Küberturvalisuse uurijate sõnul on eelmise kuu FortiBleed’i kampaania seotud kahe eraldi lunavararühmitusega, kuna leiti tõendeid, et üks esmase juurdepääsu vahendaja liige oli sisse logitud mõlema rühmituse partneripaneelidesse. SOC Radari uurimisüksus STRU teatas, et vähemalt üks 20-liikmelise rühmituse liikmetest pidas ohvritega aktiivselt läbirääkimisi, mis viitab otsesele seosele tuhandete FortiBleed’i ohvrite ja lunavaraökosüsteemi vahel.
STRU kaardistas FortiBleed’i taristut sadadel serveritel. Ühe serveri turvavea tõttu sai meeskond ligipääsu vahendajarühmituse sisefailidele ja logidele, mis paljastasid, et üks isik oli sisse logitud nii INC Ransomi kui Lynxi partneripaneelidesse. Seni on tuvastatud vähemalt 12 lunavararünnakut, mis on seotud FortiBleed’i ohvritega.
Kuigi esialgsed teated hindasid edukate rünnakute arvu üle 70 000, põhines STRU andmestik 11 250 Fortineti portaali skaneerimisel, samas kui sihikule võeti üle 430 000 tulemüüri. Administraatori tasemel ligipääs kinnitati 409 sihtmärgil, millest 354 juhul viidi läbi täielik rünnakuahel, kompromiteerides VPN-e ja domeenikontrollereid.