米国と韓国政府の共同勧告により、Gunraランサムウェア集団が脆弱なFortinet VPNアプライアンス、脆弱なリモートアクセス制御、そして露出したインフラを悪用して企業ネットワークに侵入していることが警告されました。
このRansomware-as-a-Service(RaaS)集団は、政府、医療、金融、製造、運輸、公共事業、教育、メディア、小売の各分野の組織を標的にしています。
Gunraは2025年4月に初めて出現し、リークされたContiランサムウェアのソースコードから派生したものと見られています。
2026年初頭までに、運営者は組織立ったアフィリエイトプログラムへと拡大し、ダークウェブフォーラム上でランサムウェアビルダー、管理パネル、クロスプラットフォーム対応ペイロード、ドキュメントを宣伝していました。
同集団は二重恐喝モデルを採用しています。アフィリエイトはファイルを暗号化する前に機密情報を窃取し、被害者が支払いを拒否した場合は専用のリークサイトを通じてデータを公開または販売すると脅迫します。
交渉はTorベースのポータルと暗号化メッセージングアプリのqToxを通じて行われ、被害者には5日から7日の回答猶予が与えられることが多いとされています。
この勧告によると、Gunraのアフィリエイトは主にインターネットに面したデバイス、特にファイアウォールやVPNゲートウェイの既知の脆弱性を悪用して初期アクセスを獲得しています。
その活動には、CVE-2024-55591およびCVE-2025-24472として追跡されているFortiOSおよびFortiProxyの認証バイパスの脆弱性の悪用が含まれます。
脅威アクターは、インターネットに面したVPNシステムに影響する認証情報の露出やSSHアクセス制御の脆弱性も悪用しています。
ある事案では、アカウントロックアウト保護が欠如していたSSL-VPNアプライアンスの管理者アカウントに、デフォルトの認証情報を悪用してアクセスしました。
侵害された環境に到達した後、Gunraの運営者はいくつかの手法でアクセスを拡大します。
彼らはpsexec.py、smbclient.py、secretsdump.pyを含むImpacketツールを使用し、SMB経由でネットワーク内を移動し、Active Directoryドメインコントローラーからパスワードハッシュを抽出し、パスザハッシュやパスザチケットの攻撃を実行しています。
別の事例では、攻撃者は管理者ワークステーションを侵害し、SSL-VPN管理コンソールへのアクセスを利用して、外部・内部両方のネットワークに接続された未使用のアカウントを特定しました。
彼らはアカウント設定を変更してパスワード変更の必須要件を回避し、そのアカウントを使って内部の仮想デスクトップインフラストラクチャにアクセスしました。
最も懸念されるのは、Gunraのアクターが企業のVDIポータル上の認証処理ファイルを改変した点です。この改変により、脅威アクターが制御するワンタイムパスワードが入力されるたびにアクセスが許可されるようになり、事実上永続的なMFAバイパスが作り出されていました。
この作戦では、トンネリングと永続化のためにOpenSSHも展開されたほか、アクセス制御サーバーから暗号鍵を窃取し、企業サーバーアカウント用に保存されていたパスワードを復号していました。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの完全な可視化を実現し、SOCを強化してMTTRを短縮する
翻訳元: https://cyberpress.org/gunra-ransomware-bypasses-vpn-mfa/
