Gunraランサムウェア、Fortinetの脆弱性を悪用して重要インフラを標的に

Gunraランサムウェアの攻撃者がFortinetの2件の脆弱性を悪用し、政府機関や重要インフラ組織を標的にしていることが、米国と韓国当局が共同で発表した勧告により明らかになりました。

Gunraはランサムウェア・アズ・ア・サービス(RaaS)の一種で、ファイアウォールやVPN機器などインターネットに公開されたデバイスの既知の脆弱性を主に悪用して初期アクセスを獲得します。

ネットワークへの侵入後、関係者(アフィリエイト)は高度な永続化・横方向移動の手法を駆使し、最終的にMicrosoft 365サービスから大量のデータをひそかに窃取することを可能にしています。

この勧告は、FBI、サイバーセキュリティ・インフラセキュリティ庁(CISA)をはじめとする米政府機関と、韓国国家警察庁(KNPA)が共同で作成したものです。

Gunraランサムウェアは、2022年に流出したContiランサムウェアのソースコードをベースにしており、2025年4月に初めて確認されました。2026年初頭には、ダークウェブのフォーラムで宣伝される体系的なRaaSアフィリエイトプログラムを構築しています。また、「Golden Community」という名称で活動するなど、新たなブランド名も採用しています。

いまなお有効な旧世代のFortinet脆弱性

FBIは、Gunraが2件の旧世代のFortinet脆弱性を特に標的にしていることを確認しています。

いずれも、特定のFortiOSおよびFortiProxyのバージョンに影響する認証バイパスの脆弱性です。

• CVE-2024-55591は、Node.js WebSocketモジュールへの細工されたリクエストを通じて、リモートの攻撃者がスーパー管理者権限を取得できる重大な脆弱性です
• CVE-2025-24472は深刻度の高い脆弱性で、アップストリームおよびダウンストリーム機器のシリアル番号を事前に把握しているリモートの未認証攻撃者が、Security Fabricが有効な場合に細工されたCSFプロキシリクエストを通じて、ダウンストリーム機器上でスーパー管理者権限を取得できます

両脆弱性ともパッチが提供されています。

8月10日に公開された勧告では、Gunraの攻撃者が初期アクセス後、主に認証プロトコルを回避する手法を用いて被害環境内で永続化と横方向移動を実現する能力についても指摘しています。

確認された事例の一つでは、Gunraの攻撃者は、アカウントロックアウト制御が実装されていなかったSSL-VPNアプライアンスの管理者アカウントに対し、デフォルト認証情報を悪用してアクセスを獲得しました。

その後、SSHトンネリングツールのOpenSSHをダウンロードすることで、侵害したシステムと外部の攻撃者管理下のサーバーとの間に接続を確立しました。

別の事例では、攻撃者は企業のVDI認証ポータルサーバー上で認証処理ファイルを改ざんすることにより、多要素認証(MFA)を継続的にバイパスできるようにしていました。

この勧告についてコメントしたSuzu Labsのセキュアaiソリューション・サイバーセキュリティ担当シニアディレクター、Jacob Krell氏は、両脆弱性とも複数のランサムウェアグループに悪用されており、修正パッチを適用した後でも被害者が標的にされ続けるケースが多いと指摘しました。

「パッチ適用は侵入口を塞ぐだけです。MFAの流れの中にすでに埋め込まれた認証バックドアには何の効果もありません。組織が脆弱性を塞いで『安全になった』と宣言する一方で、攻撃者の永続化の仕組みが認証スタックの中に手付かずのまま残っているケースを私は見てきました」と同氏は述べています。

攻撃者はステルス性を駆使して大量のデータを窃取

Gunraの攻撃者は、防御側がその存在に気づく前に、被害環境から巧妙に横方向移動しながら大量のデータを窃取することにも長けています。

これは、効果的な二重恐喝戦略を成立させるための手法です。つまり、ファイルの復号と、窃取したデータを公開しないことの両方に対して、被害者に金銭の支払いを強いる仕組みです。

勧告によると、Gunraは盗んだ認証情報や認証バイパス手法を使ってネットワーク内を移動する際、検知や分析を妨げるために複数のステルス手法・防御妨害手法を用いているとされています。

これには、システムおよびネットワークのアクセスログの削除や、コマンド履歴の消去も含まれます。

注目すべき点として、同グループは主に被害者のタイムゾーンで午後10時から午前6時の間、つまり管理者が通常オフラインになっている時間帯を狙って、悪意ある活動や内部インフラの偵察を実施しています。

iCOUNTERのグローバルリサーチコーディネーター、Roman Sannikov氏は、セキュリティチームはGunraの「時間外」活動に特に注意を払うべきだと述べています。

「夜間に検知態勢が手薄になるようであれば、それはまさに、現在Golden Communityという別名でも活動しているこのグループが突こうとしている隙間そのものです」と同氏は述べています。

同グループが使用するランサムウェア本体には、ユーザーデータに合致するファイルのみに絞り込むための詳細なフィルタリングルールが組み込まれています。これは、重要度の低いファイルの暗号化に処理リソースを割かないようにし、ユーザー固有データの収集を効率化するためだと勧告は説明しています。

FBIは、Gunraの攻撃者が悪意あるexecutableファイルを使用して、Microsoft OneDriveおよびSharePointから被害者データを窃取していることを確認しています。少なくとも1件の事例では、攻撃者は機密データを含む圧縮アーカイブを生成し、それをファイル共有サービスのMegaへ窃取することで、最大で数十テラバイトに及ぶデータの窃取に成功しています。

数千万ドル規模に及ぶGunraの身代金要求

同グループの身代金要求文は、通常、数千万ドルという要求額から交渉を開始します。報告書はこれを「恣意的なまでに高額」と表現しています。

被害者には通常、Torベースの交渉ポータルを通じて交渉を開始するまでに5日から7日の猶予が与えられます。場合によっては、同グループが被害組織の経営陣にメールで直接連絡を試みたケースもあります。

被害者が交渉に応じなかったり、支払いを行わなかったりした場合には、Gunraのデータリークサイトでデータを公開すると脅迫されます。

被害は世界各地の地域に及んでおり、医療、金融サービス、政府機関、重要製造業をはじめとする複数の重要セクターにまたがっています。

Gunraの脅威への対策

勧告は、Gunraが用いる手口に対抗するため、組織が重点を置くべき3つの主要分野を挙げています。以下の通りです。

• 仮想プライベートネットワーク(VPN)ゲートウェイやリモートデスクトッププロトコル(RDP)が公開されたインフラを含め、インターネットに公開されたシステムにおける既知の悪用済み脆弱性へのパッチ適用を優先すること
• 身代金を支払わずに復旧できるようにするため、物理的に分離・セグメント化された場所にオフラインかつ改ざん不能なバックアップを導入し、テストすること
• 初期侵害を受けたデバイスから組織内の他システムへの横方向移動を制限するため、ネットワークをセグメント化すること