstellen in internetseitig erreichbaren Systemen so schnell wie möglich zu schließen. Außerdem empfehlen sie Netzwerksegmentierung, um seitliche Bewegungen einzuschränken, sowie Offline-Sicherungen der Daten.

Die gemeinsame Warnung folgt auf eine weitere Mitteilung des südkoreanischen Cybersicherheitsunternehmens AhnLab, die zusammen mit mehreren südkoreanischen Regierungsstellen veröffentlicht wurde. Darin wurden Verbindungen zwischen der Gunra-Ransomware-Gruppe und der Lazarus Group offengelegt, einer von Nordkorea unterstützten Hackergruppe.