Criminelen maken gebruik van kwetsbaarheden in Fortinet FortiGate-firewalls voor het infecteren van organisaties met ransomware, zo waarschuwen de FBI en het Amerikaanse cyberagentschap CISA. Updates voor de betreffende kwetsbaarheden (CVE-2024-55591 en CVE-2025-24472) zijn sinds januari en februari vorig jaar beschikbaar. De aanvallen worden uitgevoerd door een ransomwaregroep genaamd Gunra.

Naast de genoemde Fortinet-lekken maken de aanvallers ook misbruik van gestolen en gelekte inloggegevens, alsmede 'SSH access control' kwetsbaarheden in vpn-gateways. Zodra de aanvallers toegang hebben proberen ze via gestolen session informatie en RDP (remote desktop protocol) zich verder binnen het netwerk te bewegen. Daarbij zijn onder andere VDI (virtual desktop infrastructure) authenticatie webservers, de interne Active Directory (AD) server en virtuele desktops van it-personeel het doelwit.

Bij de aanvallen proberen de aanvallers eerst gegevens te stelen, onder andere van Microsoft OneDrive en SharePoint. Bij sommige van de aanvallen werden tientallen terabytes aan data buitgemaakt, aldus de Amerikaanse overheidsdiensten. Als laatste wordt de ransomware uitgerold. Organisaties worden vervolgens onder druk gezet om het gevraagde losgeld te betalen. Wanneer organisaties dit weigeren dreigen de criminelen de gestolen data op internet te publiceren.

In de waarschuwing van het CISA en de FBI staan verschillende tools genoemd die de ransomwaregroep gebruikt, alsmede ip-adressen, bestandsnamen en e-mailadressen. Volgens de overheidsdiensten laten de aanvallen zien dat het belangrijk is dat organisaties tijdig hun systemen patchen.