米国と韓国、政府機関を狙うGunraランサムウェアに警告

米連邦政府機関と韓国警察庁は、Gunraランサムウェアによる攻撃からシステムを守るよう、世界各国の政府機関および重要インフラ組織に警告しました。

月曜日に発表された共同勧告によれば、このランサムウェアグループは、2022年2月に流出したConti ransomwareのソースコードを基にしたマルウェア亜種を使用し、医療・公衆衛生から金融・政府サービスに至るまで幅広い業界を標的とした攻撃を行っているとのことです。

「Gunraは2025年4月に初めて確認され、流出したConti1ランサムウェアのソースコードから派生した、高度な二重恐喝型ランサムウェア亜種として登場しました」と、勧告を発表した各機関は述べています。

「FBIは、Gunraの実行者が被害企業の経営陣に対しメールで直接連絡を取り、身代金の支払いを持ちかけようとする動きを確認していますが、その成功例は限られています」

このランサムウェアグループは、FortiOSおよびFortiProxyソフトウェアに存在する2件の重大な認証関連の脆弱性(CVE-2024-55591およびCVE-2025-24472)を悪用するエクスプロイトを用いてFortinet製ファイアウォールを攻撃し、標的組織のネットワークへの足がかりを得ていることが確認されています。

Gunraはまた、インターネットに公開されたVPNゲートウェイにおける認証情報漏えいやSecure Shell(SSH)のアクセス制御に関する脆弱性も悪用し、被害者のシステムへリモートアクセスしています。さらに、当初はWindows環境を標的にしていた攻撃も、2025年半ばにLinux亜種を投入して以降、クロスプラットフォームでのキャンペーンへと移行しています。

2026年1月以降、Gunraは専用のランサムウェア・アズ・ア・サービス(RaaS)プラットフォームも立ち上げ、活動拡大に向けて初期アクセスブローカーの勧誘を開始しています。

「2026年1月時点で、Gunraはダークウェブのフォーラム上で正式なRaaSアフィリエイトプログラムを開始し、アフィリエイトに対して管理パネルへのアクセス、設定可能なランサムウェアビルダー、クロスプラットフォーム対応のロッカー型ペイロード、体系化されたアフィリエイト向けドキュメントを提供しています」と、共同勧告には記されています。

「FBIは、この事業拡大を後押しするため、同グループが新たなブランド名(特にGolden Communityという名称)を採用して活動していることを確認しています。Gunraはさらに、侵入テスターや倫理的ハッカーを初期アクセスブローカーとして積極的に勧誘することでプラットフォームの商業化を進めており、企業ネットワークへのアクセスと引き換えに身代金収益の一部を提供しています」

米国と韓国の両機関は、インターネットに公開されたシステムにおける既知の悪用済み脆弱性をできるだけ早期に修正すること、横方向の侵害拡大(ラテラルムーブメント)を制限するためネットワークをセグメント化すること、そしてデータのオフラインバックアップを取得することをネットワーク防御担当者に助言しています。

この共同警告は、韓国のサイバーセキュリティ企業AhnLabが複数の韓国政府機関と共同で発表した別の勧告に続くものです。この勧告では、Gunraランサムウェアグループと北朝鮮国家の支援を受けるハッキング集団Lazarus Groupとの関連性を明らかにしています。