CISAと国際的な法執行機関のパートナーは、GunraランサムウェアのアフィリエイトがVPNゲートウェイ、ファイアウォールアプライアンス、RDPアクセス可能なシステムなど、露出したエッジインフラを悪用して企業ネットワークに侵入していると警告する共同の#StopRansomware勧告を発表しました。
この勧告では、Gunraを次第に組織化が進むRaaS(Ransomware-as-a-Service)と位置づけています。そのアフィリエイトはデータ窃取、認証情報の侵害、迅速な暗号化を組み合わせ、被害者に支払いを迫っています。
DataManagement
同グループは、従来型ながらも被害の大きい二重恐喝モデルを採用しています。攻撃者はファイルを暗号化する前に企業の機密データを窃取し、交渉が決裂した場合はTorでホストされているデータ漏洩サイトを通じて情報を公開または売却すると脅迫します。
その被害者層は現在、複数の地域にわたって医療、金融、製造、運輸、政府、公益事業、教育、小売、専門サービスなど多岐にわたっています。
目下の防御上の優先課題は、インターネットに公開されているシステムの是正です。調査担当者は、Gunraの攻撃者がCVE-2024-55591およびCVE-2025-24472として追跡されているFortiOSおよびFortiProxyの認証バイパスの脆弱性を悪用していることを確認しました。
韓国当局も、外部公開されているVPNゲートウェイに影響する認証情報の露出やSSHアクセス制御の不備が悪用されたと報告しています。
そのため組織は、外部から到達可能なすべてのVPN、ファイアウォール、RDPサービス、リモート管理インターフェースを洗い出し、ベンダーの修正を速やかに適用するとともに、侵害の可能性がある認証情報を失効させ、デフォルトや休眠状態の管理者アカウントを排除する必要があります。
Gunraは2025年4月にFBIによって初めて確認され、流出したContiランサムウェアのソースコードから派生したとみられており、2026年初頭に正式なアフィリエイトプログラムの運用を開始しました。
Gunraランサムウェアの攻撃手法
Gunraの侵入手口は、パッチ適用だけでは不十分であることを示しています。ある侵害事例では、攻撃者はアカウントロックアウト制御が設定されておらず、デフォルトの認証情報で保護されていたSSL-VPNの管理者アカウントにアクセスしました。
続いて、企業のVDIポータルの認証処理を改変し、攻撃者が制御するワンタイムパスワードを受け入れるようにすることで、実質的にMFAを回避しました。
別の事例では、窃取したセッションデータを利用してVDIにアクセスし、そこからRDPを経由してActive Directory、認証サーバー、IT管理者のデスクトップへと横展開しました。
これらの事例は、MFAだけでなく、ファイル整合性監視、条件付きアクセス制御、特権アカウントの分離、そしてVPNやID基盤への変更に対するアラート機能を組み合わせる必要があることを示しています。
侵入後、アフィリエイトは独自開発のマルウェアだけに頼らず、汎用性の高いツールを活用します。Impacketのpsexec.py、smbclient.py、secretsdump.pyといったコンポーネントは、SMBを介した横展開やNTDSからの認証情報抽出に使われます。
攻撃者はまたOpenSSHトンネルを展開し、7-Zip、Rclone、FileZillaやリモートアクセスツールを使用しながら、SharePoint、OneDrive、データベース、電子メールのデータを収集しています。
防御側は、これらのユーティリティが管理業務として不審な形で使用されていないか、特に異常なアーカイブの作成、クラウドストレージへの外部送信、認証の異常、深夜の偵察活動などと合わせて文脈から調査する必要があります。
Gunraの暗号化ツールは、大規模な被害をもたらすよう設計されています。利用可能なすべてのドライブレターにわたってファイルを列挙し、多くのオペレーティングシステムファイルは避けつつ業務データを標的とし、マルチスレッドのChaCha20とRSA-4096による暗号化を使用します。
DataManagement
暗号化されたデータには通常.ENCRT拡張子が付与され、影響を受けたディレクトリにはR3ADM3.txtという名前の身代金要求文が書き込まれます。
攻撃者はWMI経由でWindowsのシャドウコピーも削除しており、少なくとも1件の事例では、本番環境と災害復旧サイトの両方でバックアップデータを破壊しています。
CISAの中心的な提言は、セグメンテーションをコンプライアンス上の形式的な取り組みではなく、被害封じ込めのための制御手段として扱うことです。ユーザーのワークステーション、VDI、ID関連サービス、バックアッププラットフォーム、管理ネットワーク、本番ワークロードを、厳格に制限されたアクセス経路で分離してください。
不要なSMBおよびRDPトラフィックを遮断し、管理アクセスを専用の強化されたシステムに限定するとともに、バックアップインフラが通常のドメイン認証情報ではアクセスできないようにする必要があります。
オフラインかつ改変不可能なバックアップについては、攻撃者と交渉せずに復旧できることを証明するため、物理的に分離されたセグメントで定期的にテストを行うべきです。
セキュリティチームはまた、勧告に記載されたSTIX形式の侵害指標を検知プラットフォームに取り込み、脅威ハンティング活動をMITRE ATT&CK Enterpriseフレームワークに対応付ける必要があります。
CISAのAA26-222A勧告全文および広範なStopRansomwareのリソースでは、この拡大しつつある脅威に直面する組織向けに、技術的な検知の手引きとインシデント対応のアクションが提供されています。
2026年版Agentic SOC購入ガイドを活用すべき理由 主要8製品を徹底比較 – 2026年版購入ガイドをダウンロード
翻訳元: https://gbhackers.com/gunra-ransomware-attack/
