Im Zentrum der Warnung stehen zwei Fortinet-Schwachstellen, die laut FBI von Gunra für den Erstzugriff verwendet werden. Die erste ist CVE-2024-55591, eine kritische Authentifizierungsumgehung in FortiOS und FortiProxy, über die Angreifer auf Fortinet-Appliances Rechte eines „Super-Admins“ erlangen können. Die Lücke wurde im Januar 2025 zunächst als bereits ausgenutzte Zero-Day-Schwachstelle veröffentlicht.

Die zweite ist CVE-2025-24472, ebenfalls eine Authentifizierungsumgehung in FortiOS und FortiProxy, die mit hohem Schweregrad bewertet wurde und im Februar 2025 bekannt wurde. Rund einen Monat später nahm CISA die Schwachstelle in den Katalog der Known Exploited Vulnerabilities auf, nachdem Ransomware-Angriffe die Lücke ausgenutzt hatten. Beide Schwachstellen werden seitdem laut Quelltext intensiv von Ransomware-Akteuren attackiert; als Beispiel wird die Gruppe SuperBlack genannt, die beide Lücken im vergangenen Jahr in Angriffen missbrauchte.

Besonders aufschlussreich sind die im Advisory beschriebenen Methoden nach dem Eindringen. Das FBI beobachtete einen Angriff, bei dem Gunra-Affiliates die Kontrolle über eine SSL-VPN-Appliance übernahmen und deren Funktion zur Verkehrssteuerung nutzten, um Zugangsdaten und Sitzungsinformationen von Beschäftigten abzugreifen, die sich an einem VDI-Portal des Unternehmens anmeldeten. Die Täter verwendeten die gestohlenen Cookies für Session-Hijacking und nutzten den VDI-Zugang außerdem, um die Multifaktor-Authentifizierung des betroffenen Unternehmens zu umgehen.

Bei demselben Opfer modifizierten die Angreifer nach Angaben der Behörden außerdem Dateien zur Authentifizierungsverarbeitung auf dem Server des VDI-Authentifizierungsportals. Dadurch war eine erfolgreiche Anmeldung möglich, sobald ein bestimmter, von Gunra festgelegter Einmalpasswort-Wert eingegeben wurde. Laut Advisory ermöglichte das eine fortlaufende Umgehung der MFA.

In einem weiteren Fall löschten Gunra-Affiliates laut Behörden Backups und archivierte Daten sowohl im primären Rechenzentrum eines Opfers als auch im Ausweichrechenzentrum – vor und nach dem Ausbringen der Ransomware. Picus-Sicherheitsforscher Umut Bayram schrieb zudem in einem Blogbeitrag, die Gruppe habe es „bei jeder Gelegenheit auf wiederverwendbares Authentifizierungsmaterial abgesehen“. Dazu zählten das Auslesen von Betriebssystem-Zugangsdaten sowie in einem Fall die Kompromittierung eines Hiware-Zugangskontrollservers, der Diebstahl des Verschlüsselungsschlüssels und die Entschlüsselung von in einer Datenbank gespeicherten Passwörtern.

Betroffen sind nach Angaben der Behörden unterschiedliche Ziele aus kritischer Infrastruktur, darunter Organisationen aus Gesundheitswesen, Finanzdienstleistungen, Fertigung, Transport sowie staatliche Dienste. Das Datenleck-Portal der Gruppe listet laut Advisory Opfer in Nord- und Südamerika, Europa, dem Nahen Osten, Afrika und dem asiatisch-pazifischen Raum. Ein früher in diesem Jahr veröffentlichter Bericht von CloudSEK, dessen Forscher in das Affiliate-Programm von Gunra eingedrungen waren, nennt Brasilien und Südkorea als am stärksten betroffene Regionen, gefolgt von Kanada und Japan.

Die gemeinsame Warnung stammt vom FBI, CISA, dem US Department of Defense Cyber Crime Center, der NSA, dem US Secret Service und der südkoreanischen National Police Agency. Unklar bleibt, woher die Betreiber von Gunra stammen. Ein aktueller Bericht des südkoreanischen Sicherheitsunternehmens AhnLab bringt die Gruppe jedoch mit einem staatlich unterstützten Bedrohungsakteur in Verbindung, der Organisationen in Südkorea angreift. AhnLab betont zugleich, die staatlich unterstützte Gruppe und Gunra wirkten zwar wie getrennte Akteure mit unterschiedlichen Endzielen, könnten aber bestimmte Techniken, Werkzeuge und Infrastruktur geteilt oder in begrenztem Umfang zusammengearbeitet haben.