Die Warnung beschreibt Gunra als Ransomware-Operation, die gezielt bekannte Schwachstellen in extern erreichbaren Geräten ausnutzt. Für den Erstzugriff verwenden die Angreifer laut den US- und südkoreanischen Behörden CVE-2024-5559 in Schneider Electric PowerLogic P5 sowie CVE-2025-24472 in Fortinet FortiOS und FortiProxy. Danach folgt die eigentliche Erpressung: Daten werden entwendet und verschlüsselt. Wer innerhalb von fünf bis sieben Tagen nicht zahlt, dessen Daten werden nach Angaben im Quelltext auf einer Leak-Seite veröffentlicht.
Ransomware.Live zufolge hat Gunra seit April 2025 insgesamt 51 Opfer veröffentlicht. Auffällig ist laut Quelltext die geografische Verteilung: Ein Großteil der Ziele befindet sich in Australien, Ostasien und Europa, während bislang nur drei Opfer aus Kanada und den USA gemeldet wurden. Zu den besonders betroffenen Branchen zählen Gesundheitswesen, Finanzdienstleistungen, staatliche Dienste und professionelle sowie gemeinnützige Organisationen.
Der Sicherheitsforscher Rakesh Krishnan schrieb in einer im vergangenen Jahr veröffentlichten Analyse, die Gruppe nutze Phishing als wichtigen Angriffsvektor, um schädliche Komponenten bei ihren Zielen zu platzieren und Verhandlungen über ein an WhatsApp angelehntes Chat-Panel zu führen. Krishnan zufolge ist die Gruppe in der Lage, sehr große Dateien von bis zu 9 Terabyte in kurzer Zeit mit fortgeschrittenen Stromchiffren wie Salsa20 oder ChaCha20 zu verschlüsseln.
Die aus Conti abgeleitete Operation soll im Januar 2026 ein formelles RaaS-Partnerprogramm in Darknet-Foren gestartet haben. Partner erhalten demnach Zugriff auf ein Verwaltungsportal, einen konfigurierbaren Ransomware-Baukasten, plattformübergreifende Locker-Payloads sowie strukturierte Dokumentation. Die Gruppe bietet Varianten für Windows und Linux an. Breakglass Intelligence identifizierte jedoch in einer im März 2026 veröffentlichten Analyse eine „katastrophale kryptografische Schwäche“ in den Linux-Builds, die die Wiederherstellung des Schlüssels und den Zugriff auf die Dateien ermöglichte.
Nach Angaben des FBI tritt Gunra inzwischen auch unter neuen Bezeichnungen wie Golden Community auf, um seine Aktivitäten auszuweiten. Gleichzeitig versuche die Gruppe, ihre Plattform zu monetarisieren, indem sie Penetrationstester und ethische Hacker als Initial-Access-Broker anwirbt. Diese sollen im Gegenzug für den Zugang zu Unternehmensnetzwerken einen Anteil an den Lösegeldzahlungen erhalten.
Für die seitliche Bewegung in kompromittierten Netzwerken setzen die Täter laut Quelltext Impacket-Werkzeuge wie „psexec.py“ und „smbclient.py“ über das SMB-Protokoll ein. „secretsdump.py“ dient dem Auslesen von Zugangsdaten auf kompromittierten Domain-Controllern und dem Extrahieren von Passwort-Hashes aus der NTDS-Datei. Zur Verwischung ihrer Spuren löschen die Angreifer System- und Netzwerkzugriffsprotokolle sowie den Befehlsverlauf. Bösartige Aktivitäten und interne Aufklärung der Infrastruktur finden überwiegend zwischen 22 Uhr und 6 Uhr statt. Die Exfiltration aus Microsoft OneDrive und SharePoint erfolgt über eine ausführbare Datei namens „main.exe“.
In einzelnen Fällen beobachteten Ermittler das Erstellen komprimierter Archive mit Daten im Terabyte-Bereich und deren Abfluss zu dem Dateifreigabedienst MEGA. Zudem soll die Gruppe auf VDI-Umgebungen von IT-Mitarbeitern zugegriffen und sensible Dokumente mit System- und Netzwerkkonfigurationen gesammelt haben. CISA erklärte, Gunra-Akteure hätten anschließend von einem Server zur Systemzugangskontrolle gestohlene Zugangsdaten für Unternehmensserver genutzt, um zentrale Systeme wie Datenbankserver und NAS-Systeme zu verschlüsseln.
Ein von der südkoreanischen National Police Agency beobachteter Fall zeigt eine weitere Methode: Die Angreifer manipulierten die Funktion zur Steuerung des Netzwerkverkehrs einer SSL-VPN-Appliance, um Zugangsdaten und Sitzungsinformationen von Nutzern abzufangen, die sich an einem VDI-Authentifizierungsportal anmeldeten. Die gestohlenen Session-Cookies wurden danach für Session-Hijacking und die Nachahmung legitimer Nutzer eingesetzt. Um Mehrfaktor-Authentifizierung zu umgehen, veränderten die Täter laut Quelltext außerdem die Authentifizierungsdateien auf dem VDI-Portal so, dass eine Anmeldung mit einem von Gunra festgelegten Einmalpasswort erfolgreich war.
Brisant ist die Warnung auch wegen Überschneidungen mit einer jüngsten südkoreanischen Meldung zu einer Kampagne einer nicht näher benannten staatlich unterstützten Gruppe, die von 2025 bis in die erste Hälfte von 2026 lief. Diese Akteure missbrauchten Schwachstellen in einer nicht identifizierten Finanzsicherheitssoftware, um nach Spear-Phishing- und Watering-Hole-Angriffen Malware zu verteilen. Laut Quelltext wurden in einigen dieser Vorfälle dieselben Schwachstellen auch genutzt, um Gunra-Ransomware auszurollen und sensible Organisationsdaten abzuziehen. ENKI berichtete zudem, dass einige Watering-Hole-Angriffe eine Zero-Day-Lücke in AnySign4PC ausnutzten. Verteilt wurden dabei unter anderem Struggle, auch bekannt als SIGNBT 3.0, und Brandoor, auch bekannt als COPPERHEDGE, die laut Quelltext beide mit der Lazarus Group in Verbindung stehen. AhnLab erklärte, diese Gemeinsamkeiten deuteten darauf hin, dass die staatlich unterstützte Gruppe und Gunra zwar unterschiedliche Akteure mit unterschiedlichen Zielen seien, aber womöglich bestimmte Techniken, Werkzeuge und Infrastruktur geteilt oder in begrenztem Umfang zusammengearbeitet hätten.