Společné varování CISA, FBI, NSA a jihokorejské policie popisuje skupinu Gunra jako dvojitě vyděračský ransomware, který se do sítí obětí dostává mimo jiné přes zranitelné firewally Fortinet.

Gunra podle advisory vychází z uniklého zdrojového kódu ransomwaru Conti a poprvé se objevila v dubnu 2025. Mezi její cíle patří zdravotnictví, finanční sektor, veřejná správa i neziskové organizace – tedy obory, kde výpadek provozu nebo únik dat má bezprostřední dopad na fungování společnosti. Při průniku do sítí využívají útočníci podle informací BleepingComputer aktivní zneužívání kritických autentizačních chyb CVE-2024-55591 a CVE-2025-24472 ve FortiOS a FortiProxy. Další vstupní cesty představují kompromitované přihlašovací údaje a chyby v řízení přístupu k SSH na internetově dostupných VPN branách.

Z původního vyděračského projektu mezitím vyrostla plnohodnotná služba pro další útočníky. Gunra má od poloviny roku 2025 variantu pro Linux a od ledna 2026 funguje jako ransomware jako služba (RaaS) – zájemci o spolupráci dostanou přístup k affiliate panelu, konfigurovatelnému builderu a payloadům pro více platforem. Provozovatelé navíc aktivně shánějí takzvané initial access brokery, tedy zprostředkovatele počátečního přístupu do cílových sítí, což naznačuje snahu o další škálování kampaně.

Obrana proti tomuto typu útoku nepřináší žádný nový trik, jde spíš o důslednost v základních opatřeních: opravit internetově dostupné systémy a síťová zařízení, rozdělit síť do segmentů, aby se případný průnik nešířil napříč celou infrastrukturou, a udržovat zálohy oddělené od produkčního prostředí (offline nebo nezměnitelné). Vzhledem k tomu, že Gunra cílí právě na provozovatele kritické infrastruktury, je zvlášť důležité mít patch management pro perimetrová zařízení jako firewally a VPN brány nastavený jako prioritu, nikoli jako úkol, který čeká na volnou kapacitu IT týmu.