4分で読めます
急成長を遂げているランサムウェア・アズ・ア・サービス(RaaS)の一つが、既知の悪用済み脆弱性を利用して、世界各地の重要インフラや政府機関を標的にしたキャンペーンを展開しています。
米国と韓国の政府機関は月曜日、Gunraに関する共同サイバーセキュリティ勧告を発表しました。Gunraは2025年春に初めて出現したランサムウェア集団です。勧告によれば、Gunraのランサムウェアは、現在は活動を停止しているContiグループの流出したソースコードを基にした「高度な二重恐喝型ランサムウェア亜種」だとされています。
当初、Gunraの運用者はWindows環境を標的にしていましたが、その後Linux亜種を開発し、今年に入ってさらに活動範囲を拡大しています。勧告には「2026年初頭の時点で、Gunraはダークウェブのフォーラムで金銭目的のサイバー犯罪者向けに宣伝された、体系立ったRaaSアフィリエイトプログラムを通じて活動を拡大した」と記されています。
さらに重要な点として、両機関はGunraの攻撃者がファイアウォールやVPNアプライアンスのNデイ脆弱性を初期侵入に悪用し、ランサムウェア対策として最も広く頼りにされている防御策の一部を回避していると警告しています。
GunraがFortinetの脆弱性を武器化
勧告によると、FBIはGunraの攻撃者がFortinet製品の2件の既知の悪用済み脆弱性を初期侵入に利用しているのを確認しました。1つ目のCVE-2024-55591は、FortiOSおよびFortiProxyに存在する認証バイパスの重大な脆弱性で、攻撃者がFortinetアプライアンス上で「スーパー管理者」権限を取得できるようになります。この脆弱性は2025年1月に、悪用が確認されているゼロデイとして初めて公表されました。
2つ目のCVE-2025-24472は、FortiOSとFortiProxyのソフトウェアに影響する深刻度の高い認証バイパスの脆弱性で、2025年2月に初めて公表されました。CVE-2025-24472は、この脆弱性を悪用したランサムウェア攻撃を受けて、その約1カ月後に米サイバーセキュリティ・インフラセキュリティ庁(CISA)の既知の悪用済み脆弱性(KEV)カタログに追加されました。
これら2つのFortinet製品の脆弱性は、それ以降ランサムウェア攻撃者から集中的に狙われてきました。例えば、新興集団のSuperBlackは昨年の攻撃でこの2つの脆弱性を悪用しました。しかし、これほど注目を集めているにもかかわらず、さまざまな業種・国の組織がいまだにこれらの脆弱性へのパッチ適用を済ませていないようです。
さらにFBIは、GunraのアフィリエイトがSSL-VPNアプライアンスを乗っ取り、そのトラフィック制御機能を悪用して、企業の仮想デスクトップインフラ(VDI)ポータルに認証する従業員の認証情報とセッション情報を収集した攻撃事例も確認しています。攻撃者は盗んだクッキーをセッションハイジャックに利用したほか、VDIへのアクセス権を使って標的組織の多要素認証による防御を突破しました。
勧告では「同じ被害組織において、Gunraの攻撃者は企業のVDI認証ポータルサーバー上の認証処理ファイルを改変し、Gunraが指定した特定のワンタイムパスワード(OTP)値が入力された場合に認証が成功するようにした。これにより多要素認証(MFA)を継続的に回避することが可能になった」と述べられています。
両機関はまた、Gunraのアフィリエイトがランサムウェアを展開する前後に、被害組織の主データセンターと災害復旧センターの双方に保存されていたバックアップとアーカイブデータを削除した別の攻撃事例についても言及しています。
火曜日に公開されたブログ記事の中で、Picus Securityのリサーチエンジニアであるウムト・バイラム氏は、このランサムウェア集団が「あらゆる局面で再利用可能な認証情報を狙っている」と強調しています。これにはOSの認証情報のダンプが含まれるほか、ある事例ではHiwareのアクセス制御サーバーを侵害して暗号鍵を盗み出し、データベースに保存されていたパスワードを復号したケースもありました。そのため各組織は、自社のIDおよびアクセス管理基盤の周辺で不審な動きがないか監視すべきだとしています。
Gunraの RaaSと連携しているのは誰か
Gunraによる攻撃は、医療、金融サービス、製造業、運輸業をはじめ、政府サービスなど、さまざまな重要インフラの標的を襲っています。勧告によれば、この集団のデータリークサイトには、南北アメリカ、欧州、中東、アフリカ、アジア太平洋地域の被害組織が掲載されています。
Gunraのアフィリエイトプログラムに潜入し、この集団に関する情報を収集したCloudSEKが今年発表したレポートによると、ブラジルと韓国が最も標的にされている2つの地域で、カナダと日本がそれに続いています。CloudSEKの研究者はまた、このRaaSは金銭目的ではあるものの、比較的スキルの低いサイバー犯罪者を、既製のランサムウェアツールによって引き寄せている点も指摘しています。
レポートには「この集団は、充実したアフィリエイト支援を提供することで、それほど高度な技術を持たない脅威アクターの参入障壁を大幅に下げている。この支援には、詳細なドキュメント、使いやすい管理パネル、カスタマイズ可能なランサムウェアビルダーが含まれ、ランサムウェア攻撃の実行を容易にしている」と記されています。
今週発表された勧告は、FBI、CISA、米国防総省サイバー犯罪センター(DC3)、米国家安全保障局(NSA)、米シークレットサービス、韓国警察庁(KNPA)によって作成されました。Gunraの運用者の出身については不明ですが、韓国のサイバーセキュリティ企業AhnLabによる最近のレポートでは、同国内の組織を標的とする国家支援型の脅威アクターとの関連が指摘されています。
AhnLabの調査チームはレポートの中で「これらの共通点は、この国家支援型の脅威グループとGunraランサムウェアグループが、最終的な目的の異なる別々の脅威アクターであるように見えつつも、一部の手法やツール、インフラを共有していたか、あるいは攻撃の際に限定的に協力していた可能性を示唆している」と記しています。
この共同勧告は、各組織に対し、VPNなどインターネットに面したアプライアンスにおける既知の悪用済み脆弱性へのパッチ適用を優先すること、オフラインのイミュータブル(改変不可能)バックアップを導入・テストすること、そして脅威アクターの横展開能力を制限するためのネットワークセグメンテーションを実施することを強く求めています。
