CISA、FBI、および国際的なパートナー機関は、ランサムウェア・アズ・ア・サービス(RaaS)として運用されるGunraについて、共同のサイバーセキュリティ勧告を発表しました。Gunraは政府機関や重要インフラ事業者、医療機関を含むその他の分野の組織を標的としています。同グループは南北アメリカ、欧州、中東、アフリカ、アジア太平洋地域で攻撃を展開しており、2026年に入ってから攻撃が加速しています。
Gunraランサムウェアは2025年4月に金銭目的の脅威グループとして初めて確認されましたが、2026年にRaaSグループへと転換しました。同グループは、身代金として得た金額の80%を還元する条件を提示し、他のグループから経験豊富なアフィリエイトを引き抜こうとしているほか、企業規模の侵入拠点を提供できる初期アクセスブローカーの獲得も図っています。
同グループは主にWindowsシステムを標的とし、高度な暗号化手法を用いています。2025年後半には、クロスプラットフォームでの攻撃を可能にするため、暗号化ツールのLinux版も開発しました。この暗号化ツールは、流出したContiランサムウェアのソースコードをベースにしています。同グループは二重恐喝型の攻撃を行っており、ファイルを暗号化する前に機密データを窃取します。ファイルの暗号化後、被害者は影響を受けた各ディレクトリに身代金要求メモを受け取り、Torベースの交渉パネルを通じて交渉を開始するよう求められます。被害者には交渉パネルにアクセスするための固有のログイン認証情報が付与され、交渉開始までに5日から10日間の猶予が与えられます。
同グループは、ファイアウォールやVPNアプライアンスなど、インターネットに公開されたデバイスにおける既知の脆弱性を悪用して被害者のネットワークに侵入していることが確認されています。その例として、FortiOS/FortiProxyにおける認証バイパスの脆弱性であるCVE-2024-55591およびCVE-2025-24472が挙げられます。また、インターネットに公開されたVPNゲートウェイにおけるSecure Shell(SSH)のアクセス制御に関する脆弱性を悪用する事例も確認されています。
検知や解析を妨げるため、複数のステルス技術や防御機能の無効化手法が使用されています。収集・窃取されるデータには、事業上重要な文書、データベース、個人を特定できる情報(PII)、Microsoft OneDriveやSharePointを含む社内のメール通信などが含まれます。窃取されたデータは、被害者に身代金の支払いを迫るための材料として利用されます。身代金が支払われない場合、専用のダークウェブ上のデータ漏洩サイトで、窃取したデータを公開または販売すると脅迫します。同グループのデータ漏洩サイトには現在、世界中で30を超える被害組織が掲載されています。
#StopRansomwareのサイバーセキュリティ勧告では、攻撃のリスクを低減するため、直ちに対策を講じるよう推奨しています。特にVPNやRDPが外部に公開されたインフラにおける既知の悪用済み脆弱性へのパッチ適用を優先すること、初期侵害を受けたデバイスから他の組織内システムへの横方向の侵害を阻止するためにネットワークをセグメント化すること、そして身代金を支払わずにデータを復旧できるよう、物理的に分離・セグメント化された場所にイミュータブル(変更不可能)なバックアップを作成・保管することを求めています。
同グループの戦術・技術・手順(TTP)、侵害の兆候(IoC)、推奨される緩和策の詳細については、サイバーセキュリティ勧告をご覧ください。
翻訳元: https://www.hipaajournal.com/gunra-ransomware/
